Seis nuevos avisos de seguridad
Índice
- Múltiples vulnerabilidades en GitLab CE/EE de GitLab
- Múltiples vulnerabilidades en productos de Splunk
- Vulnerabilidad en Java SE y GraalVM de Oracle
- Impacto de vulnerabilidades críticas de PHP en productos Fortinet
- Múltiples vulnerabilidades en productos de Cisco
- Múltiples vulnerabilidades en productos de Apache
Múltiples vulnerabilidades en GitLab CE/EE de GitLab
GitLab Community Edition (CE) y Enterprise Edition (EE). Los rangos afectados varían según el CVE; el fallo crítico CVE-2026-110264 afecta a versiones desde la 7.0 anteriores a las versiones corregidas.
- 18.11: anteriores a 18.11.13.
- 19.0: anteriores a 19.0.10.
- 19.1: anteriores a 19.1.9.
- 19.2: anteriores a 19.2.9.
- 19.3: anteriores a 19.3.6.
- 19.4: anteriores a 19.4.3.
- 19.5: anteriores a 19.5.1.
La versión mínima afectada difiere para algunas de las vulnerabilidades incluidas en el boletín.
GitLab ha publicado una actualización crítica que corrige vulnerabilidades en CE y EE. La de mayor gravedad, CVE-2026-110264, consiste en un desbordamiento de entero durante la compilación de expresiones regulares y, en determinadas condiciones, podría permitir a un atacante no autenticado ejecutar código arbitrario en el servidor.
El lanzamiento también corrige vulnerabilidades altas de autenticación y de envenenamiento de caché en los puntos de descubrimiento OAuth/OIDC.
Actualizar las instalaciones autogestionadas de GitLab a la última versión corregida disponible para su rama: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13.
GitLab.com ya ejecuta una versión corregida. Los clientes de GitLab Dedicated con 19.3.5-internal0, 19.4.2-internal0 o posterior ya incluyen la corrección, según el fabricante.
GitLab ofrece detecciones de amenazas para ayudar a identificar intentos de explotación en instancias autogestionadas.
CVE-2026-110264: un desbordamiento de entero al compilar una expresión regular especialmente manipulada puede permitir la ejecución remota de código sin autenticación.
Múltiples vulnerabilidades en productos de Splunk
- Splunk Enterprise
- 10.4.0 a 10.4.3;
- 10.2.0 a 10.2.7;
- 10.0.0 a 10.0.10;
- 9.4.0 a 9.4.15;
- Splunk SOAR
- Versiones anteriores a 8.7.0;
En Splunk Enterprise 9.4.x no está presente el servicio PostgreSQL al que afectan algunas vulnerabilidades de componentes de terceros.
Splunk ha publicado tres boletines de seguridad que corrigen vulnerabilidades en Splunk Enterprise y Splunk SOAR. Los boletines incluyen varias vulnerabilidades críticas de control de acceso, neutralización de entradas y componentes de terceros.
Actualizar Splunk Enterprise a la versión corregida correspondiente a la rama instalada: 10.4.4, 10.2.8, 10.0.11 o 9.4.16, o a una versión posterior.
Actualizar Splunk SOAR a la versión 8.7.0 o posterior.
- CVE-2026-76299: vulnerabilidad de control de acceso inadecuado en Splunk Enterprise.
- CVE-2026-76302: vulnerabilidad de neutralización inadecuada en Splunk Enterprise.
- CVE-2026-76407: vulnerabilidad de control de acceso inadecuado en Splunk SOAR.
- CVE-2026-76531: vulnerabilidad relacionada con archivos o directorios accesibles a terceros en Splunk SOAR.
Vulnerabilidad en Java SE y GraalVM de Oracle
- Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1.
- Oracle GraalVM for JDK: 17.0.21 y 21.0.13.
- Oracle GraalVM Enterprise Edition: 21.3.20.
Oracle ha publicado una alerta de seguridad para una vulnerabilidad de severidad crítica en el componente JSSE de Java SE y GraalVM, que podría ser explotada a través de la red sin autenticación.
Aplicar el parche correspondiente mediante el documento de disponibilidad de parches de Java SE enlazado en la alerta de Oracle y seguir sus instrucciones de instalación.
Oracle recomienda planificar la actualización a una versión con soporte.
CVE-2026-91403: afecta al componente JSSE. La explotación remota sin autenticación podría afectar a la confidencialidad e integridad del sistema. Oracle señala que también puede afectar a despliegues Java que ejecuten código no confiable en aplicaciones sandboxed.
Impacto de vulnerabilidades críticas de PHP en productos Fortinet
Fortinet está investigando el impacto de las vulnerabilidades en los siguientes productos:
- FortiADC y FortiADC Manager.
- FortiDDoS y FortiDDoS-F.
- FortiSIEM y FortiMonitor.
- FortiClient Cloud.
- FortiSOAR y FortiSOAR PaaS.
- FortiGuard y FortiEndpoint.
Fortinet no ha confirmado todavía qué versiones de estos productos están afectadas.
[AVISO PRELIMINAR]
Fortinet está evaluando el impacto de dos vulnerabilidades críticas en el núcleo de PHP. Ambas podrían permitir la ejecución remota de código.
watchTowr informa de intentos de explotación activa de ambas vulnerabilidades en PHP. Este dato no confirma que se estén explotando productos Fortinet; el impacto en dichos productos continúa bajo investigación.
Para productos Fortinet, consultar el aviso FG-IR-26-186 y aplicar las actualizaciones que publique el fabricante para cada producto afectado.
Para instalaciones independientes de PHP, actualizar a las versiones corregidas de la rama correspondiente: 8.2.35, 8.3.36, 8.4.27 o 8.5.12.
- CVE-2026-109618 permite la ejecución remota de código mediante corrupción de memoria durante el manejo de errores por falta de memoria. Una petición multipart puede provocar el agotamiento de memoria mientras PHP procesa la solicitud.
- CVE-2026-109619 permite la ejecución remota de código por el uso de estado global obsoleto después de un error fatal. El estado de una petición puede quedar referenciado por el proceso y ser utilizado durante una solicitud posterior.
Múltiples vulnerabilidades en productos de Cisco
Las vulnerabilidades afectan a las versiones vulnerables de los siguientes productos, independientemente de la configuración del dispositivo:
- Cisco Emergency Responder.
- Cisco Prime Collaboration Deployment.
- Cisco Unified Communications Manager (Unified CM).
- Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P).
- Cisco Unified Communications Manager Session Management Edition (Unified CM SME).
- Cisco Unity Connection.
Cisco ha publicado 8 vulnerabilidades: 3 de severidad crítica y 5 de severidad alta, que en caso de ser explotadas podrían poner en riesgo la confidencialidad, integridad y disponibilidad.
Actualizar los productos afectados a las versiones corregidas indicadas por Cisco:
- Versión 15: actualizar a 15SU5.
- Versión 14: migrar a una versión corregida.
No hay soluciones alternativas para estas vulnerabilidades. Para comprobar las versiones afectadas y las instrucciones de actualización, consultar la información de versiones corregidas del boletín de Cisco.
- CVE-2026-76473: control inadecuado de un recurso a lo largo de su ciclo de vida relacionado con problemas de inyección.
- CVE-2026-76474: vulnerabilidad de autenticación inadecuada.
- CVE-2026-76475: neutralización inadecuada de entradas durante la generación de páginas web.
Múltiples vulnerabilidades en productos de Apache
- Apache Pulsar, versiones:
- Iguales o posteriores a 2.8.1 y anteriores a 4.0.14.
- Iguales o posteriores a 4.1.0 y anteriores a 4.2.5.
- Apache Traffic Server, versiones:
- Desde 8.0.0 hasta 8.1.11.
- Desde 9.0.0 hasta 9.2.15.
- Desde 10.0.0 hasta 10.1.4.
- 10.2.0.
George Chen y otros investigadores, junto con la comunidad de Apache, han informado sobre 16 vulnerabilidades en Apache Pulsar y Apache Traffic Server: 5 de severidad crítica, 9 alta y 2 media. Su explotación podría permitir obtener privilegios de superusuario, eludir controles de acceso, manipular peticiones o respuestas HTTP, acceder, modificar o eliminar información de la caché y provocar una denegación de servicio.
- Apache Pulsar
- Actualizar a 4.0.14 o 4.2.5, según la rama utilizada, o a una versión posterior que incorpore las correcciones.
- Si no es posible actualizar inmediatamente, eliminar la configuración anonymousUserRole del broker y del servicio WebSocket, o restringir el acceso a sus interfaces HTTP a clientes de confianza.
- Apache Traffic Server
- Actualizar a 9.2.16, 10.1.5 o 10.2.1, según la rama utilizada. Los usuarios de versiones anteriores deben migrar a una versión corregida.
- La versión 9.2.16 no incluye la corrección de CVE-2026-111817. Para corregir esta vulnerabilidad, actualizar a 10.1.5 o 10.2.1. Si se mantiene la rama 9.2.x, mantener deshabilitada la opción proxy.config.http.drop_chunked_trailers.
Las vulnerabilidades de severidad crítica son:
- CVE-2026-105869: el proveedor MultiRolesTokenAuthorizationProvider de Apache Pulsar utiliza roles de un JWT sin verificar su firma cuando una solicitud con credenciales no válidas se procesa como usuario anónimo. Un atacante no autenticado podría presentar un JWT falsificado o sin firma y asumir los roles indicados en él. Si incluye un rol configurado en superUserRoles, podría acceder como superusuario y consultar o modificar inquilinos, espacios de nombres, temas, permisos y configuración del broker.
- CVE-2026-111813: vulnerabilidad de inyección de argumentos en el complemento experimental magick de Apache Traffic Server. En su configuración predeterminada, sin firma, pasa los parámetros de consulta del cliente sin filtrarlos a la herramienta convert de ImageMagick. Un atacante no autenticado podría controlar los argumentos utilizados durante el procesamiento de imágenes.
- CVE-2025-31699: Apache Traffic Server puede reutilizar una conexión con el servidor de origen cuando este todavía espera recibir parte del cuerpo de una petición anterior. El origen interpreta una petición posterior como parte de ese cuerpo, permitiendo introducir peticiones que eludan los controles de acceso, interferir con las solicitudes de otros usuarios o envenenar la caché.
- CVE-2026-111816: tratamiento incorrecto de respuestas HTTP 302 malformadas en Apache Traffic Server. Una excepción asociada a Transfer-Encoding: chunked evita que se rechacen por un error de análisis. Estas respuestas pueden almacenarse y servirse pese a ser interpretadas de forma diferente por los extremos de la conexión, permitiendo el envenenamiento de la caché y la desincronización de respuestas.
- CVE-2026-111811: ausencia de autenticación en el complemento experimental tsmemcache de Apache Traffic Server. Su explotación podría permitir a un atacante con acceso por red leer, escribir y eliminar el contenido de la caché compartida del proxy sin disponer de credenciales.
El resto de vulnerabilidades puede consultarse en las referencias.