CISA añadió 10 vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) entre el 26 de octubre y el 1 de noviembre, entre ellas dos fallos de PHP que permiten la ejecución remota de código, una vulnerabilidad del decodificador de Brotli y un fallo del servidor de GitLab con una puntuación CVSS de 10,0. Tanto las dos entradas de PHP como la de Brotli entraron en KEV cinco días después de su publicación en NVD. Para las agencias federales civiles de EE. UU. incluidas en el alcance, varios plazos de remediación ya han vencido; un plazo de Ivanti Connect Secure vence el 2 de noviembre.
Ninguna de las 10 entradas aparece marcada por CISA como utilizada en campañas de ransomware. Esa designación es independiente de su inclusión en KEV, que identifica vulnerabilidades con evidencia de explotación. CVSS mide la gravedad, no la probabilidad de explotación.
Las adiciones de la semana superaron el promedio de 8,3 de las 12 semanas anteriores. El intervalo mediano entre la publicación en NVD y la incorporación a KEV fue de 15,5 días, y tres entradas se añadieron en un plazo de siete días. Estos intervalos no establecen cuándo comenzó la explotación.
PHP, Brotli y GitLab: ejecución de código y versiones concretas para actualizar
Las dos vulnerabilidades de PHP entraron en KEV el 26 de octubre, con plazo federal de remediación hasta el 29 de octubre. Ambas pueden llevar a la ejecución remota de código, pero implican fallos distintos en el manejo de las solicitudes.
En el caso de CVE-2026-109618, el uso de longjmp() por parte de PHP para salir de una solicitud tras un error de falta de memoria puede dejar la memoria de esa solicitud sin inicializar. La limpieza posterior puede leer esa memoria o usarla para determinar el flujo del programa. NVD asigna al fallo una puntuación CVSS de 9,8.
CVE-2026-109619 se refiere a un estado global que conserva referencias a memoria de solicitudes ya liberada. Las solicitudes posteriores pueden encontrar esas referencias obsoletas antes de que termine la inicialización. Su puntuación CVSS es 8,1, con una complejidad de ataque mayor que la del primer fallo de PHP. Informes relacionados describen ataques PHP2Shell que implican acceso root.
La vulnerabilidad CVE-2026-111497 de Google Brotli afecta al decodificador en c/dec/decode.c. Según la descripción de NVD, un flujo comprimido manipulado puede corromper el estado cercano del decodificador, exponer memoria, interrumpir el servicio o, potencialmente, ejecutar código sin autenticación. La entrada tiene una puntuación CVSS de 9,8 y un plazo federal del 10 de noviembre.
La redacción sobre las versiones de Brotli requiere cuidado. NVD describe un rango afectado de 1.0.3 a 1.2.0 en todas las plataformas, y al mismo tiempo identifica 1.0.10, 1.1.1 y 1.2.1 como versiones objetivo de actualización. Las dos primeras versiones objetivo están dentro de ese rango declarado. Estas afirmaciones no deben tomarse como una lista coherente e ininterrumpida de versiones vulnerables; utilice la versión correctiva adecuada a la rama de lanzamiento desplegada. La cobertura anterior aborda correcciones del decodificador de Brotli e intentos de explotación.
CVE-2026-97229 de GitLab afecta a Community Edition y Enterprise Edition en los siguientes rangos de versiones:
- 19.2 anteriores a 19.2.8: actualizar a 19.2.8.
- 19.3 anteriores a 19.3.5: actualizar a 19.3.5.
- 19.4 anteriores a 19.4.2: actualizar a 19.4.2.
En determinadas condiciones, una validación insuficiente de una expresión regular en la configuración de CI/CD puede permitir que un usuario no autenticado ejecute código arbitrario en el servidor. Su calificación CVSS de 10,0 describe la gravedad potencial; la confirmación por parte de CISA de explotación activa establece la urgencia operativa. El plazo federal era el 1 de noviembre.
Las 10 adiciones y sus plazos federales
Los plazos siguientes se aplican a las agencias federales civiles de EE. UU. incluidas en la BOD 22-01. Para otras organizaciones, son señales de priorización y no plazos legales. Todas las fechas corresponden a 2026; las puntuaciones son valores CVSS v3 de NVD cuando están disponibles.
| Vulnerabilidad | Producto y debilidad | CVSS v3 | Incorporación a KEV | Plazo federal |
|---|---|---|---|---|
| CVE-2026-109618 | PHP — corrupción de memoria | 9,8 | 26 oct | 29 oct |
| CVE-2026-109619 | PHP — estado interno obsoleto de la solicitud | 8,1 | 26 oct | 29 oct |
| CVE-2026-111497 | Google Brotli — valor de retorno no verificado | 9,8 | 27 oct | 10 nov |
| CVE-2026-48356 | Adobe Commerce y Magento — carga peligrosa de archivos | 9,3 | 27 oct | 10 nov |
| CVE-2026-41709 | Broadcom VMware ESX — registro insuficiente | 2,7 | 28 oct | 11 nov |
| CVE-2026-46300 | Kernel de Linux — falta de inicialización de variable | 7,8 | 28 oct | 31 oct |
| CVE-2026-76418 | Cisco Secure Firewall ASA y FTD — valor de retorno no verificado que conduce a una desreferencia de puntero NULL | 8,6 | 29 oct | 1 nov |
| CVE-2026-97229 | GitLab CE/EE — desbordamiento o envolvimiento de enteros | 10,0 | 29 oct | 1 nov |
| CVE-2026-111357 | Ivanti Connect Secure — falta de autenticación para una función crítica | 7,0 | 30 oct | 2 nov |
| CVE-2026-118527 | Ivanti Connect Secure — números o identificadores predecibles | — | 30 oct | 13 nov |
El guion indica que el catálogo no recoge ninguna puntuación CVSS v3 de NVD para esa entrada.
Disponibilidad de VPN, exposición en comercio electrónico e integridad del kernel
El CVE-2026-76418 de Cisco afecta al servicio de VPN SSL de acceso remoto en ASA y FTD. La condición pertinente es la autenticación secundaria configurada en un grupo de túneles. Un atacante remoto no autenticado puede provocar un reinicio inesperado del dispositivo mediante una solicitud de conexión manipulada, lo que causa una denegación de servicio.
Ivanti Connect Secure aparece en dos adiciones con plazos distintos. CVE-2026-111357, que implica falta de autenticación para una función crítica, tiene plazo federal de remediación el 2 de noviembre. CVE-2026-118527, que implica identificadores o números predecibles, tiene plazo el 13 de noviembre. Informes anteriores abordan la incorporación por parte de CISA de dos fallos de Ivanti utilizados en ataques de acceso root.
El CVE-2026-48356 de Adobe Commerce y Magento permite cargas peligrosas de archivos y puede derivar en ejecución de código en el contexto del usuario actual, lo que potencialmente aumenta el control sobre una cuenta o sesión. La explotación requiere interacción del usuario: la víctima debe visitar una URL diseñada con fines maliciosos o interactuar con una página comprometida. Tiene una puntuación CVSS de 9,3 y entró en KEV 105 días después de su publicación en NVD.
La entrada de VMware ESX ilustra por qué CVSS por sí solo no puede determinar la prioridad de remediación. CVE-2026-41709 puntúa 2,7, pero CISA lo lista como explotado. NVD describe a un administrador malicioso que realiza ciertas operaciones sin que esas operaciones queden registradas. El requisito previo es el acceso administrativo; la consecuencia es una menor visibilidad de la actividad.
CVE-2026-46300 del kernel de Linux se refiere a un marcador de fragmento compartido que se pierde durante la fusión de búferes de red. Cuando skb_try_coalesce() transfiere fragmentos paginados sin conservar SKBFL_SHARED_FRAG, el procesamiento posterior de ESP puede tratar incorrectamente el búfer resultante como seguro para el descifrado en el mismo búfer, incluso sobre fragmentos respaldados por la caché de páginas. La corrección conserva el marcador cuando se transfieren los fragmentos. La evaluación CVSS de 7,8 especifica acceso local y privilegios bajos. Su plazo federal, el 31 de octubre, ya ha vencido.
Prioridades defensivas de esta semana
Verifique la exposición en los productos enumerados, incluidas las bibliotecas y los binarios de Brotli. Dé prioridad a las entradas de PHP y Brotli divulgadas recientemente, junto con el riesgo de ejecución de código sin autenticación de GitLab, y revise las VPN de Cisco en busca de la condición de autenticación secundaria documentada. Ninguna entrada de esta semana lleva la marca de uso en ransomware de CISA.
Aplique las versiones correctivas de GitLab indicadas y la versión objetivo de actualización de Brotli adecuada. CISA indica a las organizaciones que apliquen las mitigaciones del proveedor, evalúen la exposición a internet de cada activo y sigan la orientación aplicable de la BOD 26-04 y de Forensics Triage Requirements. Su instrucción de dejar de usar el producto se aplica si las mitigaciones no están disponibles. Las agencias federales incluidas en el alcance deben además atender de inmediato los plazos ya vencidos y el plazo de Ivanti del 2 de noviembre.
