[{"data":1,"prerenderedAt":64},["ShallowReactive",2],{"article-vulnerabilidades-octubre-2026":3},{"editorial_managed":4,"editorial_preview":5,"editorial_type":6,"title":7,"slug":8,"href":9,"description":10,"category":11,"category_slug":12,"author":13,"date":14,"updated_at":14,"read_time":15,"cover_image":16,"cover_alt":16,"cover_width":17,"cover_height":18,"cover_small":16,"social_alt":19,"preview_image":16,"social_image":16,"social_width":20,"social_height":20,"social_type":20,"seo_title":7,"seo_description":10,"html":21,"toc":22,"related":41,"tags":63},true,false,"Educativo","Vulnerabilidades de octubre de 2026: cerrar el parche pendiente y revisar toda la cadena","vulnerabilidades-octubre-2026","\u002Fes-mx\u002Frecursos\u002Fvulnerabilidades-octubre-2026","Cierre mensual con PHP, Brotli, GitLab, Ivanti, Linux y Oracle; distingue avisos, explotación conocida y correcciones.","Seguridad","seguridad","Acinsoft","2026-11-05T16:47:19-06:00",5,"",1200,630,"Personas conversando frente a una computadora. Imagen general del sitio Acinsoft.",null,"\u003Cp>Si administras aplicaciones PHP, una instancia propia de GitLab o una VPN Ivanti, octubre dejó correcciones que requieren comprobarse en el sistema activo. El mes también recordó que actualizar una aplicación puede dejar pendientes sus dependencias, el sistema operativo o la revisión de una intrusión previa.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Periodo:\u003C\u002Fstrong> 1 al 31 de octubre de 2026, America\u002FMexico_City. \u003Cstrong>Corte de consulta:\u003C\u002Fstrong> 5 de noviembre. Es una selección de casos relevantes para operación empresarial, no un inventario mundial de todas las vulnerabilidades. Retoma el cierre anterior de Acinsoft con alcance, corrección y estado de explotación por caso.\u003C\u002Fp>\n\u003Cp>El catálogo oficial KEV de CISA, versión 2026.11.04 consultada para esta revisión, contiene \u003Cstrong>36 entradas cuya fecha de incorporación cae en octubre\u003C\u002Fstrong>. El conteo filtra \u003Ccode>dateAdded\u003C\u002Fcode>; no cuenta fallas descubiertas ese mes. Incluye identificadores antiguos, como CVE-2015-3306. Una incorporación acredita que CISA dispone de evidencia de explotación; no demuestra que todos los equipos afectados hayan sido comprometidos. \u003Ca href=\"https:\u002F\u002Fwww.cisa.gov\u002Fsites\u002Fdefault\u002Ffiles\u002Ffeeds\u002Fknown_exploited_vulnerabilities.json\" target=\"_blank\" rel=\"noopener noreferrer\">Catálogo oficial y datos del conteo\u003C\u002Fa>.\u003C\u002Fp>\n\u003Ch2 id=\"articulo-seccion-1\">PHP: la primera actualización no fue toda la historia\u003C\u002Fh2>\n\u003Cp>El 21 de octubre, PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619, fallas capaces de permitir ejecución remota de código sin autenticación. Las primeras versiones corregidas fueron 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El día 23 añadió una precaución sobre \u003Ccode>session.upload_progress.enabled\u003C\u002Fcode>, limitada a una combinación inusual de configuración y cambio de serializador en ejecución. \u003Ca href=\"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php\" target=\"_blank\" rel=\"noopener noreferrer\">Avisos oficiales de PHP\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>En AWS, el boletín distingue servicios administrados y runtimes mantenidos por el cliente. Por ejemplo, quien utiliza PHP en una imagen o runtime personalizado de Lambda debe actualizarlo y volver a desplegarlo. Que la infraestructura esté en la nube no acredita que esa copia de PHP se haya actualizado. El fabricante también limita el impacto descrito a los permisos del proceso afectado; no equivale automáticamente a root. \u003Ca href=\"https:\u002F\u002Faws.amazon.com\u002Fsecurity\u002Fsecurity-bulletins\u002F2026-143-aws\u002F\" target=\"_blank\" rel=\"noopener noreferrer\">Boletín de AWS, actualizado el 30 de octubre\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>La comprobación debe identificar el PHP que atiende las peticiones web. Una consulta de versión en una terminal puede corresponder a otro ejecutable. Conviene registrar el paquete, el servicio que lo utiliza y la confirmación del proveedor cuando éste administra el runtime.\u003C\u002Fp>\n\u003Ch2 id=\"articulo-seccion-2\">Brotli: una dependencia puede cambiar sin cambiar la versión visible\u003C\u002Fh2>\n\u003Cp>CVE-2026-111497 afecta al decodificador de Brotli. El registro del emisor identifica correcciones en 1.0.10, 1.1.1 y 1.2.1 para sus respectivas ramas. PHP publicó reconstrucciones Windows con sufijo \u003Ccode>-1\u003C\u002Fcode> y Brotli 1.2.1 el 26 de octubre, sin cambiar la versión del runtime. La ruta descrita pasa por cURL con descompresión automática de respuestas habilitada. \u003Ca href=\"https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-111497\" target=\"_blank\" rel=\"noopener noreferrer\">Registro del emisor\u003C\u002Fa> y \u003Ca href=\"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php\" target=\"_blank\" rel=\"noopener noreferrer\">anuncio de PHP\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>Esta distinción importa en imágenes de contenedor y paquetes redistribuidos: el nombre de la aplicación por sí solo no dice qué biblioteca incorpora. La revisión debe llegar hasta el componente instalado, sin suponer que todos los productos que usan Brotli comparten la misma ruta de actualización.\u003C\u002Fp>\n\u003Ch2 id=\"articulo-seccion-3\">GitLab: proteger también la fábrica de software\u003C\u002Fh2>\n\u003Cp>GitLab documentó CVE-2026-97229, un desbordamiento de entero en el procesamiento de expresiones regulares de CI\u002FCD que, bajo las condiciones descritas, podía permitir ejecución de código sin autenticación. El aviso identifica como afectadas las ramas 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 y 19.4 antes de 19.4.2. Asigna 10.0 en CVSS 3.1. Son primeras correcciones por rama, no una indicación de instalar hoy un parche histórico en lugar del vigente y compatible. \u003Ca href=\"https:\u002F\u002Fdocs.gitlab.com\u002Freleases\u002Fpatches\u002Fpatch-release-gitlab-19-4-2-released\u002F\" target=\"_blank\" rel=\"noopener noreferrer\">Aviso de GitLab\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>La prioridad práctica es revisar las instancias autoadministradas y seguir la ruta de actualización correspondiente. El repositorio y la automatización de entregas forman parte de la operación: no deben quedar fuera del mantenimiento por considerarse herramientas exclusivas del equipo de desarrollo.\u003C\u002Fp>\n\u003Ch2 id=\"articulo-seccion-4\">Ivanti: revisar los avisos encadenados\u003C\u002Fh2>\n\u003Cp>El registro de CVE-2026-104935 describe una omisión de autenticación con posibilidad de ejecutar comandos en Connect Secure y señala 25.1.3.0 como corrección en esa rama. Aclara que 22.7R2.14 y anteriores no están afectadas por esa falla concreta. CVE-2026-111357 documenta una escalada a root en 22.8R2.4. No deben fusionarse en una sola condición de acceso ni interpretar la excepción del primer CVE como garantía de seguridad general. \u003Ca href=\"https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-104935\" target=\"_blank\" rel=\"noopener noreferrer\">Registro CVE-2026-104935\u003C\u002Fa> y \u003Ca href=\"https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-111357\" target=\"_blank\" rel=\"noopener noreferrer\">registro CVE-2026-111357\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>CISA incorporó el primero el 13 de octubre y el segundo el 30. El catálogo también fecha el 30 de octubre la incorporación de CVE-2026-118527, aunque su registro CVE consultado consigna publicación el 3 de noviembre. Conservamos ambas fechas: la entrada pertenece al conteo de KEV de octubre, pero no presentamos los detalles posteriores como un anuncio CVE de ese mes. \u003Ca href=\"https:\u002F\u002Fwww.cisa.gov\u002Fsites\u002Fdefault\u002Ffiles\u002Ffeeds\u002Fknown_exploited_vulnerabilities.json\" target=\"_blank\" rel=\"noopener noreferrer\">KEV\u003C\u002Fa> y \u003Ca href=\"https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-118527\" target=\"_blank\" rel=\"noopener noreferrer\">registro consultado en noviembre\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>El portal de Ivanti no expuso su matriz completa en esta consulta. Por eso no ofrecemos una receta única para toda la cadena: corresponde comprobar el aviso vigente para el modelo y la rama, incluida la evaluación de compromiso que proceda. Aplicar un parche y comprobar que no hubo intrusión son trabajos distintos.\u003C\u002Fp>\n\u003Ch2 id=\"articulo-seccion-5\">Linux y Oracle: dos escalas distintas del mantenimiento\u003C\u002Fh2>\n\u003Cp>CVE-2026-46300, publicada en mayo e incorporada a KEV el 28 de octubre, afecta al manejo de fragmentos compartidos en el kernel. El registro describe una ruta local y enumera correcciones por rama. Para una distribución empresarial debe comprobarse su paquete y los parches incorporados por su proveedor; comparar sólo el número de versión con el kernel original puede inducir a error. \u003Ca href=\"https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-46300\" target=\"_blank\" rel=\"noopener noreferrer\">Registro mantenido por Linux\u003C\u002Fa>.\u003C\u002Fp>\n\u003Cp>Oracle, por su parte, informa de 1,295 nuevos parches de seguridad en su actualización crítica de octubre. Ese número no significa 1,295 vulnerabilidades únicas ni 1,295 problemas presentes en cada instalación. El aviso organiza productos, versiones y documentación de disponibilidad: ésa es la matriz que permite determinar qué corresponde aplicar. \u003Ca href=\"https:\u002F\u002Fwww.oracle.com\u002Fsecurity-alerts\u002Fcpuoct2026.html\" target=\"_blank\" rel=\"noopener noreferrer\">Critical Patch Update de Oracle\u003C\u002Fa>.\u003C\u002Fp>\n\u003Ch2 id=\"articulo-seccion-6\">Qué debe quedar cerrado al terminar la revisión\u003C\u002Fh2>\n\u003Cp>Como criterio operativo, cada activo revisado debería conservar cinco datos: producto y compilación, aviso aplicable, exposición real, corrección instalada y resultado de la comprobación. Cuando haya indicios de ataque, debe quedar identificado también quién revisará el posible compromiso. Una pantalla que diga «actualizado» no reemplaza esa evidencia.\u003C\u002Fp>\n\u003Cp>Acinsoft puede ayudarte a delimitar esa revisión dentro de su servicio de \u003Ca href=\"\u002Fes-mx\u002Fservicios\u002Fhosting-administrado\" rel=\"noopener noreferrer\">hosting e infraestructura administrada\u003C\u002Fa>, comenzando por identificar qué componentes administra cada proveedor. El cierre del mes sirve cuando permite localizar lo pendiente y asignarle un responsable.\u003C\u002Fp>\n",[23,26,29,32,35,38],{"id":24,"title":25},"articulo-seccion-1","PHP: la primera actualización no fue toda la historia",{"id":27,"title":28},"articulo-seccion-2","Brotli: una dependencia puede cambiar sin cambiar la versión visible",{"id":30,"title":31},"articulo-seccion-3","GitLab: proteger también la fábrica de software",{"id":33,"title":34},"articulo-seccion-4","Ivanti: revisar los avisos encadenados",{"id":36,"title":37},"articulo-seccion-5","Linux y Oracle: dos escalas distintas del mantenimiento",{"id":39,"title":40},"articulo-seccion-6","Qué debe quedar cerrado al terminar la revisión",[42,48],{"editorial_managed":4,"editorial_preview":5,"editorial_type":6,"title":43,"slug":44,"href":45,"description":46,"category":11,"category_slug":12,"author":13,"date":14,"updated_at":14,"read_time":47,"cover_image":16,"cover_alt":16,"cover_width":17,"cover_height":18,"cover_small":16,"social_alt":19,"preview_image":16,"social_image":16,"social_width":20,"social_height":20,"social_type":20,"seo_title":43,"seo_description":46},"948 fallas de Linux: lo que la IA encontró y lo que todavía exige corregir","ia-linux-948-fallas-parches-verificacion","\u002Fes-mx\u002Frecursos\u002Fia-linux-948-fallas-parches-verificacion","Qué respalda el informe de OpenAI y cómo cambia el trabajo de detectar, revisar y corregir fallas en los repositorios.",4,{"editorial_managed":4,"editorial_preview":5,"editorial_type":49,"title":50,"slug":51,"href":52,"description":53,"category":11,"category_slug":12,"author":13,"date":54,"updated_at":54,"read_time":55,"cover_image":56,"cover_alt":57,"cover_width":58,"cover_height":59,"cover_small":60,"social_alt":50,"preview_image":61,"social_image":61,"social_width":17,"social_height":18,"social_type":62,"seo_title":50,"seo_description":53},"Comunicado","Informe de seguridad: CVE-2026-109618 y CVE-2026-109619 | 21 de octubre de 2026","comunicado-php2shell-actualizacion-seguridad-acinsoft","\u002Fes-mx\u002Frecursos\u002Fcomunicado-php2shell-actualizacion-seguridad-acinsoft","Los servicios administrados de Acinsoft se mantienen actualizados y protegidos frente a CVE-2026-109618 y CVE-2026-109619 (PHP2Shell).","2026-10-21T23:58:20-06:00",1,"\u002Fimages\u002Finforme-seguridad-20261022\u002Fcomunicado-banner.webp","Acinsoft: servicios actualizados y protegidos frente a PHP2Shell. Informe del 21 de octubre de 2026.",1600,900,"\u002Fimages\u002Finforme-seguridad-20261022\u002Fcomunicado-banner-800.webp","\u002Fimages\u002Finforme-seguridad-20261022\u002Fcomunicado-horizontal.jpg","image\u002Fjpeg",[],1793919057821]