Un nuevo aviso de seguridad y dos actualizaciones
Índice
- Exposición de información en el editor de comentarios de Forocoches
- [Actualización 30/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
- [Actualización 30/10/2026] Múltiples vulnerabilidades en productos de Cisco
Exposición de información en el editor de comentarios de Forocoches
Editor de comentarios.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta al editor de comentarios de Forocoches, un componente utilizado para la creación y edición de comentarios en hilos de conversación. La vulnerabilidad ha sido descubierta por Miguel Jiménez Cámara.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-14467: CVSS v4.0: 8.2 | CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-200
La vulnerabilidad ha sido solucionada por el equipo de Forocoches.
CVE-2026-14467: vulnerabilidad de exposición de información en el editor de comentarios de Forocoches que permite a un atacante obtener información de usuarios no autorizados mediante la inserción de una imagen con una URL externa maliciosa dentro de un comentario. Cuando una víctima visualiza el hilo de conversación, su navegador realiza automáticamente una petición HTTP/HTTPS al servidor controlado por el atacante, quien puede recopilar información como la dirección IP de origen, la cabecera User-Agent, la fecha y hora de acceso y otros metadatos derivados de la petición, comprometiendo la privacidad del usuario.
[Actualización 30/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
[Actualización 26/10/2026]
La afectación corresponde a PAN-OS en cortafuegos PA-Series y VM-Series y en Panorama, tanto virtual como M-Series, en las ramas 12.2, 12.1, 11.2, 11.1 y 10.2 anteriores a las correcciones correspondientes.
WildFire Appliance WF-500 y WF-500-B no están afectados.
En PAN-OS, la afectación se limita a la interfaz web de administración, incluidos HTTPS y XML API. Las interfaces del plano de datos están afectadas si tienen asociado un perfil de administración.
[Actualización 26/10/2026]
Palo Alto Networks ha actualizado su evaluación de PHP2Shell y confirma la afectación de PAN-OS y Panorama.
El fabricante también indica que CVE-2026-115560 no afecta a PAN-OS ni Panorama, al no utilizar la configuración implicada.
Para estos productos, el fabricante describe un impacto en la disponibilidad y asigna una severidad alta. La clasificación crítica del aviso corresponde a las vulnerabilidades originales de PHP.
[Actualización 30/10/2026]
Palo Alto Networks confirma explotación activa contra interfaces de gestión de PAN-OS expuestas a Internet. El fabricante valora el impacto en sus productos como crítico. La explotación podría afectar a la confidencialidad, integridad y disponibilidad de los sistemas.
[Actualización 26/10/2026]
Ya están disponibles las siguientes correcciones de PAN-OS, aplicables también a Panorama:
- 11.2.10-h16.
- 11.1.4-h38.
- 11.1.6-h40.
- 11.1.10-h36.
- 11.1.13-h16.
- 11.1.16-h4.
- 10.2.18-h13.
[Actualización 30/10/2026]
El fabricante ha publicado nuevas versiones corregidas de PAN-OS, aplicables también a Panorama:
- 12.2: 12.2.4-h1.
- 12.1: 12.1.4-h13, 12.1.7-h11 y 12.1.10-h3.
- 11.2: 11.2.4-h23, 11.2.7-h23, 11.2.13-h4 y 11.2.16-h1.
- 11.1: 11.1.7-h12.
- 10.2: 10.2.7-h39, 10.2.10-h42, 10.2.13-h27 y 10.2.16-h12.
Estas correcciones se añaden a las ya indicadas. Instalar la versión correspondiente a la rama utilizada y consultar la matriz del fabricante. Las versiones antiguas sin soporte deben actualizarse a una versión corregida y compatible.
La versión 11.2.10-h16 corrige los fallos de PHP, pero no la vulnerabilidad de Brotli; para corregir ambas, el fabricante indica 11.2.10-h17.
Consultar también las firmas de protección y las versiones de Applications and Threats indicadas por el fabricante.
Retirar el acceso público a las interfaces de administración y restringirlo a direcciones IP internas de confianza. La protección mediante Threat Prevention requiere configurar la inspección del tráfico de administración según las instrucciones del fabricante. Ante indicios de compromiso, revisar los equipos afectados y preservar las evidencias necesarias para la investigación.
- CVE-2026-109618: la gestión del agotamiento de memoria puede dejar datos de una petición PHP sin inicializar. Su procesamiento posterior podría provocar corrupción de memoria y ejecución remota de código en PHP.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada y utilizarlas en solicitudes posteriores, lo que podría permitir la ejecución remota de código en PHP.
[Actualización 30/10/2026]
Las descripciones anteriores corresponden a PHP. En PAN-OS, el fabricante confirma explotación de PHP2Shell contra interfaces de gestión expuestas a Internet y valora el posible impacto sobre la confidencialidad, integridad y disponibilidad como crítico.
[Actualización 30/10/2026] Múltiples vulnerabilidades en productos de Cisco
- Vulnerabilidad de SSL VPN
Versiones vulnerables de Cisco Secure Firewall ASA y FTD con el inicio de sesión SSL VPN accesible y autenticación secundaria configurada en los grupos de túneles afectados.
- Vulnerabilidades de Node.js
- License (Smart Software Manager) On-Prem.
[Actualización 30/10/2026]
Cisco identifica como afectados por las vulnerabilidades de Node.js los siguientes productos y servicios:
- Smart PHY.
- Secure Workload.
- Secure Endpoint - Private Cloud Appliance.
- Intersight Virtual Appliance.
- AI Canvas.
- Webex Connect.
- Intersight.
- CLI Analyzer.
Cisco mantiene otros productos en investigación, entre ellos Catalyst SD-WAN Manager, ISE, IOS, IOS XE, IOS XR, NX-OS, ASA, FMC y FTD. Esta categoría no confirma su afectación. Consultar el inventario completo del fabricante.
Eric Fernald ha informado sobre una vulnerabilidad en ASA y FTD. Junto con las incidencias de Node.js comunicadas por Khai Tran y Sylvie Mayer, de OpenAI Codex Security, Hasan Flayyih Abdullah y anagnorisis2peripeteia, se reúnen 5 vulnerabilidades: 1 de severidad crítica y 4 altas. Su explotación podría permitir ejecutar código, divulgar información, eludir comprobaciones de seguridad o provocar denegaciones de servicio.
Primeras versiones corregidas de ASA
- 9.16 y anteriores: 9.16.4.104.
- 9.18: 9.18.4.96.
- 9.20: 9.20.4.50.
- 9.22: 9.22.3.200.
- 9.23: 9.23.1.48.
- 9.24: 9.24.1.27 o 9.24.10.1.
Primeras versiones corregidas de FTD
- 7.0 y anteriores: 7.0.11.
- 7.2: 7.2.13.
- 7.4: 7.4.9.
- 7.6: 7.6.7.
- 7.7: 7.7.14.
- 10.0: 10.0.3.
- 10.1: 10.1.1.
Priorizar la actualización. Las mitigaciones oficiales dependen de la configuración; desactivar la autenticación secundaria reduce la protección.
Productos con Node.js
Actualizar Smart Software Manager On-Prem a 10-202610.
[Actualización 30/10/2026]
Cisco aún no facilita el número de las versiones corregidas para los siguientes productos y servicios:
- Smart PHY: actualización prevista para marzo de 2027.
- Secure Endpoint - Private Cloud Appliance, Intersight Virtual Appliance e Intersight: actualización prevista para noviembre de 2026.
- Secure Workload, AI Canvas, Webex Connect y CLI Analyzer: versión y fecha pendientes de especificar.
Consultar las actualizaciones del boletín del fabricante.
- CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli al procesar datos comprimidos manipulados puede corromper memoria, divulgar información, provocar denegación de servicio o permitir ejecución remota de código.
- CVE-2026-76418: un atacante remoto sin autenticación puede provocar reinicios mediante solicitudes SSL VPN manipuladas cuando se utiliza autenticación secundaria. Severidad alta; CVSS v3.1: 8,6. Cisco confirma su explotación activa.