Alertas de seguridad en español

CríticaPrueba de concepto pública

PHP: fallas críticas permiten ejecutar código remoto sin autenticación

PHP corrigió dos vulnerabilidades críticas (CVSS 9.2) que permiten a un atacante ejecutar código en el servidor con una sola petición web, sin autenticarse. Ya circulan pruebas de concepto, y se reveló una tercera falla que aún no tiene parche. Afecta a todo servidor que atienda peticiones web con PHP, incluidas las versiones sin soporte. Actualiza de inmediato a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y desactiva session.upload_progress.enabled.

CVE-2026-109618 · CVE-2026-109619 · CVE-2026-115560

23 de octubre de 2026Leer →

Crítica

Falla crítica en GitLab CE y EE permite ejecutar código sin autenticación

GitLab corrigió una vulnerabilidad crítica (CVE-2026-110264, CVSS 10) que permite a un atacante sin credenciales ejecutar código en el servidor. Afecta a GitLab Community y Enterprise Editions desde la versión 7.0. Actualiza cuanto antes, partiendo por las instancias expuestas a Internet, y revisa si hubo intentos de explotación.

CVE-2026-110264

22 de octubre de 2026Leer →

Crítica

PHP: falla crítica permite ejecutar código remoto sin autenticación vía errores de memoria

Una vulnerabilidad crítica en PHP (CVE-2026-109618) permite que un atacante, sin autenticarse, ejecute código en el servidor enviando peticiones HTTP que agotan la memoria del proceso. Afecta a servidores con PHP anterior a 8.2.35, 8.3.36, 8.4.27 y 8.5.12, especialmente con Apache mod_php. Actualiza PHP de inmediato; es la única corrección completa.

CVE-2026-109618

21 de octubre de 2026Leer →

Crítica

PHP: falla crítica de uso de memoria liberada permite ejecución remota de código

PHP tiene una falla crítica (CVE-2026-109619): un worker puede reutilizar memoria de una petición anterior y esto permite ejecutar código de forma remota y sin autenticación. Afecta a servidores con PHP 8.2, 8.3, 8.4 y 8.5 anteriores a las versiones corregidas, tanto con Apache mod_php como con PHP-FPM. Actualiza PHP cuanto antes y reinicia todos los workers.

CVE-2026-109619

21 de octubre de 2026Leer →

CríticaExplotación activa

Falla crítica explotada en Cisco Secure Email Gateway permite ejecutar comandos como root

Una vulnerabilidad crítica (CVE-2026-76519, CVSS 9.8) en la función AMP de Cisco Secure Email Gateway permite a un atacante sin autenticación ejecutar comandos como root con solo enviar un correo con un adjunto manipulado, y ya se está explotando. Afecta a equipos físicos y virtuales con AsyncOS 15.5, 16.0 y 16.5 que tengan activo el servicio File Reputation. Actualiza Content Scanner Tools o AsyncOS cuanto antes, empezando por los equipos expuestos a Internet, y revisa si hay señales de compromiso.

CVE-2026-76519

15 de octubre de 2026Leer →

Media

nginx: desbordamiento de búfer al usar alias junto con rewrite (CVE-2026-15176)

nginx corrigió una falla de gravedad media que puede provocar un desbordamiento de búfer en un proceso worker cuando la configuración combina la directiva alias con rewrite. Afecta a las versiones 0.1.29 a 1.31.6. Actualiza a nginx 1.31.7 o 1.30.6 y verifica qué versión tienen tus servidores.

CVE-2026-15176

14 de octubre de 2026Leer →

Media

nginx: desbordamiento de búfer al evaluar expresiones con variables (CVE-2026-93479)

nginx publicó una corrección para un desbordamiento de búfer en el proceso worker al evaluar expresiones de texto con variables, que afecta el cálculo del document root y el registro de peticiones en los módulos http y stream. Afecta a las versiones 1.31.2 a 1.31.6 y 1.30.0 a 1.30.5. Revisa qué versión usas y actualiza a 1.31.7 o 1.30.6 o superior.

CVE-2026-93479

14 de octubre de 2026Leer →

Media

nginx: falla en HTTP/3 permite inyectar datos en el cuerpo de la petición

Una vulnerabilidad de gravedad media en nginx (CVE-2026-95101) permite que, al usar HTTP/3, parte de un frame desconocido se trate como cuerpo de la petición. Esto puede eludir el límite client_max_body_size o inyectar datos en peticiones enviadas al backend. Afecta a las versiones 1.25.0 a 1.31.6; actualiza a 1.31.7 o 1.30.6 o posteriores.

CVE-2026-95101

14 de octubre de 2026Leer →

Media

nginx: falla use-after-free con AIO y SSI "include virtual" (CVE-2026-97205)

nginx publicó una corrección para una falla de memoria (use-after-free) que puede ocurrir en ciertas configuraciones que usan E/S asíncrona de archivos (AIO) junto con páginas SSI que contienen comandos "include virtual". Afecta a las versiones de nginx desde la 0.8.11 hasta la 1.31.6. Revisa qué versión tienes en tus servidores y actualiza a 1.31.7 o 1.30.6, o a una posterior.

CVE-2026-97205

14 de octubre de 2026Leer →

Media

nginx: falla en la rotación de claves de TLS session tickets permite falsificar sesiones

nginx corrigió una vulnerabilidad de gravedad media (CVE-2026-97629) en las versiones 1.23.2 a 1.31.6. Al usar rotación de claves de TLS session tickets, una de las claves quedaba sin inicializar, lo que podría permitir falsificar una sesión. Si tu empresa usa nginx, revisa la versión instalada y actualiza a 1.31.7 o 1.30.6.

CVE-2026-97629

14 de octubre de 2026Leer →

Crítica

Falla crítica en GitLab CE y EE permite ejecutar código sin autenticación

GitLab corrigió 24 fallas de seguridad en GitLab CE y EE, entre ellas una crítica (CVSS 10.0) que permite a un atacante no autenticado ejecutar código en el servidor. Afecta a instancias autogestionadas anteriores a 19.4.2, 19.3.4 y 19.2.8. Actualiza cuanto antes, partiendo por las instancias expuestas a Internet.

CVE-2026-97229 · CVE-2026-92883 · CVE-2026-16301

12 de octubre de 2026Leer →

Crítica

Falla crítica de acceso a archivos en Jira, Confluence, Bitbucket y otros productos Atlassian

Atlassian corrigió una vulnerabilidad crítica (CVE-2026-21589, CVSS 9.3) que permite a un atacante sin credenciales leer archivos específicos dentro del directorio de la aplicación web. Afecta a las versiones Data Center de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo y Crowd, además de Crucible y Fisheye. Actualiza cuanto antes, empezando por las instancias expuestas a Internet, y revisa los logs de acceso en busca de intentos de explotación.

CVE-2026-21589

7 de octubre de 2026Leer →

CríticaExplotación activa

Citrix NetScaler ADC y Gateway: fallas críticas de ejecución remota explotadas activamente

Citrix corrigió 8 vulnerabilidades en NetScaler ADC y NetScaler Gateway administrados por el cliente. Dos de ellas permiten ejecutar código de forma remota sin autenticación y ya se están explotando. Si usas estos equipos, actualízalos de inmediato y revisa si los expuestos a Internet fueron comprometidos.

CVE-2026-88771 · CVE-2026-88772 · CVE-2026-88773 · CVE-2026-88774 · CVE-2026-88775 · CVE-2026-88776 · CVE-2026-88777 · CVE-2026-88778

27 de septiembre de 2026Leer →

MediaPrueba de concepto pública

PHP: lectura fuera de límites en el wrapper HTTP al seguir redirecciones vacías

Una falla de gravedad media en el wrapper HTTP de PHP provoca una lectura de un byte fuera de memoria cuando un servidor responde con una redirección cuyo encabezado Location está vacío. Afecta a aplicaciones PHP que descargan contenido desde URLs externas con funciones como file_get_contents. Actualiza PHP a 8.2.34, 8.3.35, 8.4.26 u 8.5.11 según tu rama.

CVE-2026-93682