Cinco nuevos avisos de seguridad y una actualización
Índice
- [Actualización 29/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Mitel
- Múltiples vulnerabilidades en la aplicación de SABBATIC
- Cross-Site Scripting reflejado en la configuración de PHP-CGI/PHP-FPM de ICT Innovations
- Múltiples vulnerabilidades en productos de Cisco
- Múltiples vulnerabilidades en OpenScape Endpoint Management de Mitel
- Escritura fuera de límites en PHP para Windows
[Actualización 29/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Mitel
- MiVoice 5000, versiones R8.4 y anteriores.
- OpenScape Branch, versiones V11R3.4.3 y anteriores.
- OpenScape SBC, versiones V11R3.4.3 y anteriores.
- OpenScape Voice Trace Manager, versiones V8 R0.12.00 y anteriores.
- MiContact Center Enterprise, versiones 9.8 SP0 FP1 y anteriores.
[Actualización 29/10/2026]
Se añaden los siguientes productos, en las versiones indicadas y anteriores:
- MiVoice 5000 Gateways XL XS XD: R7.2.
- MiVoice Connect: R20.0 SP2.
- Mitel EX Controller y Mitel GX Gateway: V50.2.
- Mitel Collaboration Management (CMG): R9.4 SP1.
- MiCollab Advanced Messaging: 9.3.
- OpenScape SESAP: V2 R1.1.8.
- OpenScape Cordless IP: V2 R2.70.0.
Mitel continúa investigando otros productos. La evaluación del fabricante comprende únicamente versiones con soporte.
[AVISO PRELIMINAR]
Mitel ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP que podrían permitir la ejecución remota de código. El fabricante ha confirmado la afectación de varios productos y continúa evaluando otros.
[Actualización 29/10/2026]
- MiVoice 5000: instalar SecurityPatch_R8.X_20.
- OpenScape Branch y SBC: actualizar a V11 R3.4.4.
- MiCollab Advanced Messaging: actualizar a 9.4 o posterior.
- OpenScape SESAP: actualizar a V2 R1.1.9.
- OpenScape Voice Trace Manager: actualizar a V8R0.13.0.
- MiVoice Connect y CMG: aplicar las soluciones provisionales de KB000007881 y KB000129022, respectivamente.
- MiContact Center Enterprise: consultar KB000128993.
Siguen con actualización planificada MiVoice 5000 Gateways XL XS XD, Mitel EX Controller, Mitel GX Gateway y OpenScape Cordless IP.
Consultar las instrucciones del boletín del fabricante.
Si no se dispone de acceso, contactar con un socio autorizado de Mitel. Consultar las actualizaciones del boletín del fabricante para conocer los cambios en la evaluación y las correcciones.
- CVE-2026-109618: un error al gestionar el agotamiento de memoria puede dejar estructuras de una petición PHP parcialmente inicializadas. Su procesamiento posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: determinadas referencias globales de PHP pueden apuntar a memoria ya liberada. Su utilización durante una petición posterior podría permitir la ejecución remota de código.
Múltiples vulnerabilidades en la aplicación de SABBATIC
SABBATIC.
INCIBE ha coordinado la publicación de 5 vulnerabilidades de severidad media, que afectan a la aplicación de SABBATIC, software para la digitalización de tickets de gasto y facturas. Las vulnerabilidades han sido descubiertas por David Padilla Alvarado y Víctor Manuel Pérez Cámara.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- Desde CVE-2026-5697 hasta CVE-2026-5700: 4.8 | CVSS:4.0/ AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
- CVE-2026-5702: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-352
Las vulnerabilidades han sido solucionadas por el equipo de SABBATIC en las versiones 7.96.0.1 y 7.96.0.2
Vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenada en la aplicación SABBATIC que permite a un atacante almacenar código JavaScript de tal forma que, cuando un usuario visita la página, dicho código se ejecute en el navegador de la víctima. La relación de parámetros e identificadores asignados es la siguiente:
- CVE-2026-5697: parámetro 'nombre' en el endpoint '/usuario';
- CVE-2026-5698: parámetros 'titulo_es' and 'add_etiquetas%5B%5D' en el endpoint '/categorías';
- CVE-2026-5699: parámetro 'companyName' en el endpoint '/empresa';
- CVE-2026-5700: parámetro 'observaciones' en el endpoint '/mis-gastos'.
CVE-2026-5702: vulnerabilidad Cross-Site Request Forgery (CSRF) en la aplicación SABBATIC que permite a un atacante engañar a un usuario autenticado para que haga click en un enlace malicioso o cargue una página que envía solicitudes no autorizadas a un punto final vulnerable.
Cross-Site Scripting reflejado en la configuración de PHP-CGI/PHP-FPM de ICT Innovations
Configuración de tiempo de ejecución insegura en PHP-CGI/PHP-FPM.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a la configuración de PHP-CGI/PHP-FPM de ICT Innovations, paquete multiusuario basado en la web. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-7190: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de ICT Innovations en marzo de 2026.
CVE-2026-7190: vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejada en el software ICTBroadcast, que afecta al entorno de demostración. La vulnerabilidad se encuentra en el endpoint ‘login.php’, cuyo parámetro ‘editForm[extension_username]’ se refleja en la respuesta sin el filtrado adecuado. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante ejecutar código JavaScript arbitrario en el navegador de la víctima una vez que esta acceda a la URL maliciosa.
Múltiples vulnerabilidades en productos de Cisco
- Vulnerabilidad de SSL VPN
Versiones vulnerables de Cisco Secure Firewall ASA y FTD con el inicio de sesión SSL VPN accesible y autenticación secundaria configurada en los grupos de túneles afectados.
- Vulnerabilidades de Node.js
- License (Smart Software Manager) On-Prem.
- CLI Analyzer, Webex Connect y Secure Endpoint - Private Cloud Appliance: afectados, con investigación todavía en curso.
Cisco mantiene otros productos en investigación, entre ellos Catalyst SD-WAN Manager, ISE, IOS, IOS XE, IOS XR, NX-OS, ASA, FMC y FTD. Esta categoría no confirma su afectación. Consultar el inventario completo del fabricante.
Eric Fernald ha informado sobre una vulnerabilidad en ASA y FTD. Junto con las incidencias de Node.js comunicadas por Khai Tran y Sylvie Mayer, de OpenAI Codex Security, Hasan Flayyih Abdullah y anagnorisis2peripeteia, se reúnen 5 vulnerabilidades: 1 de severidad crítica y 4 altas. Su explotación podría permitir ejecutar código, divulgar información, eludir comprobaciones de seguridad o provocar denegaciones de servicio.
Primeras versiones corregidas de ASA
- 9.16 y anteriores: 9.16.4.104.
- 9.18: 9.18.4.96.
- 9.20: 9.20.4.50.
- 9.22: 9.22.3.200.
- 9.23: 9.23.1.48.
- 9.24: 9.24.1.27 o 9.24.10.1.
Primeras versiones corregidas de FTD
- 7.0 y anteriores: 7.0.11.
- 7.2: 7.2.13.
- 7.4: 7.4.9.
- 7.6: 7.6.7.
- 7.7: 7.7.14.
- 10.0: 10.0.3.
- 10.1: 10.1.1.
Priorizar la actualización. Las mitigaciones oficiales dependen de la configuración; desactivar la autenticación secundaria reduce la protección.
Productos con Node.js
Actualizar Smart Software Manager On-Prem a 10-202610. Para los demás productos afectados, consultar las correcciones específicas del boletín Cisco.
- CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli al procesar datos comprimidos manipulados puede corromper memoria, divulgar información, provocar denegación de servicio o permitir ejecución remota de código. Severidad crítica; CVSS v4.0: 9,2.
- CVE-2026-76418: un atacante remoto sin autenticación puede provocar reinicios mediante solicitudes SSL VPN manipuladas cuando se utiliza autenticación secundaria. Severidad alta; CVSS v3.1: 8,6. Cisco confirma su explotación activa.
Múltiples vulnerabilidades en OpenScape Endpoint Management de Mitel
- OpenScape Endpoint Management, V1 R2.5.1 y anteriores (CVE-2026-111497).
- OpenScape Endpoint Management, V1 R2.4.0 y anteriores: MTLVULN-1788 y MTLVULN-1789.
Mitel continúa investigando otros productos respecto a Brotli; su afectación no está confirmada.
Rodrigo Duarte Garcia, de Telefónica Tech, ha informado sobre 2 vulnerabilidades de severidad alta en Node-RED de OpenScape Endpoint Management. Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre 1 vulnerabilidad de severidad crítica en Brotli, también presente en este producto.
- Para MTLVULN-1788 y MTLVULN-1789, actualizar a OpenScape Endpoint Management V1R2.5.1 o posterior, según MISA-2026-0009.
- Para CVE-2026-111497, el parche está planificado. Consultar KB000129034 mediante el socio autorizado y seguir MISA-2026-0010.
V1 R2.5.1 sigue afectada por Brotli. Unify Phone y CloudLink ya han recibido las actualizaciones correspondientes.
CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli permite que datos comprimidos manipulados corrompan memoria. Un atacante remoto sin autenticación podría provocar denegación de servicio, revelar información o ejecutar código. Severidad crítica; CVSS v4.0: 9,2.
Mitel valora como bajo el riesgo específico para OpenScape Endpoint Management cuando se despliega según sus recomendaciones.
Escritura fuera de límites en PHP para Windows
Compilaciones de PHP para Windows que incorporen versiones vulnerables de Brotli: 1.0.3 a 1.0.9, 1.1.0 o 1.2.0.
La extensión cURL puede alcanzar el decodificador vulnerable si se habilita la descompresión automática de respuestas HTTP. Esta opción está desactivada por defecto, pero algunas aplicaciones o bibliotecas pueden activarla.
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre 1 vulnerabilidad de severidad crítica en Brotli, componente incluido en PHP para Windows, que podría permitir divulgar información, provocar una denegación de servicio o ejecutar código.
Instalar la compilación de Windows correspondiente a la rama utilizada, disponible en la página oficial de descargas:
- PHP 8.5.12-1.
- PHP 8.4.27-1.
- PHP 8.3.36-1.
- PHP 8.2.35-1.
Estos paquetes incorporan Brotli 1.2.1. El sufijo «-1» identifica la recompilación para Windows: el número de versión del intérprete PHP permanece igual.
CVE-2026-111497: el decodificador Brotli puede escribir fuera de los límites de un búfer al procesar un flujo comprimido manipulado. Un atacante remoto sin autenticación podría corromper memoria, revelar su contenido, interrumpir el servicio o ejecutar código.