CVE que importan, 27 de octubre de 2026: 10 para parchear primero, 10 explotados

Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés

Las 10 vulnerabilidades de la semana pasada con la evidencia más fuerte de ataques en el mundo real, clasificadas primero por esa evidencia y segundo por la probabilidad de explotación. 10 están confirmadas o se ha reportado que se explotan en la práctica.

1. CVE-2026-109619 Vulnerabilidad de Estado Interno de Solicitud Obsoleta de PHP

   PHP contiene una vulnerabilidad de estado interno de solicitud obsoleta que permite la ejecución remota de código sin autenticación. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 26; las agencias federales de EE.'UU. deben corregirla antes del Oct 29.
   • VulnCheck KEV: reportada como explotada (listada Oct 21), 17 informes públicos.
   • Código de exploit público: 49 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): >99.9% de probabilidad de actividad de explotación en los próximos 30 días, dentro del 1% superior de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; control total del sistema afectado.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

2. CVE-2026-109618 Vulnerabilidad de Corrupción de Memoria de PHP

   PHP contiene una vulnerabilidad de corrupción por falta de memoria que permite la ejecución remota de código sin autenticación. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 26; las agencias federales de EE.'UU. deben corregirla antes del Oct 29.
   • VulnCheck KEV: reportada como explotada (listada Oct 21), 18 informes públicos.
   • Código de exploit público: 68 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): >99.9% de probabilidad de actividad de explotación en los próximos 30 días, dentro del 1% superior de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; control total del sistema afectado.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

3. CVE-2026-111497 Vulnerabilidad de Valor de Retorno No Verificado de Google Brotli

   Google Brotli contiene una vulnerabilidad de valor de retorno no verificado que permite a un atacante remoto no autenticado corromper la memoria del estado del decodificador adyacente, divulgar contenidos sensibles de memoria, causar una denegación de servicio o potencialmente ejecutar código arbitrario usando un flujo comprimido Brotli manipulado. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 27; las agencias federales de EE.'UU. deben corregirla antes del Nov 10.
   • VulnCheck KEV: reportada como explotada (listada Oct 26), 3 informes públicos. Primer informe: ellio.tech.
   • Código de exploit público: 9 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): 55.5% de probabilidad de actividad de explotación en los próximos 30 días, dentro del 1% superior de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; control total del sistema afectado.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Registro NVD y enlaces del proveedor

4. CVE-2026-48356 Vulnerabilidad de Carga Ilimitada de Archivo con Tipo Peligroso en Adobe Commerce y Magento

   Adobe Commerce y Magento contienen una vulnerabilidad de carga ilimitada de archivo con tipo peligroso que podría resultar en ejecución arbitraria de código en el contexto del usuario actual, potencialmente obteniendo acceso elevado o control sobre la cuenta o sesión de la víctima. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 27; las agencias federales de EE.'UU. deben corregirla antes del Nov 10.
   • VulnCheck KEV: reportada como explotada (listada Oct 24), 2 informes públicos. Primer informe: sansec.io.
   • Código de exploit público: 1 exploit conocido (VulnCheck KEV).
   • Probabilidad (EPSS): 30.6% de probabilidad de actividad de explotación en los próximos 30 días, superior al 98% de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; control total del sistema afectado.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Registro NVD y enlaces del proveedor

5. CVE-2026-110447 Vulnerabilidad de Inyección de Comandos del Sistema Operativo en el Servidor CODE Incorporado de Collabora Online

   Collabora Online – Servidor CODE incorporado, cuando se usa dentro de la plataforma NextCloud, contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite la ejecución remota de código cuando el servidor CODE no está en ejecución. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 23; las agencias federales de EE.'UU. deben corregirla antes del Oct 26.
   • VulnCheck KEV: reportada como explotada (listada Oct 14), 5 informes públicos. Primer informe: github.com.
   • Probabilidad (EPSS): 11.6% de probabilidad de actividad de explotación en los próximos 30 días, superior al 96% de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; los ataques pueden ser automatizados; control total del sistema afectado.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

6. CVE-2026-96654 Vulnerabilidad de Neutralización Inadecuada de Esquemas URI Codificados en una Página Web de Plex Media Server

   Plex Media Server contiene una vulnerabilidad de neutralización inadecuada de esquemas URI codificados en una página web que podría permitir a un atacante invocar funciones de otros complementos y suministrar sus propios parámetros. Esta vulnerabilidad puede encadenarse con CVE-2026-96652, CVE-2026-96655 y CVE-2026-96656. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 20; las agencias federales de EE.'UU. deben corregirla antes del Oct 23.
   • VulnCheck KEV: reportada como explotada (listada Oct 18), 2 informes públicos. Primer informe: www.boredhackerblog.info.
   • Código de exploit público: 3 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): 1.9% de probabilidad de actividad de explotación en los próximos 30 días, superior al 80% de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; los ataques pueden ser automatizados; impacto parcial.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

7. CVE-2026-96656 Vulnerabilidad de Control Externo del Nombre o Ruta de Archivo en Plex Media Server

   Plex Media Server contiene una vulnerabilidad de control externo del nombre o ruta de archivo que puede permitir a un usuario administrador escribir archivos arbitrarios que pueden ejecutarse al cargarse. Esta vulnerabilidad puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96655. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 20; las agencias federales de EE.'UU. deben corregirla antes del Oct 23.
   • VulnCheck KEV: reportada como explotada (listada Oct 18), 2 informes públicos. Primer informe: www.boredhackerblog.info.
   • Código de exploit público: 3 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): 1.8% de probabilidad de actividad de explotación en los próximos 30 días, superior al 78% de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; control total del sistema afectado.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

8. CVE-2026-96652 Vulnerabilidad de Falsificación de Solicitud del Lado del Servidor (SSRF) en Plex Media Server

   Plex Media Server contiene una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) que podría permitir a un atacante usando cualquier valor X-Plex-Token incluir una URL completa en el parámetro 'protocol' y forzar al servidor Plex a POST al destino elegido por el atacante. Esta vulnerabilidad puede encadenarse con CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 20; las agencias federales de EE.'UU. deben corregirla antes del Nov 3.
   • VulnCheck KEV: reportada como explotada (listada Oct 18), 3 informes públicos. Primer informe: www.boredhackerblog.info.
   • Código de exploit público: 4 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): 1.8% de probabilidad de actividad de explotación en los próximos 30 días, superior al 79% de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; impacto parcial.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

9. CVE-2026-96655 Vulnerabilidad de Falsificación de Solicitud del Lado del Servidor (SSRF) en Plex Media Server

   Plex Media Server contiene una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) que podría permitir a un usuario autenticado solicitar direcciones internas o externas arbitrarias vía el parámetro de ruta '/video/:/transcode/universal'. Esta vulnerabilidad puede encadenarse con CVE-2026-96652, CVE-2026-96654 y CVE-2026-96656. (CISA)

   • Explotada en la práctica: listada por CISA el Oct 20; las agencias federales de EE.'UU. deben corregirla antes del Nov 3.
   • VulnCheck KEV: reportada como explotada (listada Oct 18), 2 informes públicos. Primer informe: www.boredhackerblog.info.
   • Código de exploit público: 3 exploits conocidos (VulnCheck KEV).
   • Probabilidad (EPSS): 1.6% de probabilidad de actividad de explotación en los próximos 30 días, superior al 76% de todas las CVE.
   • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; impacto parcial.

   Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

   Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

10. CVE-2026-106931 Vulnerabilidad de Inyección de Comandos del Sistema Operativo en EG Secure Solutions SiteGuard Server Edition

    EG Secure Solutions SiteGuard Server Edition contiene una vulnerabilidad de inyección de comandos del sistema operativo que puede permitir a un atacante ejecutar comandos arbitrarios del SO con privilegios root o SYSTEM en el sistema que ejecuta el producto afectado. (CISA)

    • Explotada en la práctica: listada por CISA el Oct 20; las agencias federales de EE.'UU. deben corregirla antes del Oct 23.
    • VulnCheck KEV: reportada como explotada (listada Oct 14), 2 informes públicos. Primer informe: www.eg-secure.co.jp.
    • Probabilidad (EPSS): 2.5% de probabilidad de actividad de explotación en los próximos 30 días, superior al 85% de todas las CVE.
    • Evaluación de CISA (SSVC): explotación observada; no es fácilmente automatizable; control total del sistema afectado.

    Qué hacer (CISA): Aplicar mitigaciones de acuerdo con las instrucciones del proveedor, asegurando el cumplimiento de la guía BOD 26-04 de CISA “Prioritizing Security Updates Based on Risk” y los “Forensics Triage Requirements”. Seguir la guía BOD 26-04 aplicable para servicios en la nube o descontinuar el uso del producto si no hay mitigaciones disponibles. Los interesados son responsables de evaluar la exposición a Internet de cada activo' y garantizar el cumplimiento de las directrices de parcheo BOD 26-04.

    Nuestro análisis: qué es y cómo solucionarlo · Registro NVD y enlaces del proveedor

Cómo clasificamos

La evidencia de que los atacantes están usando una vulnerabilidad es lo primero: el catálogo de Vulnerabilidades Conocidas Explotadas de CISA, VulnCheck KEV y la propia evaluación SSVC de CISA. Luego la probabilidad de ataque en los próximos 30 días según el Sistema de Puntuación de Predicción de Explotación (EPSS) de FIRST, y después la gravedad. Un puntaje alto de gravedad por sí solo no basta para entrar en la lista. Las vulnerabilidades en sistemas de IA y herramientas de agentes reciben mayor peso porque son un objetivo de rápido crecimiento. Todo lo aquí proviene directamente de esas fuentes; nada es estimado por nosotros.

Los puntajes EPSS provienen de FIRST.org. Los informes de explotación marcados como VulnCheck KEV provienen del catálogo de Vulnerabilidades Conocidas Explotadas de VulnCheck (datos © VulnCheck). Siempre confirme la versión corregida en el aviso del proveedor.