Dos nuevos avisos de seguridad
Índice
- Múltiples vulnerabilidades en PHP
- Múltiples vulnerabilidades en productos de Oracle
Múltiples vulnerabilidades en PHP
El equipo de seguridad del ecosistema PHP indica que todas las versiones podrían estar afectadas. Las pruebas se han realizado únicamente en las versiones 5 a 8.
El equipo de seguridad del ecosistema PHP ha informado sobre dos vulnerabilidades que podrían permitir la ejecución remota de código (RCE).
PHP ha anunciado una actualización de seguridad prevista para hoy, 21 de octubre de 2026, a las 14:00 UTC.
Aplicar las versiones corregidas cuando estén disponibles. El equipo de seguridad prevé publicar parches el 21 de octubre de 2026, incluidos parches retrocompatibles para las ramas PHP 7.4, 8.0 y 8.1. Se añadirán las versiones corregidas exactas cuando se publiquen.
- CVE-2026-109618: vulnerabilidad de ejecución remota de código relacionada con el agotamiento de memoria al analizar entradas conforme a RFC 1867.
- CVE-2026-109619: vulnerabilidad de ejecución remota de código relacionada con la corrupción del estado global después de un error fatal.
Múltiples vulnerabilidades en productos de Oracle
El Critical Patch Update de octubre afecta a múltiples familias de productos Oracle, entre ellas Oracle Database, Oracle E-Business Suite, Oracle Fusion Middleware, Java y MySQL. Revisar la matriz oficial para identificar los productos y versiones instalados.
Oracle ha publicado 1.295 nuevos parches de seguridad para distintas familias de productos. Entre las vulnerabilidades abordadas hay fallos críticos de puntuación CVSS 3.1 10,0 que pueden permitir a un atacante remoto sin autenticar comprometer productos accesibles por red.
Aplicar sin demora las actualizaciones correspondientes a los productos instalados y mantenerse en versiones con soporte activo. Consultar la matriz de disponibilidad de parches y las instrucciones de instalación específicas de cada producto.
- CVE-2026-101809: vulnerabilidad en Workflow Notification Mailer de Oracle E-Business Suite, CVSS 3.1 10,0. Puede explotarse por HTTP sin autenticación y afectar a las versiones 12.2.3–12.2.15.
- CVE-2026-91216 y CVE-2026-91221: vulnerabilidades en Oracle SOA Suite, CVSS 3.1 10,0. Un atacante sin autenticar con acceso de red por T3 o IIOP podría comprometer el producto. Afectan a las versiones 12.2.1.4.0 y 14.1.2.0.0.
- CVE-2026-87337: vulnerabilidad en Oracle Access Manager, CVSS 3.1 10,0. Puede explotarse remotamente por HTTP sin autenticación y afectar a las versiones 12.2.1.4.0 y 14.1.2.1.0.
- CVE-2026-75803: vulnerabilidad en el componente OpenSSL de Oracle Database Server, CVSS 3.1 9,8. Puede explotarse remotamente sin autenticación mediante TLS; afecta a las versiones 19.3–19.32 y 23.4.0–23.26.3.
La tabla recoge cinco CVE prioritarios. La matriz de Oracle contiene el detalle completo de productos, versiones y parches aplicables.