Siete nuevos avisos de seguridad y seis actualizaciones
Índice
- [Actualización 26/10/2026] Múltiples vulnerabilidades en PHP
- [Actualización 26/10/2026] Múltiples vulnerabilidades en Java SE y GraalVM de Oracle
- [Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Cisco
- [Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
- [Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Tenable
- [Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de QNAP
- Cross-Site Scripting reflejado en el software IsMyGym de Zuinq Studio
- Cross-Site Scripting reflejado en la videoteca de las Cortes de Castilla-La Mancha
- Múltiples vulnerabilidades en productos de HPE
- Inyección SQL en VeloCloud Orchestrator de Arista
- Múltiples vulnerabilidades en productos de Oracle
- Impacto de vulnerabilidades críticas de PHP y Java en entornos de Sage CRM
- Múltiples vulnerabilidades en productos de Broadcom
[Actualización 26/10/2026] Múltiples vulnerabilidades en PHP
Las versiones afectadas de las ramas mantenidas son PHP 8.2.x anterior a 8.2.35, PHP 8.3.x anterior a 8.3.36, PHP 8.4.x anterior a 8.4.27 y PHP 8.5.x anterior a 8.5.12.
PHP considera en riesgo las instalaciones que procesan solicitudes web, incluidas las que utilizan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor en Apache mod_php.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones regulares del proyecto. PHP ha publicado parches de código fuente para las ramas 7.4, 8.0 y 8.1; otros sistemas pueden disponer de retroportaciones de sus distribuidores o proveedores de soporte.
[Actualización 26/10/2026]
El riesgo asociado a CVE-2026-115560 requiere simultáneamente:
- Configurar session.serialize_handler como php_binary o php_serialize.
- Cambiarlo a php durante la ejecución mediante ini_set(), antes de llamar a session_start().
- Mantener habilitado session.upload_progress.enabled.
PHP ha publicado dos vulnerabilidades críticas en su núcleo que pueden permitir a un atacante remoto no autenticado ejecutar código con los privilegios del proceso web. Ambas tienen una puntuación CVSS v4.0 de 9,2.
Se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones. La actividad reportada se refiere al conjunto de vulnerabilidades y no identifica por separado cuál de los dos CVE se utilizó en cada caso.
[Actualización 26/10/2026]
PHP ha informado de una posible ejecución remota de código, identificada como CVE-2026-115560, bajo una combinación poco habitual de configuración y código. Publicará el boletín completo con la próxima actualización ordinaria. Su severidad está pendiente de valoración.
Aplicar las versiones corregidas cuando estén disponibles. El equipo de seguridad prevé publicar parches el 21 de octubre de 2026, incluidos parches retrocompatibles para las ramas PHP 7.4, 8.0 y 8.1. Se añadirán las versiones corregidas exactas cuando se publiquen.
[Actualización 21/10/2026]
Ya se encuentra disponible la actualización que soluciona las vulnerabilidades mencionadas en este aviso.
Se recomienda actualizar PHP de inmediato a la versión corregida correspondiente a su rama: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Para Linux/Debian, consulte la página de descargas de PHP. Si utiliza paquetes de una distribución o un proveedor de soporte LTS, compruebe que incluyen las correcciones.
Para PHP 8.1, 8.0 y 7.4, PHP ofrece parches de código fuente retroportados: PHP 8.1, PHP 8.0 y PHP 7.4. Si su proveedor no ofrece una versión corregida, contacte con él o migre a una rama mantenida. PHP advierte de que el repositorio voluntario rpms.remirepo.net no dispondrá de actualizaciones hoy; recomienda utilizar los paquetes de la distribución o compilar PHP desde el código fuente.
Medidas temporales si no es posible actualizar inmediatamente
- Para CVE-2026-109618, PHP señala memory_limit=-1, aplicado de forma administrativa, como mitigación de configuración principal. Reiniciar los procesos y compruebe que ninguna configuración de aplicación, directorio o pool vuelve a establecer un límite finito. memory_limit=128M no desactiva la vulnerabilidad. El valor -1 no es una solución completa y puede aumentar el consumo de memoria del servidor.
- Mantener post_max_size en un valor bajo: PHP recomienda 8 MB si no se permiten cargas de archivos y 32 MB si son necesarias. Mantenga upload_max_filesize por debajo de post_max_size y aplique límites en el servidor web o proxy al tamaño de la solicitud ya decodificada, campos, partes multipart, cabeceras y profundidad de anidamiento. Estos controles deben contemplar solicitudes sin una cabecera Content-Length válida. Si la aplicación no necesita formularios multipart, bloquearlos antes de que lleguen a PHP.
- No utilizar RLIMIT_AS ni RLIMIT_DATA: pueden provocar fallos de asignación que activen la ruta vulnerable. Los límites de memoria de contenedor o cgroup pueden servir como barrera de disponibilidad, pero tampoco constituyen una mitigación completa.
- Para CVE-2026-109619, desactivar administrativamente session.upload_progress.enabled y reiniciar todos los procesos. En PHP 8.5, desactive también fatal_error_backtraces. Estas medidas reducen rutas de explotación demostradas, pero no cubren todas las variantes.
- Revisar y eliminar directivas por solicitud inválidas u obsoletas que generen avisos antes de inicializar la solicitud. Ocultar avisos con error_reporting, display_errors o @ no mitiga CVE-2026-109619. Correjir también errores fatales y tiempos de ejecución agotados en rutas accesibles desde solicitudes no confiables.
Las medidas temporales reducen la exposición a rutas concretas, pero la actualización es la única solución completa. Si no se puede actualizar un sistema expuesto a Internet, debe aislarlo de las redes públicas hasta aplicar una versión corregida.
[Actualización 26/10/2026]
Configurar session.upload_progress.enabled=0 hasta la próxima actualización ordinaria. Si esta medida ya se aplicó, mantenerla.
Aplicar el ajuste administrativamente, antes del procesamiento de las peticiones, y reiniciar los procesos trabajadores.
Las aplicaciones que nunca cambian el serializador durante la ejecución pueden mantener habilitada esta función. Las actualizaciones para CVE-2026-109618 y CVE-2026-109619 siguen siendo necesarias.
CVE-2026-109618: ejecución remota de código por corrupción durante un agotamiento de memoria (OOM).
En determinadas rutas de procesamiento, una asignación de memoria puede fallar cuando los datos de una solicitud todavía no están inicializados por completo. PHP interrumpe el procesamiento, pero durante el cierre de la solicitud puede utilizar ese estado inválido y provocar corrupción de memoria que permita ejecutar código remotamente.
Un vector destacado son las solicitudes multipart por POST. Un número elevado de cabeceras en las partes, controles de archivo vacíos o nombres de campos anidados pueden elevar el uso de memoria aunque la solicitud parezca respetar los límites configurados. PHP ha validado la ejecución remota de código sin autenticación contra Apache mod_php, antes de que se ejecute código de la aplicación. El análisis del código también considera susceptible a PHP-FPM, aunque no se ha demostrado un exploit completo para esa ruta específica.
CVE-2026-109619: ejecución remota de código por uso de estado global obsoleto.
Parte del estado interno asociado a una solicitud puede permanecer en un proceso trabajador después de liberarse la memoria de esa solicitud. Si una solicitud posterior llega al mismo trabajador y utiliza ese estado antes de que PHP lo reinicialice, puede producirse un uso después de liberar memoria, una posible divulgación de memoria y ejecución remota de código.
El equipo de PHP describe rutas confirmadas en Apache mod_php y PHP-FPM. La explotación puede depender de un error fatal o de una operación de sesión y de que el mismo trabajador procese solicitudes sucesivas. En PHP 8.5 también se ha demostrado una ruta relacionada con las trazas de errores fatales.
[Actualización 26/10/2026] Múltiples vulnerabilidades en Java SE y GraalVM de Oracle
- Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1.
- Oracle GraalVM for JDK: 17.0.21 y 21.0.13.
- Oracle GraalVM Enterprise Edition: 21.3.20.
[Actualización 26/10/2026]
Versiones afectadas por CVE-2026-114820:
- Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2 y 27.0.1.0.2.
- Oracle GraalVM for JDK: 17.0.21.0.2 y 21.0.13.0.2.
- Oracle GraalVM Enterprise Edition: 21.3.20.0.2.
Oracle ha publicado una alerta de seguridad para una vulnerabilidad de severidad crítica en el componente JSSE de Java SE y GraalVM, que podría ser explotada a través de la red sin autenticación.
[Actualización 26/10/2026]
Oracle ha publicado una nueva alerta sobre CVE-2026-114820, una vulnerabilidad crítica del componente JSSE relacionada con certificados de eMudhra que podría comprometer la confidencialidad e integridad de los datos.
Aplicar el parche correspondiente mediante el documento de disponibilidad de parches de Java SE enlazado en la alerta de Oracle y seguir sus instrucciones de instalación.
Oracle recomienda planificar la actualización a una versión con soporte.
[Actualización 26/10/2026]
Aplicar la actualización para CVE-2026-114820 siguiendo el documento de disponibilidad de parches enlazado desde la alerta de Oracle. La actualización elimina los certificados raíz afectados de eMudhra.
Cuando no sea posible instalarla, seguir las mitigaciones oficiales: retirar las raíces indicadas del almacén de confianza, previa copia de seguridad, o configurar la comprobación de revocación según la aplicación. Revisar también los almacenes personalizados y reiniciar los entornos afectados cuando corresponda.
CVE-2026-91403: afecta al componente JSSE. La explotación remota sin autenticación podría afectar a la confidencialidad e integridad del sistema. Oracle señala que también puede afectar a despliegues Java que ejecuten código no confiable en aplicaciones sandboxed.
[Actualización 26/10/2026]
CVE-2026-114820: un atacante remoto sin autenticación podría acceder a datos críticos o crearlos, eliminarlos o modificarlos mediante el componente JSSE. La vulnerabilidad puede alcanzarse a través de sus API y afecta también a determinados despliegues que ejecutan código no confiable mediante Java Web Start o applets.
[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Cisco
Cisco ha confirmado la afectación de los siguientes productos, sin especificar los intervalos de versiones afectadas:
- Expressway Series.
- Expressway Select Series.
- Ultra-Reliable Wireless Backhaul (URWB).
En URWB, la explotación requiere autenticación como administrador. Otros productos y servicios continúan bajo investigación; consultar su estado en el boletín de Cisco.
[Actualización 26/10/2026]
Cisco ha incorporado Duo Access Gateway a la relación de productos afectados.
Cisco ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas del núcleo de PHP en sus productos. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ha confirmado productos afectados y continúa evaluando otros.
Cisco ha anunciado las siguientes versiones corregidas, cuya disponibilidad está pendiente:
- Expressway Series y Expressway Select Series: 15.5.21, con fecha por determinar.
- URWB: 27.1.1, prevista para febrero de 2027.
Las fechas son estimadas y pueden cambiar.
[Actualización 26/10/2026]
Duo Access Gateway dispone de la versión corregida 3.2.0 para Windows y Linux. En Windows requiere PHP 8.3.36 o posterior; en Linux incorpora PHP 8.3.36.
Para Duo Access Gateway 3.0.0 o 3.1.0 en Windows, también puede actualizarse PHP a 8.3.36 mediante el actualizador independiente indicado en las notas de versión de Duo.
Cisco confirma que existen soluciones alternativas para Expressway Series, Expressway Select Series y URWB. Consultar los apartados correspondientes de los registros CSCwx37062 y CSCwx37073.
Consultar el boletín del fabricante y aplicar las actualizaciones correspondientes cuando estén disponibles.
- CVE-2026-109618: la gestión incorrecta de errores por falta de memoria puede dejar datos internos de una petición PHP en un estado inválido y permitir la ejecución remota de código.
- CVE-2026-109619: las referencias globales a memoria de peticiones ya liberadas pueden utilizarse durante solicitudes posteriores, lo que podría permitir la ejecución remota de código.
La clasificación crítica corresponde a PHP, con CVSS v4.0 de 9,2. Para URWB, Cisco publica una valoración específica de 6,6 en CVSS v3.1, de severidad media, al requerir autenticación como administrador.
[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
[Actualización 26/10/2026]
La afectación corresponde a PAN-OS en cortafuegos PA-Series y VM-Series y en Panorama, tanto virtual como M-Series, en las ramas 12.2, 12.1, 11.2, 11.1 y 10.2 anteriores a las correcciones correspondientes.
WildFire Appliance WF-500 y WF-500-B no están afectados.
En PAN-OS, la afectación se limita a la interfaz web de administración, incluidos HTTPS y XML API. Las interfaces del plano de datos están afectadas si tienen asociado un perfil de administración.
[Actualización 26/10/2026]
Palo Alto Networks ha actualizado su evaluación de PHP2Shell y confirma la afectación de PAN-OS y Panorama.
El fabricante también indica que CVE-2026-115560 no afecta a PAN-OS ni Panorama, al no utilizar la configuración implicada.
Para estos productos, el fabricante describe un impacto en la disponibilidad y asigna una severidad alta. La clasificación crítica del aviso corresponde a las vulnerabilidades originales de PHP.
[Actualización 26/10/2026]
Ya están disponibles las siguientes correcciones de PAN-OS, aplicables también a Panorama:
- 11.2.10-h16.
- 11.1.4-h38.
- 11.1.6-h40.
- 11.1.10-h36.
- 11.1.13-h16.
- 11.1.16-h4.
- 10.2.18-h13.
Instalar la corrección correspondiente a la rama utilizada. Las restantes actualizaciones mantienen fechas estimadas entre el 27 y el 30 de octubre. Consultar la matriz del fabricante, que también recoge las firmas de protección ampliadas en Applications and Threats 9162, 9163, 9164 y posteriores.
Mientras tanto, restringir la administración de PAN-OS y Panorama a direcciones IP internas de confianza. La protección mediante Threat Prevention requiere configurar la inspección del tráfico de administración conforme a las instrucciones del fabricante.
- CVE-2026-109618: la gestión del agotamiento de memoria puede dejar datos de una petición PHP sin inicializar. Su procesamiento posterior podría provocar corrupción de memoria y ejecución remota de código en PHP.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada y utilizarlas en solicitudes posteriores, lo que podría permitir la ejecución remota de código en PHP.
Estas descripciones corresponden a PHP. La evaluación específica de Palo Alto Networks identifica un impacto en la disponibilidad de sus productos.
[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Tenable
- Tenable Security Center, versiones 6.9.1 y anteriores.
- Tenable Enclave Security, versiones 1.9.1 y anteriores.
[AVISO PRELIMINAR]
Tenable ha publicado dos boletines para abordar el posible impacto de dos vulnerabilidades críticas de PHP en Tenable Security Center y Tenable Enclave Security. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ya dispone de un parche para actualizar este componente.
[Actualización 26/10/2026]
Aplicar el parche SC-202610.2, que actualiza PHP a la versión 8.2.35, conforme a los boletines TNS-2026-30 y TNS-2026-31.
- Tenable Security Center: disponible para 6.6.0, 6.7.2, 6.8.0 y 6.9.1 sobre Oracle Linux 8 o posterior y Red Hat Enterprise Linux 8 o posterior.
- Tenable Enclave Security: disponible para Security Center 6.7.5, 6.8.0 y 6.9.1 sobre Enclave Security 1.7.0, 1.8.0 y 1.9.1, respectivamente.
Seguir las instrucciones específicas para Security Center y Enclave Security. La instalación requiere detener el servicio y volver a iniciarlo.
- CVE-2026-109618: la gestión incorrecta del agotamiento de memoria puede dejar datos internos de una petición PHP sin inicializar. Su utilización posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: el estado global de PHP puede conservar referencias a memoria liberada y utilizarlas en otra petición, lo que podría permitir la ejecución remota de código.
[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de QNAP
- QTS 6.1.0; QTS 5.2.11 y anteriores.
- QuTS hero h6.1.0; h6.0.x; h5.2.11 y anteriores.
- QuTScloud c5.2.9 y anteriores.
- QuMagie 2.10.1 y anteriores.
- Note Station 3 3.9.14 y anteriores.
- QNE (ADRA) 1.0.7 y anteriores.
- QVR Surveillance 3.0.3 y anteriores, únicamente en modelos ARM32.
- TVR OS 1.0.4 y anteriores.
[Actualización 26/10/2026]
Para QTS, QuTS hero y QuTScloud, la afectación comprende las compilaciones anteriores a las versiones corregidas indicadas en Solución. Los números de rama del listado original deben interpretarse junto con esas compilaciones.
QNAP ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios de sus productos y podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario.
[Actualización 26/10/2026]
QNAP ha publicado correcciones para QTS, QuTS hero y QuTScloud. Continúa preparando actualizaciones para otros productos afectados.
[Actualización 26/10/2026]
Actualizar a la versión correspondiente a la rama instalada o a una posterior:
- QTS 6.1.0.3656 build 20261023.
- QTS 5.2.11.3661 build 20261023.
- QuTS hero h6.1.0.3656 build 20261023.
- QuTS hero h6.0.2.3656 build 20261023.
- QuTS hero h5.2.11.3661 build 20261023.
- QuTScloud c5.2.9.3661 build 20261023.
Las correcciones de Note Station 3, QNE (ADRA), QVR Surveillance para ARM32 y TVR OS siguen pendientes. QuMagie continúa entre los productos afectados, sin versión corregida especificada.
Consultar el boletín QSA-26-18 y mantener las mitigaciones hasta aplicar las correcciones.
Las actualizaciones de QNAP no cubren el PHP de contenedores de Container Station ni de aplicaciones de terceros; solicitar sus correcciones al proveedor correspondiente.
Mientras tanto:
- Retirar la exposición directa a Internet y desactivar las redirecciones de puertos y UPnP.
- Utilizar una VPN y restringir la administración a redes de confianza.
- Detener las aplicaciones afectadas y los servicios que no sean necesarios.
- Revisar QuLog Center y ejecutar Security Center y Malware Remover actualizados.
Desactivar Web Server no protege la interfaz de administración. Estas medidas reducen la exposición, pero no corrigen las vulnerabilidades.
- CVE-2026-109618: una petición puede agotar la memoria mientras sus datos están parcialmente inicializados. Su procesamiento durante la limpieza de PHP podría permitir la ejecución remota de código.
- CVE-2026-109619: una petición posterior puede utilizar referencias globales a memoria liberada por otra petición, lo que podría permitir la ejecución de código o la exposición de memoria.
Cross-Site Scripting reflejado en el software IsMyGym de Zuinq Studio
Software de gestión de gimnasios IsMyGym, versiones anteriores a la v6.0.85.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta al software de gestión de gimnasios IsMyGym de Zuinq Studio, un software para la gestión de centros deportivos, gimnasios y entrenadores. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-4316: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de Zuinq Studio en la versión 6.0.85.
CVE-2026-4316: vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejada en el software de gestión de gimnasios IsMyGym, que afecta al endpoint de reservas, donde el parámetro ret se refleja en la respuesta HTTP sin el filtrado adecuado. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante inyectar código JavaScript arbitrario que se ejecutaría en el contexto del navegador de la víctima.
Cross-Site Scripting reflejado en la videoteca de las Cortes de Castilla-La Mancha
Aplicación web de la videoteca de las Cortes de Castilla-La Mancha, accesible en http://videoteca.cortesclm.es/.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la aplicación web de la videoteca de las Cortes de Castilla-La Mancha. La vulnerabilidad ha sido descubierta por Sergio Ros Montero.
La puntuación base CVSS v4.0, el vector y el tipo de vulnerabilidad CWE son los siguientes:
- CVE-2026-103377: CVSS v4.0: 5.1 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de las Cortes de Castilla-La Mancha en octubre de 2026.
CVE-2026-103377: vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejado en la aplicación web de la videoteca de las Cortes de Castilla-La Mancha. La aplicación incorpora en la página contenido introducido por el usuario sin neutralizarlo correctamente antes de su interpretación por el navegador. La explotación de esta vulnerabilidad podría permitir a un atacante remoto ejecutar código JavaScript arbitrario en el navegador de una víctima que interactúe con el contenido preparado para el ataque.
Múltiples vulnerabilidades en productos de HPE
- HPE Networking Wireless Operating Systems
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
- AOS-10.8: 10.8.1.1 y anteriores de la rama.
- AOS-10.7: 10.7.2.6 y anteriores de la rama.
- AOS-10.4: 10.4.1.13 y anteriores de la rama.
- AOS-8.13: 8.13.3.0 y anteriores de la rama.
- AOS-8.10: 8.10.0.23 y anteriores de la rama.
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
- Productos que incorporan PHP vulnerable
- ClearPass Policy Manager: 6.14.1 y anteriores y 6.11.16 y anteriores, sin los parches específicos de PHP. Las versiones fuera de soporte deben considerarse potencialmente afectadas.
- HPE Data Management Framework 7: DMF_Suite_4.10-rhel810.
- HPE Private Cloud AI: v1.11.0, 1.12.1 y 2026.07.01.
- Cray ClusterStor Data Services: 7.2 y 7.3.
El equipo de investigación interna de HPE Networking y diversos investigadores, entre ellos moonv, zzcentury y m0omo0d, han informado sobre 74 vulnerabilidades: 35 de severidad crítica, 31 altas, 7 medias y 1 baja en AOS-8 y AOS-10 que podrían permitir ejecutar código, eludir la autenticación, acceder a información sensible o provocar una denegación de servicio.
HPE también ha publicado información sobre dos vulnerabilidades críticas de PHP que afectan a ClearPass Policy Manager y otros productos.
Actualizar AOS a la versión corregida de su rama o una posterior:
- AOS-10.8: 10.8.1.2.
- AOS-10.7: 10.7.2.7.
- AOS-10.4: 10.4.1.14.
- AOS-8.13: 8.13.3.1.
- AOS-8.10: 8.10.0.24.
Para ClearPass, instalar el Hotfix Patch to Address PHP Vulnerabilities CVE-2026-109618 and CVE-2026-109619 correspondiente a 6.14.1 o 6.11.16. Actualizar únicamente a esas versiones base no corrige completamente las vulnerabilidades.
Las actualizaciones están disponibles en el portal de soporte de HPE Networking.
El boletín general no especifica versiones corregidas para Data Management Framework 7, Private Cloud AI o Cray ClusterStor Data Services. Consultar con el soporte de HPE.
Mientras se aplican las correcciones, restringir las interfaces de administración a una VLAN dedicada y mediante políticas de cortafuegos. En ClearPass, limitar también la exposición pública de los portales de invitados.
Las vulnerabilidades críticas son:
- CVE-2026-79844 y CVE-2026-79850: omisiones de autenticación en AOS-10 y AOS-8, respectivamente, que permiten ejecutar comandos remotamente. La primera requiere condiciones previas ajenas al control del atacante; la segunda puede proporcionar permisos de root.
- CVE-2026-79845: según HPE, una omisión de autenticación en PAPI de AOS-10 permite obtener acceso administrativo y modificar configuraciones y datos sensibles.
- CVE-2026-79846, CVE-2026-79857 y CVE-2026-79861: inyecciones de comandos sin autenticación. Las dos primeras afectan a AOS-8 y la tercera a AOS-10. La primera requiere condiciones previas; las otras son accesibles mediante PAPI.
- CVE-2026-79847, CVE-2026-79851, CVE-2026-79859, CVE-2026-79860 y CVE-2026-79872: desbordamientos de búfer que permiten ejecutar código remotamente sin autenticación y con permisos elevados.
- CVE-2026-79848, CVE-2026-79849, CVE-2026-79852 y CVE-2026-79854: inyecciones SQL que permiten ejecutar comandos en el sistema operativo sin autenticación.
- CVE-2026-79853: divulgación de información en AOS-10 que puede facilitar la ejecución remota de comandos.
- CVE-2026-79855: omisión de autenticación en SSH de AOS-8 que permite obtener privilegios administrativos.
- CVE-2026-79856: desbordamiento de búfer en PAPI de AOS-8 que permite eludir la autenticación y modificar configuraciones o datos.
- CVE-2026-79858: inyección SQL en PAPI de AOS-8 que permite consultar o modificar información e interrumpir el servicio.
- CVE-2026-79862, CVE-2026-79863 y CVE-2026-79865: desbordamientos de búfer o corrupción de memoria que permiten ejecutar código desde una red adyacente sin autenticación.
- CVE-2026-79864: inyección de comandos en AOS-10 que permite ejecutar comandos con permisos elevados desde una red adyacente.
- CVE-2026-79866: recorrido de directorios en PAPI de AOS-8 que permite leer, modificar o eliminar archivos desde una red adyacente.
- CVE-2026-79867 y CVE-2026-79869: omisiones de autenticación en AOS-8 y AOS-10, respectivamente, que permiten ejecutar comandos desde una red adyacente.
- CVE-2026-79868, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874 y CVE-2026-79875: omisiones de autenticación que permiten obtener acceso administrativo y manipular configuraciones o datos desde una red adyacente.
- CVE-2026-79871: divulgación de información sensible en la interfaz de línea de comandos de AOS-10, accesible remotamente sin autenticación.
- CVE-2026-79876: divulgación de información durante el procesamiento de tramas Wi-Fi de AOS-10, que puede facilitar accesos adicionales o interrumpir el servicio.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código.
- CVE-2026-109619: la persistencia de referencias globales a memoria liberada en PHP puede permitir ejecutar código mediante peticiones posteriores.
Inyección SQL en VeloCloud Orchestrator de Arista
VeloCloud Orchestrator On-Prem:
- Rama 5.2.x: versiones anteriores a 5.2.3.18.
- Rama 6.1.x: versiones anteriores a 6.1.3.10.
- Rama 6.4.x: versiones anteriores a 6.4.2.12.
Las versiones fuera de soporte no han sido evaluadas. Las instancias alojadas, incluidas las dedicadas, ya están corregidas.
Arista ha publicado una vulnerabilidad de severidad crítica que permite a usuarios autenticados obtener privilegios de operador en VeloCloud Orchestrator. El fabricante ha confirmado su explotación activa.
Actualizar a 5.2.3.18, 6.1.3.10 o 6.4.2.12, o versiones posteriores de la rama correspondiente.
Mientras se actualiza, restringir la administración a redes de confianza y revisar los registros de actividad.
CVE-2026-114625: una inyección SQL permite suplantar a un superuser operator y acceder a funciones internas restringidas. Requiere una sesión válida; basta el rol Enterprise Read Only.
Múltiples vulnerabilidades en productos de Oracle
- Oracle Communications Diameter Signaling Router: 8.6.0 y 9.0.0.
- Oracle Communications EAGLE Application Processor: 17.0 y 17.1.
- Oracle Communications EAGLE Element Management System: 47.0.
- Oracle Communications EAGLE LNP Application Processor: 11.1.
- Oracle Communications LSMS: 14.0.
- Oracle Communications Performance Intelligence Center (PIC) Software: 10.4 y 10.5.
- Oracle Communications Unified Assurance: 6.1.1 a 7.0.0.
- Oracle Communications User Data Repository: 15.0.
- Oracle Solaris: 11.
Oracle ha publicado una alerta sobre 2 vulnerabilidades críticas de PHP, conocidas como PHP2Shell, que afectan a productos Oracle Communications y Oracle Solaris y podrían permitir ejecutar código de forma remota sin autenticación.
Aplicar los parches específicos de cada producto siguiendo los documentos de disponibilidad e instalación enlazados desde la alerta de Oracle.
El parche indicado para CVE-2026-109618 también corrige CVE-2026-109619.
- CVE-2026-109618: el tratamiento de errores por falta de memoria puede dejar datos de una petición sin inicializar. Su utilización posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada. Las peticiones posteriores podrían utilizar ese estado obsoleto y permitir ejecutar código arbitrario.
Impacto de vulnerabilidades críticas de PHP y Java en entornos de Sage CRM
- Aplicaciones e integraciones de terceros conectadas a Sage CRM que utilicen PHP vulnerable. La arquitectura estándar de Sage CRM no utiliza PHP y no está directamente afectada.
- Instalaciones de Sage CRM que utilicen una versión afectada de Oracle JRE 8. Debe comprobarse el entorno Java utilizado por Apache Tomcat.
Sage continúa investigando el posible impacto en Eclipse Temurin OpenJRE 8 y 11. No ha confirmado una vía de explotación directa mediante las funciones estándar del CRM.
[AVISO PRELIMINAR]
Sage ha publicado tres comunicaciones sobre vulnerabilidades críticas de PHP y Java relacionadas con entornos de Sage CRM.
El compromiso de una integración PHP vulnerable podría exponer credenciales y permitir acceder a datos del CRM según los permisos concedidos. La vulnerabilidad de Java podría permitir suplantar servicios y comprometer comunicaciones.
Sage ha aplazado el lanzamiento de Sage CRM 2026 R2 mientras investiga el impacto en Eclipse Temurin y valida una solución.
- Identificar las integraciones PHP, actualizar su entorno a una versión corregida compatible y confirmar con su proveedor la aplicación de los parches. Revisar permisos, credenciales y registros. No se requiere un parche de Sage CRM para corregir PHP.
- Identificar el entorno Java utilizado realmente por Tomcat y aplicar la actualización correspondiente. Si no puede actualizarse, seguir las mitigaciones de Oracle sobre confianza y revocación de certificados.
- Respaldar la configuración y comprobar Tomcat y las integraciones después de los cambios. Actualizar Java en el servidor no garantiza que Tomcat utilice ese entorno.
Sage no ha confirmado una nueva fecha para Sage CRM 2026 R2.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código.
- CVE-2026-109619: PHP puede conservar referencias a memoria liberada y utilizarlas en peticiones posteriores, permitiendo ejecutar código arbitrario.
- CVE-2026-91403: una vulnerabilidad de JSSE en Oracle Java, relacionada con certificados de autoridades de certificación comprometidos, podría permitir a un atacante remoto sin autenticación suplantar servicios y acceder o modificar datos transmitidos por aplicaciones Java.
Múltiples vulnerabilidades en productos de Broadcom
- Security Analytics: 8.2.8, 8.3.1, 8.3.2, 8.4.1.2 y 8.4.1.3.
- Symantec Privileged Access Manager (PAM): servidor y dispositivos con PHP vulnerable. El fabricante no publica un intervalo exhaustivo de versiones afectadas.
Los clientes y agentes de PAM, PAM Server Control, A2A, Socket Filter Agents, Windows Proxies y Threat Analytics no están afectados.
Broadcom ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a Security Analytics y Symantec PAM y podrían permitir ejecutar código de forma remota. Las condiciones de exposición dependen de su integración en cada producto.
La investigación de la división IMS está finalizada. PAM utiliza PHP internamente, pero no expone un servicio web PHP al exterior.
- Symantec PAM: aplicar 4.2.3.85, 4.2.4.85, 4.3.0.85, 4.3.1.85 o 4.3.2.85, según la versión instalada.
- Security Analytics: aplicar el parche previsto para 8.3.2 durante la última semana de octubre cuando esté disponible. Las instalaciones anteriores deberán actualizar primero a 8.3.2. Esa versión sin el parche sigue afectada.
- Security Analytics 8.4.1.2 y posteriores: la corrección 8.4.1.4 está prevista para la segunda semana de noviembre.
Broadcom también recomienda actualizar las instalaciones antiguas de OPMS, anteriores a 26.8.x, a 26.8.4 o posterior. ASM Core y las estaciones públicas no están afectados.
- CVE-2026-109618: PHP puede dejar datos de una petición sin inicializar tras un error por falta de memoria y permitir la ejecución remota de código durante su limpieza posterior.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada. Su utilización en peticiones posteriores podría permitir ejecutar código arbitrario.