Ocho nuevos avisos de seguridad y una actualización
Índice
- [Actualización 23/10/2026] Impacto de vulnerabilidades críticas de PHP en productos Fortinet
- Múltiples vulnerabilidades en productos de Cisco
- Impacto de vulnerabilidades críticas de PHP en productos de Cisco
- Impacto de vulnerabilidades críticas de PHP en productos de Synology
- Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
- Impacto de vulnerabilidades críticas de PHP en productos de Mitel
- Impacto de vulnerabilidades críticas de PHP en productos de Tenable
- Impacto de vulnerabilidades críticas de PHP en productos de QNAP
- Múltiples actualizaciones en productos de Fortinet
[Actualización 23/10/2026] Impacto de vulnerabilidades críticas de PHP en productos Fortinet
Fortinet está investigando el impacto de las vulnerabilidades en los siguientes productos:
- FortiADC y FortiADC Manager.
- FortiDDoS y FortiDDoS-F.
- FortiSIEM y FortiMonitor.
- FortiClient Cloud.
- FortiSOAR y FortiSOAR PaaS.
- FortiGuard y FortiEndpoint.
Fortinet no ha confirmado todavía qué versiones de estos productos están afectadas.
[Actualización 23/10/2026]
Fortinet ha descartado la afectación de cinco productos que antes estaban bajo investigación: FortiADC, FortiADC Manager, FortiSIEM, FortiMonitor y FortiEndpoint.
[AVISO PRELIMINAR]
Fortinet está evaluando el impacto de dos vulnerabilidades críticas en el núcleo de PHP. Ambas podrían permitir la ejecución remota de código.
watchTowr informa de intentos de explotación activa de ambas vulnerabilidades en PHP. Este dato no confirma que se estén explotando productos Fortinet; el impacto en dichos productos continúa bajo investigación.
Para productos Fortinet, consultar el aviso FG-IR-26-186 y aplicar las actualizaciones que publique el fabricante para cada producto afectado.
Para instalaciones independientes de PHP, actualizar a las versiones corregidas de la rama correspondiente: 8.2.35, 8.3.36, 8.4.27 o 8.5.12.
- CVE-2026-109618 permite la ejecución remota de código mediante corrupción de memoria durante el manejo de errores por falta de memoria. Una petición multipart puede provocar el agotamiento de memoria mientras PHP procesa la solicitud.
- CVE-2026-109619 permite la ejecución remota de código por el uso de estado global obsoleto después de un error fatal. El estado de una petición puede quedar referenciado por el proceso y ser utilizado durante una solicitud posterior.
Múltiples vulnerabilidades en productos de Cisco
Los siguientes productos que incorporan Snort 3, independientemente de su configuración, en versiones anteriores a las corregidas:
- Cisco Cloud-delivered Firewall (CDFW).
- Cisco Cyber Vision.
- Cisco Meraki MX Security Appliances.
- Cisco Secure Access (CSA).
- Cisco Secure Firewall Threat Defense (FTD) Software.
- Open Source Snort 3.
- Unified Threat Defense (UTD) on Cisco IOS XE Software.
Cisco ha publicado 4 vulnerabilidades: 2 de severidad crítica y 2 de severidad alta. En caso de ser explotadas podrían poner en riesgo los sistemas.
Actualizar a las versiones corregidas de la rama correspondiente:
- Open Source Snort 3: 3.12.4.0.
- Cisco Cyber Vision: 5.6.0; las versiones anteriores a 5.6 deben migrar a una versión corregida.
- FTD: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 o 10.1.0, según la rama.
- UTD sobre IOS XE: 17.12.8, 17.15.6, 17.18.5, 26.1.2 o 26.2.1, con la imagen UTD correspondiente indicada en el boletín.
Cisco ha actualizado CDFW y CSA automáticamente. Los dispositivos Meraki conectados a Dashboard también han recibido automáticamente el paquete corregido.
Consultar las condiciones de actualización en el boletín del fabricante. No existen soluciones alternativas.
Las vulnerabilidades críticas corresponden a los siguientes grupos de problemas:
- CVE-2026-20043: escrituras fuera de los límites de la memoria.
- CVE-2026-20236: cálculos incorrectos.
Cisco asigna a ambos grupos una puntuación CVSS v3.1 de 9,0. El boletín no publica detalles individuales suficientes para concretar sus mecanismos de explotación.
Impacto de vulnerabilidades críticas de PHP en productos de Cisco
Cisco ha confirmado la afectación de los siguientes productos, sin especificar los intervalos de versiones afectadas:
- Expressway Series.
- Expressway Select Series.
- Ultra-Reliable Wireless Backhaul (URWB).
En URWB, la explotación requiere autenticación como administrador. Otros productos y servicios continúan bajo investigación; consultar su estado en el boletín de Cisco.
[AVISO PRELIMINAR]
Cisco ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas del núcleo de PHP en sus productos. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ha confirmado productos afectados y continúa evaluando otros.
Cisco ha anunciado las siguientes versiones corregidas, cuya disponibilidad está pendiente:
- Expressway Series y Expressway Select Series: 15.5.21, con fecha por determinar.
- URWB: 27.1.1, prevista para febrero de 2027.
Las fechas son estimadas y pueden cambiar. Cisco indica que no existen soluciones alternativas que corrijan estas vulnerabilidades.
Consultar el boletín del fabricante y aplicar las actualizaciones correspondientes cuando estén disponibles.
- CVE-2026-109618: la gestión incorrecta de errores por falta de memoria puede dejar datos internos de una petición PHP en un estado inválido y permitir la ejecución remota de código.
- CVE-2026-109619: las referencias globales a memoria de peticiones ya liberadas pueden utilizarse durante solicitudes posteriores, lo que podría permitir la ejecución remota de código.
La clasificación crítica corresponde a PHP, con CVSS v4.0 de 9,2. Para URWB, Cisco publica una valoración específica de 6,6 en CVSS v3.1, de severidad media, al requerir autenticación como administrador.
Impacto de vulnerabilidades críticas de PHP en productos de Synology
Los siguientes paquetes de DSM, en versiones anteriores a las corregidas:
- PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3 y PHP 8.4.
- Mail Station.
- Synology Calendar.
PHP 7.3 también está afectado y no dispone de corrección por haber finalizado su vida útil.
[AVISO PRELIMINAR]
Synology ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios paquetes de DSM y podrían permitir la ejecución remota de código. El fabricante ha publicado versiones corregidas para los paquetes con soporte.
Actualizar a las siguientes versiones corregidas o posteriores:
- Synology Calendar: 3.0.4-21435.
- Mail Station: 30000002.3.19-20333.
- PHP 7.4: 7.4.33-0131.
- PHP 8.0: 8.0.30-0122.
- PHP 8.1: 8.1.34-0120.
- PHP 8.2: 8.2.35-0171.
- PHP 8.3: 8.3.36-0051.
- PHP 8.4: 8.4.27-0051.
Sustituir PHP 7.3 por una rama con soporte y corregida, comprobando la compatibilidad de las aplicaciones.
Consultar el boletín de Synology para obtener las actualizaciones correspondientes.
- CVE-2026-109618: el agotamiento de memoria durante una petición puede dejar estructuras internas de PHP parcialmente inicializadas. Su utilización posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: el estado global de PHP puede mantener referencias a memoria ya liberada y utilizarlas en otra petición, lo que podría permitir la ejecución remota de código.
Synology considera muy bajo el riesgo del PHP integrado en el sistema operativo, que no está expuesto a una superficie de ataque externa.
Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
- PAN-OS, ramas 12.2, 12.1, 11.2, 11.1 y 10.2, en versiones anteriores a las correcciones previstas por el fabricante.
- Panorama, todas las versiones.
- WildFire Appliance WF-500 y WF-500-B, todas las versiones.
En PAN-OS, la afectación se limita a la interfaz web de administración, incluidos HTTPS y XML API. Las interfaces del plano de datos están afectadas si tienen asociado un perfil de administración.
[AVISO PRELIMINAR]
Palo Alto Networks ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP en sus productos. Ha confirmado la afectación de PAN-OS, Panorama y WildFire Appliance.
Para estos productos, el fabricante describe un impacto en la disponibilidad y asigna una severidad alta, con CVSS v4.0 de 8,7. La clasificación crítica del aviso corresponde a las vulnerabilidades originales de PHP.
El fabricante prevé publicar las correcciones de PAN-OS entre el 26 y el 30 de octubre de 2026, según la rama. Las fechas son estimadas y pueden cambiar. Las correcciones de Panorama y WildFire Appliance no tienen fecha anunciada.
Consultar la matriz de versiones del boletín del fabricante y aplicar las actualizaciones cuando estén disponibles.
Mientras tanto, restringir la administración de PAN-OS y Panorama a direcciones IP internas de confianza. La protección mediante Threat Prevention requiere configurar la inspección del tráfico de administración conforme a las instrucciones del fabricante.
- CVE-2026-109618: la gestión del agotamiento de memoria puede dejar datos de una petición PHP sin inicializar. Su procesamiento posterior podría provocar corrupción de memoria y ejecución remota de código en PHP.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada y utilizarlas en solicitudes posteriores, lo que podría permitir la ejecución remota de código en PHP.
Estas descripciones corresponden a PHP. La evaluación específica de Palo Alto Networks identifica un impacto en la disponibilidad de sus productos.
Impacto de vulnerabilidades críticas de PHP en productos de Mitel
- MiVoice 5000, versiones R8.4 y anteriores.
- OpenScape Branch, versiones V11R3.4.3 y anteriores.
- OpenScape SBC, versiones V11R3.4.3 y anteriores.
- OpenScape Voice Trace Manager, versiones V8 R0.12.00 y anteriores.
- MiContact Center Enterprise, versiones 9.8 SP0 FP1 y anteriores.
Mitel continúa investigando otros productos. La evaluación del fabricante comprende únicamente versiones con soporte.
[AVISO PRELIMINAR]
Mitel ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP que podrían permitir la ejecución remota de código. El fabricante ha confirmado la afectación de varios productos y continúa evaluando otros.
Mitel remite al artículo KB000128981 de su base de conocimiento de seguridad para consultar las medidas aplicables a cada producto. El boletín público no especifica las versiones corregidas.
Si no se dispone de acceso, contactar con un socio autorizado de Mitel. Consultar las actualizaciones del boletín del fabricante para conocer los cambios en la evaluación y las correcciones.
- CVE-2026-109618: un error al gestionar el agotamiento de memoria puede dejar estructuras de una petición PHP parcialmente inicializadas. Su procesamiento posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: determinadas referencias globales de PHP pueden apuntar a memoria ya liberada. Su utilización durante una petición posterior podría permitir la ejecución remota de código.
Impacto de vulnerabilidades críticas de PHP en productos de Tenable
- Tenable Security Center, versiones 6.9.1 y anteriores.
- Tenable Enclave Security, versiones 1.9.1 y anteriores.
[AVISO PRELIMINAR]
Tenable ha publicado dos boletines para abordar el posible impacto de dos vulnerabilidades críticas de PHP en Tenable Security Center y Tenable Enclave Security. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ya dispone de un parche para actualizar este componente.
Aplicar el parche SC-202610.1, que actualiza PHP a la versión 8.2.35:
- Tenable Security Center: disponible para 6.6.0, 6.7.2, 6.8.0 y 6.9.1 sobre Oracle Linux 8 o posterior y Red Hat Enterprise Linux 8 o posterior.
- Tenable Enclave Security: disponible para Security Center 6.7.5, 6.8.0 y 6.9.1 sobre Enclave Security 1.7.0, 1.8.0 y 1.9.1, respectivamente.
Seguir las instrucciones específicas para Security Center y Enclave Security. La instalación requiere detener el servicio y volver a iniciarlo.
- CVE-2026-109618: la gestión incorrecta del agotamiento de memoria puede dejar datos internos de una petición PHP sin inicializar. Su utilización posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: el estado global de PHP puede conservar referencias a memoria liberada y utilizarlas en otra petición, lo que podría permitir la ejecución remota de código.
Impacto de vulnerabilidades críticas de PHP en productos de QNAP
- QTS 6.1.0; QTS 5.2.11 y anteriores.
- QuTS hero h6.1.0; h6.0.x; h5.2.11 y anteriores.
- QuTScloud c5.2.9 y anteriores.
- QuMagie 2.10.1 y anteriores.
- Note Station 3 3.9.14 y anteriores.
- QNE (ADRA) 1.0.7 y anteriores.
- QVR Surveillance 3.0.3 y anteriores, únicamente en modelos ARM32.
- TVR OS 1.0.4 y anteriores.
[AVISO PRELIMINAR]
QNAP ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios de sus productos y podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario. El fabricante está preparando las correcciones.
QNAP todavía no ha anunciado versiones corregidas. Consultar el boletín QSA-26-18 y aplicar las actualizaciones cuando estén disponibles.
Mientras tanto:
- Retirar la exposición directa a Internet y desactivar las redirecciones de puertos y UPnP.
- Utilizar una VPN y restringir la administración a redes de confianza.
- Detener las aplicaciones afectadas y los servicios que no sean necesarios.
- Revisar QuLog Center y ejecutar Security Center y Malware Remover actualizados.
Desactivar Web Server no protege la interfaz de administración. Estas medidas reducen la exposición, pero no corrigen las vulnerabilidades.
- CVE-2026-109618: una petición puede agotar la memoria mientras sus datos están parcialmente inicializados. Su procesamiento durante la limpieza de PHP podría permitir la ejecución remota de código.
- CVE-2026-109619: una petición posterior puede utilizar referencias globales a memoria liberada por otra petición, lo que podría permitir la ejecución de código o la exposición de memoria.
Múltiples actualizaciones en productos de Fortinet
- FortiOS: 8.0.0–8.0.1; 7.6.0–7.6.7; 7.4.0–7.4.12; 7.2.0–7.2.13.
- FortiManager y FortiAnalyzer: 8.0.0–8.0.1; 7.6.0–7.6.7; 7.4.0–7.4.11; 7.2.0–7.2.12.
- FortiMail: 8.0.0–8.0.1; 7.6.0–7.6.6; 7.4.0–7.4.8; 7.2.0–7.2.9.
- FortiAuthenticator: 8.0.0–8.0.3; 6.6.0–6.6.10.
El anuncio también contempla FortiSASE, FortiManager Cloud y despliegues en nubes públicas, sin especificar versiones.
[AVISO PRELIMINAR]
Fortinet ha anunciado actualizaciones que corrigen vulnerabilidades críticas y altas identificadas mediante pruebas asistidas por inteligencia artificial. Recomienda priorizar los dispositivos expuestos a Internet.
Actualizar a las siguientes versiones corregidas o posteriores de cada rama:
- FortiOS: 8.0.2; 7.6.8; 7.4.13; 7.2.14.
- FortiManager y FortiAnalyzer: 8.0.2; 7.6.8; 7.4.12; 7.2.13.
- FortiMail: 8.0.2; 7.6.7; 7.4.9. La rama 7.2 requiere migrar a una rama corregida.
- FortiAuthenticator: 8.0.4; 6.6.11.
FortiSASE tiene anunciada una actualización automática. FortiManager Cloud puede requerir actualización manual; en nubes públicas, seguir el procedimiento del proveedor.
Guardar una copia de la configuración antes de actualizar. Mientras tanto, restringir la administración a IP de confianza, aplicar MFA y evitar la exposición de FortiManager a Internet.
Consultar las indicaciones del fabricante.
Fortinet prevé publicar los boletines técnicos el 10 de noviembre de 2026. Los identificadores CVE, las puntuaciones CVSS y los impactos individuales están pendientes de publicación.