Si administras aplicaciones PHP, una instancia propia de GitLab o una VPN Ivanti, octubre dejó correcciones que requieren comprobarse en el sistema activo. El mes también recordó que actualizar una aplicación puede dejar pendientes sus dependencias, el sistema operativo o la revisión de una intrusión previa.
Periodo: 1 al 31 de octubre de 2026, America/Mexico_City. Corte de consulta: 5 de noviembre. Es una selección de casos relevantes para operación empresarial, no un inventario mundial de todas las vulnerabilidades. Retoma el cierre anterior de Acinsoft con alcance, corrección y estado de explotación por caso.
El catálogo oficial KEV de CISA, versión 2026.11.04 consultada para esta revisión, contiene 36 entradas cuya fecha de incorporación cae en octubre. El conteo filtra dateAdded; no cuenta fallas descubiertas ese mes. Incluye identificadores antiguos, como CVE-2015-3306. Una incorporación acredita que CISA dispone de evidencia de explotación; no demuestra que todos los equipos afectados hayan sido comprometidos. Catálogo oficial y datos del conteo.
PHP: la primera actualización no fue toda la historia
El 21 de octubre, PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619, fallas capaces de permitir ejecución remota de código sin autenticación. Las primeras versiones corregidas fueron 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El día 23 añadió una precaución sobre session.upload_progress.enabled, limitada a una combinación inusual de configuración y cambio de serializador en ejecución. Avisos oficiales de PHP.
En AWS, el boletín distingue servicios administrados y runtimes mantenidos por el cliente. Por ejemplo, quien utiliza PHP en una imagen o runtime personalizado de Lambda debe actualizarlo y volver a desplegarlo. Que la infraestructura esté en la nube no acredita que esa copia de PHP se haya actualizado. El fabricante también limita el impacto descrito a los permisos del proceso afectado; no equivale automáticamente a root. Boletín de AWS, actualizado el 30 de octubre.
La comprobación debe identificar el PHP que atiende las peticiones web. Una consulta de versión en una terminal puede corresponder a otro ejecutable. Conviene registrar el paquete, el servicio que lo utiliza y la confirmación del proveedor cuando éste administra el runtime.
Brotli: una dependencia puede cambiar sin cambiar la versión visible
CVE-2026-111497 afecta al decodificador de Brotli. El registro del emisor identifica correcciones en 1.0.10, 1.1.1 y 1.2.1 para sus respectivas ramas. PHP publicó reconstrucciones Windows con sufijo -1 y Brotli 1.2.1 el 26 de octubre, sin cambiar la versión del runtime. La ruta descrita pasa por cURL con descompresión automática de respuestas habilitada. Registro del emisor y anuncio de PHP.
Esta distinción importa en imágenes de contenedor y paquetes redistribuidos: el nombre de la aplicación por sí solo no dice qué biblioteca incorpora. La revisión debe llegar hasta el componente instalado, sin suponer que todos los productos que usan Brotli comparten la misma ruta de actualización.
GitLab: proteger también la fábrica de software
GitLab documentó CVE-2026-97229, un desbordamiento de entero en el procesamiento de expresiones regulares de CI/CD que, bajo las condiciones descritas, podía permitir ejecución de código sin autenticación. El aviso identifica como afectadas las ramas 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 y 19.4 antes de 19.4.2. Asigna 10.0 en CVSS 3.1. Son primeras correcciones por rama, no una indicación de instalar hoy un parche histórico en lugar del vigente y compatible. Aviso de GitLab.
La prioridad práctica es revisar las instancias autoadministradas y seguir la ruta de actualización correspondiente. El repositorio y la automatización de entregas forman parte de la operación: no deben quedar fuera del mantenimiento por considerarse herramientas exclusivas del equipo de desarrollo.
Ivanti: revisar los avisos encadenados
El registro de CVE-2026-104935 describe una omisión de autenticación con posibilidad de ejecutar comandos en Connect Secure y señala 25.1.3.0 como corrección en esa rama. Aclara que 22.7R2.14 y anteriores no están afectadas por esa falla concreta. CVE-2026-111357 documenta una escalada a root en 22.8R2.4. No deben fusionarse en una sola condición de acceso ni interpretar la excepción del primer CVE como garantía de seguridad general. Registro CVE-2026-104935 y registro CVE-2026-111357.
CISA incorporó el primero el 13 de octubre y el segundo el 30. El catálogo también fecha el 30 de octubre la incorporación de CVE-2026-118527, aunque su registro CVE consultado consigna publicación el 3 de noviembre. Conservamos ambas fechas: la entrada pertenece al conteo de KEV de octubre, pero no presentamos los detalles posteriores como un anuncio CVE de ese mes. KEV y registro consultado en noviembre.
El portal de Ivanti no expuso su matriz completa en esta consulta. Por eso no ofrecemos una receta única para toda la cadena: corresponde comprobar el aviso vigente para el modelo y la rama, incluida la evaluación de compromiso que proceda. Aplicar un parche y comprobar que no hubo intrusión son trabajos distintos.
Linux y Oracle: dos escalas distintas del mantenimiento
CVE-2026-46300, publicada en mayo e incorporada a KEV el 28 de octubre, afecta al manejo de fragmentos compartidos en el kernel. El registro describe una ruta local y enumera correcciones por rama. Para una distribución empresarial debe comprobarse su paquete y los parches incorporados por su proveedor; comparar sólo el número de versión con el kernel original puede inducir a error. Registro mantenido por Linux.
Oracle, por su parte, informa de 1,295 nuevos parches de seguridad en su actualización crítica de octubre. Ese número no significa 1,295 vulnerabilidades únicas ni 1,295 problemas presentes en cada instalación. El aviso organiza productos, versiones y documentación de disponibilidad: ésa es la matriz que permite determinar qué corresponde aplicar. Critical Patch Update de Oracle.
Qué debe quedar cerrado al terminar la revisión
Como criterio operativo, cada activo revisado debería conservar cinco datos: producto y compilación, aviso aplicable, exposición real, corrección instalada y resultado de la comprobación. Cuando haya indicios de ataque, debe quedar identificado también quién revisará el posible compromiso. Una pantalla que diga «actualizado» no reemplaza esa evidencia.
Acinsoft puede ayudarte a delimitar esa revisión dentro de su servicio de hosting e infraestructura administrada, comenzando por identificar qué componentes administra cada proveedor. El cierre del mes sirve cuando permite localizar lo pendiente y asignarle un responsable.
