Cinco nuevos avisos de seguridad y dos actualizaciones
Índice
- [Actualización 28/10/2026] Múltiples vulnerabilidades en productos de HPE
- [Actualización 28/10/2026] Escritura fuera de límites en productos de Palo Alto Networks
- Múltiples vulnerabilidades en NoviGest Desktop App de Tactis
- Inyección SQL (SQLi) en el módulo de autenticación de usuarios de Futurum Software
- Múltiples vulnerabilidades en Fireware OS de WatchGuard
- Múltiples vulnerabilidades en productos de Citrix
- Escritura fuera de límites en SDDC Manager de Broadcom
[Actualización 28/10/2026] Múltiples vulnerabilidades en productos de HPE
- HPE Networking Wireless Operating Systems
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
- AOS-10.8: 10.8.1.1 y anteriores de la rama.
- AOS-10.7: 10.7.2.6 y anteriores de la rama.
- AOS-10.4: 10.4.1.13 y anteriores de la rama.
- AOS-8.13: 8.13.3.0 y anteriores de la rama.
- AOS-8.10: 8.10.0.23 y anteriores de la rama.
- Mobility Conductors, Mobility Controllers, Mobility Gateways y puntos de acceso con:
- Productos que incorporan PHP vulnerable
- ClearPass Policy Manager: 6.14.1 y anteriores y 6.11.16 y anteriores, sin los parches específicos de PHP. Las versiones fuera de soporte deben considerarse potencialmente afectadas.
- HPE Data Management Framework 7: DMF_Suite_4.10-rhel810.
[Actualización 28/10/2026]
HPE revisa la relación de productos potencialmente afectados por PHP2Shell e identifica:
- System Management Homepage (SMH), fuera de soporte.
- Cray ClusterStor E1000, E2000 y C500: software 6.x y 7.x.
- Assessment Foundry: Server_v2.0.2.
- HP-UX OSP: 11.31.
- NonStop NS-T1203-SCRIPTING LANGUAGES: T1203L01-AAO.
El equipo de investigación interna de HPE Networking y diversos investigadores, entre ellos moonv, zzcentury y m0omo0d, han informado sobre 74 vulnerabilidades: 35 de severidad crítica, 31 altas, 7 medias y 1 baja en AOS-8 y AOS-10 que podrían permitir ejecutar código, eludir la autenticación, acceder a información sensible o provocar una denegación de servicio.
HPE también ha publicado información sobre dos vulnerabilidades críticas de PHP que afectan a ClearPass Policy Manager y otros productos.
Actualizar AOS a la versión corregida de su rama o una posterior:
- AOS-10.8: 10.8.1.2.
- AOS-10.7: 10.7.2.7.
- AOS-10.4: 10.4.1.14.
- AOS-8.13: 8.13.3.1.
- AOS-8.10: 8.10.0.24.
Para ClearPass, instalar el Hotfix Patch to Address PHP Vulnerabilities CVE-2026-109618 and CVE-2026-109619 correspondiente a 6.14.1 o 6.11.16. Actualizar únicamente a esas versiones base no corrige completamente las vulnerabilidades.
Las actualizaciones están disponibles en el portal de soporte de HPE Networking.
[Actualización 28/10/2026]
Para ClusterStor 6.x, seguir php7_for6.x_install.pdf; para 7.x, php8_for7.x_install.pdf. Ambos procedimientos están disponibles en la guía de HPE e incluyen actualizar los paquetes PHP, reiniciar los servicios afectados y verificar la corrección.
El boletín no ofrece versiones corregidas para SMH, Data Management Framework 7, Assessment Foundry, HP-UX OSP o NonStop; consultar con HPE.
Mientras se aplican las correcciones, restringir las interfaces de administración a una VLAN dedicada y mediante políticas de cortafuegos. En ClearPass, limitar también la exposición pública de los portales de invitados.
Las vulnerabilidades críticas son:
- CVE-2026-79844 y CVE-2026-79850: omisiones de autenticación en AOS-10 y AOS-8, respectivamente, que permiten ejecutar comandos remotamente. La primera requiere condiciones previas ajenas al control del atacante; la segunda puede proporcionar permisos de root.
- CVE-2026-79845: según HPE, una omisión de autenticación en PAPI de AOS-10 permite obtener acceso administrativo y modificar configuraciones y datos sensibles.
- CVE-2026-79846, CVE-2026-79857 y CVE-2026-79861: inyecciones de comandos sin autenticación. Las dos primeras afectan a AOS-8 y la tercera a AOS-10. La primera requiere condiciones previas; las otras son accesibles mediante PAPI.
- CVE-2026-79847, CVE-2026-79851, CVE-2026-79859, CVE-2026-79860 y CVE-2026-79872: desbordamientos de búfer que permiten ejecutar código remotamente sin autenticación y con permisos elevados.
- CVE-2026-79848, CVE-2026-79849, CVE-2026-79852 y CVE-2026-79854: inyecciones SQL que permiten ejecutar comandos en el sistema operativo sin autenticación.
- CVE-2026-79853: divulgación de información en AOS-10 que puede facilitar la ejecución remota de comandos.
- CVE-2026-79855: omisión de autenticación en SSH de AOS-8 que permite obtener privilegios administrativos.
- CVE-2026-79856: desbordamiento de búfer en PAPI de AOS-8 que permite eludir la autenticación y modificar configuraciones o datos.
- CVE-2026-79858: inyección SQL en PAPI de AOS-8 que permite consultar o modificar información e interrumpir el servicio.
- CVE-2026-79862, CVE-2026-79863 y CVE-2026-79865: desbordamientos de búfer o corrupción de memoria que permiten ejecutar código desde una red adyacente sin autenticación.
- CVE-2026-79864: inyección de comandos en AOS-10 que permite ejecutar comandos con permisos elevados desde una red adyacente.
- CVE-2026-79866: recorrido de directorios en PAPI de AOS-8 que permite leer, modificar o eliminar archivos desde una red adyacente.
- CVE-2026-79867 y CVE-2026-79869: omisiones de autenticación en AOS-8 y AOS-10, respectivamente, que permiten ejecutar comandos desde una red adyacente.
- CVE-2026-79868, CVE-2026-79870, CVE-2026-79873, CVE-2026-79874 y CVE-2026-79875: omisiones de autenticación que permiten obtener acceso administrativo y manipular configuraciones o datos desde una red adyacente.
- CVE-2026-79871: divulgación de información sensible en la interfaz de línea de comandos de AOS-10, accesible remotamente sin autenticación.
- CVE-2026-79876: divulgación de información durante el procesamiento de tramas Wi-Fi de AOS-10, que puede facilitar accesos adicionales o interrumpir el servicio.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código.
- CVE-2026-109619: la persistencia de referencias globales a memoria liberada en PHP puede permitir ejecutar código mediante peticiones posteriores.
[Actualización 28/10/2026] Escritura fuera de límites en productos de Palo Alto Networks
- PAN-OS en cortafuegos PA-Series y VM-Series:
- 12.2: versiones anteriores a 12.2.4-h1.
- 12.1: versiones anteriores a 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3, según la línea de mantenimiento.
- 11.2: desde 11.2.4 y anteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1, según la línea de mantenimiento.
- Prisma Cloud - Application Security Transporter Client: versiones anteriores a 0.2.9.
En PAN-OS, la exposición requiere inspección Brotli y descifrado TLS/SSL activados en el plano de datos. Panorama y PAN-OS 11.1 y 10.2 no están afectados.
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en el decodificador Brotli que podría permitir a un atacante remoto sin autenticación revelar información, provocar una denegación de servicio o ejecutar código arbitrario.
Actualizar, según la línea utilizada, a:
- PAN-OS 12.2.4-h1.
- PAN-OS 12.1.7-h11.
- PAN-OS 11.2.10-h17.
- Prisma Cloud - Application Security Transporter Client 0.2.9.
[Actualización 28/10/2026]
Ya están disponibles las siguientes correcciones adicionales de PAN-OS:
- 11.2.7-h23.
- 11.2.13-h4.
- 11.2.16-h1.
Actualizar a la versión corregida correspondiente a la línea de mantenimiento utilizada.
Permanecen previstas PAN-OS 12.1.4-h13 para el 29/10/2026, y PAN-OS 12.1.10-h3 y 11.2.4-h23 para el 30/10/2026. Estas fechas son estimaciones; comprobar su disponibilidad en el boletín del fabricante.
La versión 11.2.10-h16 corrige PHP, pero requiere actualizar a 11.2.10-h17 para corregir también Brotli.
Como mitigación provisional, deshabilitar Brotli mediante set system setting brotli-encoding disable. Verificar con show system setting brotli que aparezca Enabled: no.
CVE-2026-111497: escritura fuera de límites en el decodificador Brotli. Al procesar datos comprimidos manipulados, el decodificador puede escribir fuera de un búfer interno y corromper la memoria adyacente. Un atacante remoto sin autenticación que consiga que se procesen esos datos podría acceder a información sensible de la memoria, provocar la interrupción del servicio o, potencialmente, ejecutar código arbitrario.
Múltiples vulnerabilidades en NoviGest Desktop App de Tactis
NoviGest Desktop App, versión 7.4.4-292: servicio Java RMI e importación de archivos XML del módulo SAFT.
INCIBE ha coordinado la publicación de 2 vulnerabilidades, una de severidad crítica y otra de severidad alta, que afectan a NoviGest Desktop App de Tactis Serviços Informáticos, LDA, un software de gestión clínica. Las vulnerabilidades han sido descubiertas por Pablo Jordán Lucia y Marina Jiali Villalta Cerezo.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuaciones base CVSS v4.0, vectores del CVSS y tipos de vulnerabilidad CWE:
CVE-2026-112197: CVSS v4.0: 9.4 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-306
CVE-2026-112198: CVSS v4.0: 8.3 | CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-611
Actualizar NoviGest Desktop App a la versión 8.0.0-300, en la que el fabricante confirma la corrección de ambas vulnerabilidades.
Para CVE-2026-112197, los métodos remotos que acceden a datos requieren un token de sesión JWT validado en el servidor. Se han retirado las interfaces que exponían credenciales y permitían ejecutar SQL arbitrario, y se han reducido los privilegios de la cuenta de PostgreSQL para impedir la ejecución de programas y el acceso a archivos del servidor.
Para CVE-2026-112198, el procesamiento XML utiliza un XMLStreamReader con las DTD y las entidades externas deshabilitadas. La validación de esquemas emplea procesamiento seguro y bloquea el acceso a DTD y esquemas externos.
- CVE-2026-112197: vulnerabilidad de ausencia de autenticación en funciones críticas del servicio Java RMI de NoviGest Desktop App. Un atacante con acceso de red al servicio puede invocar métodos remotos sin autenticarse, obtener credenciales sensibles y ejecutar consultas SQL arbitrarias sobre PostgreSQL. Los privilegios elevados de la cuenta de base de datos permiten encadenar estas capacidades para ejecutar comandos del sistema operativo en el servidor, comprometiendo su confidencialidad, integridad y disponibilidad.
- CVE-2026-112198: vulnerabilidad de inyección de entidades externas XML (XXE) en la importación SAFT de NoviGest Desktop App. La aplicación procesa archivos XML controlados por el usuario mediante un Unmarshaller JAXB sin deshabilitar adecuadamente la resolución de entidades externas. Un atacante con acceso a esta funcionalidad puede proporcionar un archivo XML manipulado para leer archivos locales accesibles al proceso de la aplicación. Si esta se ejecuta con privilegios elevados, podrían quedar expuestos archivos sensibles del sistema.
Inyección SQL (SQLi) en el módulo de autenticación de usuarios de Futurum Software
Módulo de autenticación de usuarios de la plataforma de gestión comercial.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica, que afecta a módulo de autenticación de usuarios de Futurum Software, plataforma de gestión empresarial en la nube diseñada para crear y administrar negocios de marketing multinivel. La vulnerabilidad ha sido descubierta por Diego González Aguín (Celerx).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-14571: CVSS v4.0: 9.1 | CVSS AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L | CWE-89
La vulnerabilidad ya se ha corregido en el módulo de autenticación de usuarios de Futurum Software.
CVE-2026-14571: vulnerabilidad de Blind SQL Injection en el software de gestión de Futurum Software, originada por la falta de adecuada validación y saneamiento de los inputs proporcionados por el usuario en las consultas a la base de datos del área privada, así como por una configuración incorrecta del WAF. Esta debilidad permite eludir los mecanismos de protección mediante el envío exclusivo de peticiones HTTP manipuladas. La explotación exitosa de la vulnerabilidad podría permitir a un atacante no autenticado ejecutar consultas arbitrarias contra la base de datos, extraer su estructura completa y acceder a información sensible de clientes, incluyendo datos de carácter personal (PII).
Múltiples vulnerabilidades en Fireware OS de WatchGuard
Fireware OS en dispositivos Firebox:
- Versiones desde 2025.1 y anteriores a 2026.4.
- Versiones desde 12.0 y anteriores a 12.12.4.
- Para los modelos T15 y T35: versiones desde 12.0 y anteriores a 12.5.22.
CVE-2026-103594 afecta específicamente a las versiones desde 2026.2 y anteriores a 2026.4, y desde 12.12 y anteriores a 12.12.4, en equipos configurados como FireCloud Gateway.
El equipo WatchGuard AI Security Research y Laurent Gaffie, de secorizon.com, han informado sobre 7 vulnerabilidades en Fireware OS, 6 de severidad crítica y 1 alta. Su explotación podría permitir ejecutar código arbitrario, realizar acciones administrativas sin autenticación, corromper memoria o provocar una denegación de servicio, según la configuración del equipo.
Actualizar Fireware OS a la versión correspondiente:
- 2026.4 para la línea 2025/2026.
- 12.12.4 para la línea 12.x.
- 12.5.22 para los modelos T15 y T35.
Las correcciones se detallan en los boletines del fabricante.
- CVE-2026-103594: un desbordamiento de búfer en la pila al procesar la configuración de WireGuard podría permitir provocar una denegación de servicio o ejecutar código. Requiere actuar como intermediario con acceso al tráfico TLS descifrado entre Firebox y WatchGuard Cloud, y modificar la configuración de FireCloud Gateway.
- CVE-2026-112710: un desbordamiento de búfer en el montículo del servicio de autenticación podría permitir denegación de servicio o ejecución de código. El atacante debe controlar o interceptar las comunicaciones con el servidor Active Directory configurado y devolver una respuesta manipulada.
- CVE-2026-112709: otro desbordamiento de búfer en el montículo del servicio de autenticación podría permitir denegación de servicio o ejecución de código mediante respuestas manipuladas del servidor Active Directory. Requiere controlar dicho servidor o interceptar sus comunicaciones.
- CVE-2026-93865: la ausencia de autenticación en el servicio de sincronización de FireCluster permite a un atacante remoto invocar acciones administrativas privilegiadas mediante peticiones dirigidas a la IP de gestión del clúster. Requiere FireCluster habilitado.
- CVE-2026-93857: un desbordamiento de búfer en la pila del proxy SIP permite a un atacante remoto sin autenticación ejecutar código mediante una petición manipulada que atraviese una política que utilice dicho proxy.
- CVE-2026-93866: un desbordamiento de enteros al gestionar conexiones WebSocket de Access Portal permite a un atacante remoto sin autenticación escribir fuera de los límites de un búfer del montículo. Requiere Access Portal habilitado.
Múltiples vulnerabilidades en productos de Citrix
- NetScaler ADC y NetScaler Gateway 14.1, anteriores a 14.1-73.49.
- NetScaler ADC y NetScaler Gateway 13.1, anteriores a 13.1-64.32.
- NetScaler ADC 14.1-FIPS, anteriores a 14.1-73.49 FIPS.
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP, anteriores a 13.1.37.286.
La afectación corresponde a las interfaces de administración que utilizan PHP: NSIP, SNIP con administración habilitada y Cluster IP.
Los investigadores lcfr-hax, sagitzadik-wiz, tomash-areion y amyb-oai han informado sobre 2 vulnerabilidades de severidad crítica de PHP que afectan a NetScaler ADC y NetScaler Gateway. Su explotación podría permitir a un atacante sin autenticación ejecutar código en el contexto del proceso PHP afectado.
Actualizar a las siguientes versiones o posteriores de la misma rama:
- NetScaler ADC y NetScaler Gateway: 14.1-73.49 o 13.1-64.32.
- NetScaler ADC 14.1-FIPS: 14.1-73.49 FIPS.
- NetScaler ADC 13.1-FIPS y 13.1-NDcPP: 13.1.37.286.
Consultar el boletín CTX697263.
Restringir el acceso GUI y API de todas las direcciones de administración a redes administrativas de confianza y bloquear su acceso desde Internet, siguiendo la guía de Citrix.
Los servicios en la nube gestionados por Citrix ya están corregidos y no requieren actuaciones de sus clientes.
- CVE-2026-109618: la gestión de errores por agotamiento de memoria mediante longjmp() puede interrumpir el procesamiento de una solicitud PHP y dejar memoria sin inicializar. Su uso durante la limpieza posterior podría provocar corrupción de memoria y ejecución remota de código.
- CVE-2026-109619: determinados estados globales pueden conservar referencias a memoria de solicitudes ya liberada. Una solicitud posterior podría utilizar ese estado antes de inicializarlo correctamente, permitiendo la ejecución remota de código.
Escritura fuera de límites en SDDC Manager de Broadcom
- VMware Cloud Foundation y VMware vSphere Foundation: SDDC Manager 9.1.1, 9.1.0 y 9.0.x.
- VMware Cloud Foundation: SDDC Manager 5.2.x.
Broadcom considera crítico el impacto en SDDC Manager 9.1.1.x y alto en las versiones anteriores indicadas.
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en Brotli, integrado en Node.js. Broadcom confirma que afecta a SDDC Manager y podría permitir ejecutar código arbitrario.
Existe explotación confirmada de Brotli, sin confirmación específica de ataques a SDDC Manager.
Los parches permanecen pendientes. Aplicar las medidas temporales oficiales, previa copia de seguridad:
- SDDC Manager 9.1.1.x: seguir KB460732, que bloquea cuerpos de peticiones Brotli en nginx y en el servicio de la interfaz.
- SDDC Manager 5.2.4, 9.0.2 y 9.1.0: seguir KB460734, que deshabilita el descompresor Brotli utilizado por el servicio de la interfaz.
Completar las comprobaciones y reinicios indicados. Para otras versiones afectadas, confirmar la aplicabilidad con soporte. Consultar el boletín VMSA-2026-0008 para conocer la disponibilidad de correcciones definitivas.
CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli permite que datos comprimidos manipulados corrompan memoria, revelen información, provoquen una denegación de servicio o, potencialmente, ejecuten código. Broadcom identifica ejecución arbitraria de código por un atacante con acceso de red a SDDC Manager.