Paper Técnico de Seguridad: Vulnerabilidades y Parches Críticos (Ventana 48h)
EDICIÓN: 26 de octubre de 2026[cite: 52]
ELABORACIÓN Y ANÁLISIS: Pedro Matías Cacivio (Perito Informático de la Nación — Instel & Seguridad)[cite: 52]
DESTINATARIOS: Responsables de sistemas, infraestructura, SOC y continuidad operativa en organismos públicos y empresas[cite: 52]
VENTANA TEMPORAL: 24/10/2026 10:02 a 26/10/2026 10:02 ART (Corte estricto de 48 horas)[cite: 52]
Resumen ejecutivo
El presente informe consolida el análisis técnico y forense de 274 registros CVE publicados en NVD durante la ventana de 48 horas[cite: 52, 53], complementado con avisos de fabricantes y CSIRTs globales[cite: 53]. Del universo analizado, 69 registros (25,2%) corresponden a severidad Crítica o Alta[cite: 53].
La conclusión central determina un Riesgo Institucional Provisional ALTO[cite: 52, 57], demandando una Respuesta P0 Prioritaria ante:
- PHP2Shell: Confirmación de explotación activa en honeypots (in the wild) y reconstrucción de paquetes PHP en Windows con Brotli 1.2.1[cite: 53, 56].
- Microsoft .NET: Actualizaciones de seguridad fuera de banda (OOB) lanzadas el 25/10[cite: 53, 56].
- Desconfianza Criptográfica eMudhra: Compromiso de claves de certificación que exige sanear truststores en Python, Java/GraalVM y distribuciones Linux (RHEL/Ubuntu)[cite: 53, 56].
- Perímetro PAN-OS: Mitigación obligatoria sobre interfaces de gestión HTTPS/XML[cite: 53, 57].
1. Universo Cuantitativo NVD (Ventana 48 Horas)
| Severidad | Cantidad | Proporción | Lectura Operativa de Instel |
|---|---|---|---|
| CRITICAL | 8 | 2,9% | Verificar en inventario con preferencia P0 ante exposición pública[cite: 54]. |
| HIGH | 61 | 22,3% | Priorizar según criticidad del servicio, ruta y explotación conocida[cite: 54]. |
| MEDIUM | 141 | 51,5% | Corregir en ciclos de sprint o si multiplican otros vectores de ataque[cite: 54]. |
| LOW | 53 | 19,3% | Gestionar por baseline de endurecimiento y dependencias[cite: 54]. |
| UNSCORED | 11 | 4,0% | No asumir riesgo bajo; pendientes de asignación por analistas[cite: 54]. |
2. Ocho Vulnerabilidades Críticas del Período
| CVE / CVSS | Producto / Condición | Riesgo Esencial | Corrección Referenciada |
|---|---|---|---|
| CVE-2026-115933 CVSS 9.9 | Postiz / Firma de tokens compartida | Falsificación de sesión, invitaciones y toma de control de cuentas[cite: 55]. | Actualizar a v2.25.3; invalidar sesiones y rotar secretos[cite: 55]. |
| CVE-2026-115214 CVSS 9.8 | WordPress Datawiza Proxy Auth < 1.1.1 | Suplantación de identidad/rol administrador mediante cabeceras manipuladas[cite: 55]. | Actualizar plugin a 1.1.1; garantizar que el proxy sanee cabeceras[cite: 55]. |
| CVE-2026-115932 CVSS 9.6 | Postiz / Rutas de medios sin confinamiento | Lectura y exfiltración de archivos del servidor mediante publicación[cite: 55]. | Actualizar a v2.25.3; restringir auto-registro e integraciones[cite: 55]. |
| CVE-2026-115557 CVSS 9.4 | Python / Módulo ssl | Aceptación indebida de certificados vinculados a CA comprometida (eMudhra)[cite: 55]. | Releases de seguridad: 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18[cite: 55]. |
| CVE-2026-115995 CVSS 9.4 | Unitree Go2 / chat_go | Inyección remota de comandos en el módulo de chat robótico[cite: 55]. | Firmware oficial 1.1.11.5; aislar componente de redes públicas[cite: 55]. |
| CVE-2026-116199 CVSS 9.2 | Snipe-IT / Google SSO | Reingreso indebido de cuentas locales previamente desactivadas[cite: 55]. | Actualizar a v8.6.3; revocar sesiones activas y sincronizar bajas en IdP[cite: 55]. |
| CVE-2026-114820 CVSS 9.1 | Oracle Java / GraalVM (JSSE) | Confianza en raíces intermedias comprometidas; riesgo de interceptación TLS[cite: 55]. | Alerta Oracle 24/10; sanear keystore y forzar validación CRL/OCSP[cite: 55]. |
| CVE-2026-116163 CVSS 9.1 | Parse Server / Adaptadores Auth | Omisión de validación que permite omisión (bypass) de autenticación[cite: 55]. | Actualizar rama estable 8.x a 8.6.102 o validar compatibilidad en 9.x[cite: 55]. |
3. Vectores Prioritarios de Alto Impacto
A. PHP2Shell (CVE-2026-109618 / 109619) & Aviso Complementario
- Explotación activa: Se ha confirmado actividad maliciosa real sobre honeypots Apache
mod_php8.4.26[cite: 56]. Las versiones corregidas del runtime son 8.5.12, 8.4.27, 8.3.36 y 8.2.35[cite: 56]. - Builds Windows (26/10): El proyecto PHP recompiló los instaladores Windows con Brotli 1.2.1 (CVE-2026-111497)[cite: 56]. Es imperativo reinstalar el paquete en entornos Windows[cite: 56].
- Ruta de RCE Adicional (CVE-2026-115560): Vector asociado a
session.upload_progressy serialización dinámica[cite: 56]. Aplicar de inmediatosession.upload_progress.enabled = 0en elphp.inicomo mitigación transitoria indispensable[cite: 56].
B. Microsoft .NET — Actualizaciones Fuera de Banda (25/10)
- Microsoft liberó parches OOB para .NET 8.0.33, 9.0.22, 10.0.14 y 11 RC3[cite: 56]. Corrigen Brotli (CVE-2026-111497) y metadatos tarball en Linux (CVE-2026-114148)[cite: 56].
- Atención técnica: Las aplicaciones desplegadas bajo la modalidad Self-contained o en imágenes de contenedor no se corrigen actualizando el servidor anfitrión: es obligatorio recompilar y redistribuir los binarios y dependencias[cite: 56].
C. Confianza Criptográfica eMudhra (Cadena TLS)
- El compromiso de claves raíz/intermedias compromete el cifrado de canales HTTPS/TLS salientes[cite: 56].
- Se debe inspeccionar y purgar el almacén de certificados en servidores web, entornos virtuales de Python (
certifi), Java (cacerts), contenedores y sistemas operativos (RHEL errata 24/10)[cite: 56].
4. Programa de Remediación y Plan de 0 a 72 Horas
- Primeras 0-24 h (Contención P0): Congelar inventario de superficies públicas. Restringir paneles administrativos (phpMyAdmin, consolas de hosting, XML API de cortafuegos) a VPN o redes internas. Desactivar funciones de depuración (
debug=True) y retirar backups del webroot[cite: 57]. - 24-72 h (Parcheo Verificado P0): Actualizar PHP y paquetes Windows[cite: 58]. Aplicar OOB de .NET[cite: 58]. Sanear truststores[cite: 58]. Reiniciar procesos en ejecución para asegurar que carguen los nuevos módulos[cite: 58].
- Días 4-14 (Revalidación P1): Ejecutar retest de seguridad no destructivo sobre CMS (WordPress, Drupal) y webmail (Roundcube)[cite: 57, 58]. Validar registros de autenticación y ausencia de cuentas anómalas[cite: 55, 58].