Crítica CVSS 9.2 Se explota
PHP PHP2Shell: ejecución remota de código en PHP A quién afecta 8.2 < 8.2.35 · 8.3 < 8.3.36 · 8.4 < 8.4.27 · 8.5 < 8.5.12. PHP 7.4, 8.0 y 8.1 sin versión oficial que lo corrija. Qué hacer Actualiza PHP hoy y reinicia PHP-FPM. Si estás en 7.4–8.1, migra o pide un backport a tu proveedor. 9.2CVSS v4 PHP2Shell permite tomar el control de un servidor y ya se está explotando. Escribe tu dominio o la IP del servidor: leemos lo que tu sitio le muestra a cualquier visitante y te decimos si tu versión de PHP es vulnerable, si se queda sin soporte y qué hacer.
Revisar mi PHP ahora Crítica CVSS 10.0 Se explota
WordPress · Bricksforge Bricksforge: toman el sitio sin iniciar sesión A quién afecta Plugin Bricksforge anterior a 3.1.8.10. Ataques desde el 7 de octubre. Qué hacer Actualiza Bricksforge a 3.1.8.10 y revisa usuarios administradores y archivos nuevos. Crítica Se explota CISA KEV
Ahsay AhsayCBS Software de respaldos Ahsay: acceso sin contraseña y comandos A quién afecta Servidores AhsayCBS sin el parche del fabricante. Qué hacer Parcha AhsayCBS y verifica que tus respaldos no fueron alterados. Crítica CVSS 8.6 Se explota CISA KEV
Ivanti Connect Secure VPN Ivanti: entrar sin credenciales y ejecutar comandos A quién afecta Ivanti Connect Secure anterior a 25.1.3.0. Qué hacer Actualiza a 25.1.3.0, 25.1.3.1 o 22.8R2.5 y revisa accesos sospechosos. Crítica Se explota CISA KEV
Palo Alto PAN-OS Firewall Palo Alto: inyección de código como root A quién afecta PAN-OS; versiones en el aviso de Palo Alto. Requiere usuario autenticado. Qué hacer Revisa el aviso del fabricante y parcha el firewall. Crítica Se explota CISA KEV
Cisco Secure Email Gateway Cisco Secure Email Gateway: escribe archivos sin autenticarse A quién afecta Cisco Secure Email Gateway; versiones en el aviso de Cisco. Qué hacer Parcha según el aviso de Cisco. Crítica CVSS 9.3 Se explota CISA KEV
Atlassian Data Center Jira, Confluence y Bitbucket Data Center A quién afecta Jira, Confluence, Bitbucket, Crowd y Bamboo Data Center en varias versiones. Qué hacer Actualiza: Jira 9.12.40 / 10.3.26 / 11.3.12; Confluence 9.2.26 / 10.2.19; Bitbucket 9.4.26 / 10.2.8 / 10.5.1. Crítica CVSS 9.3 Se explota CISA KEV
BeyondTrust Remote Support BeyondTrust Remote Support: acceso sin autenticación A quién afecta BeyondTrust Remote Support hasta 26.2.3. Qué hacer Aplica el parche del aviso bt26-05 de BeyondTrust. Crítica CVSS 9.2
Laravel Laravel: entrar como otro usuario sin token A quién afecta laravel/framework < 12.68.0 y 13.x < 13.29.0 con guard «token» y MySQL/MariaDB. Laravel 11 no recibe parche. Qué hacer composer update laravel/framework a 12.68.0 o 13.29.0. En Laravel 11, migra. Alta Se explota
WordPress Campaña de puertas traseras con llaves de UpdraftCentral A quién afecta Sitios WordPress con llaves de UpdraftCentral expuestas; los atacantes instalan plugins falsos (99 nombres detectados). Qué hacer Revoca y regenera las llaves de UpdraftCentral y revisa plugins que no instalaste. Alta CVSS 8.8 Se explota CISA KEV
Windows Windows Shell: se salta la advertencia de archivos descargados A quién afecta Windows 10, 11 y Server 2012 R2 a 2025 sin la actualización de octubre. Qué hacer Instala la actualización acumulada de octubre en todas las PC y servidores. Alta Se explota CISA KEV
Nextcloud · Collabora Online Collabora Online en Nextcloud: inyección de comandos A quién afecta Servidor CODE de Collabora integrado en Nextcloud. Qué hacer Actualiza Collabora Online / CODE en tu Nextcloud. Alta
PHP 8.2 PHP 8.2 se queda sin parches el 31 de diciembre A quién afecta Todo sistema en PHP 8.2 o anterior. 8.1 ya no recibe parches desde diciembre de 2025. Qué hacer Planea la migración a PHP 8.4 antes de fin de año: revisa dependencias de Composer y extensiones. Alta CVSS 8.1
nginx nginx: desbordamiento de memoria con alias A quién afecta nginx anterior a 1.30.6 y 1.31.0–1.31.6, si la configuración combina alias con $request_filename. Qué hacer Actualiza a 1.30.6 o 1.31.7. Mientras, evita alias junto con $request_filename. Alta CVSS 8.1
SharePoint Server SharePoint Server: escalamiento de privilegios A quién afecta SharePoint Server Subscription Edition anterior a 16.0.20326.20190. Qué hacer Instala el parche de octubre en SharePoint local. Media CVSS 5.4 Se explota CISA KEV
Fortinet FortiOS FortiOS: falla de administración que ya se explota A quién afecta FortiOS 7.6.0–7.6.4, 7.4.0–7.4.9 y todas las 7.2, 7.0 y 6.4. Requiere un administrador autenticado. Qué hacer Actualiza a 7.6.5, 7.4.10 u 8.0; limita quién entra a la administración y revisa cuentas admin. Media
PHP Segunda falla de PHP, todavía sin parche A quién afecta Sitios que cambian session.serialize_handler a «php» en ejecución y tienen activo el upload progress. Qué hacer Mientras sale el parche: session.upload_progress.enabled = 0 en php.ini. Media CVSS 6.5
Laravel · Livewire Laravel y Livewire: dos fallas de autorización A quién afecta Laravel 12.45–12.67 y 13.x < 13.27.0 (un endpoint de lectura puede borrar una tabla relacionada). Livewire 4.3.0–4.4.7 (se salta #[Authorize]). Qué hacer Actualiza laravel/framework y livewire/livewire a 4.4.8 o superior. Media
Symfony Symfony: tres fallas en http-foundation, expression-language y yaml A quién afecta Componentes de Symfony; http-foundation también lo usa Laravel (ReDoS vía Cache-Control). Qué hacer composer update symfony/* a las versiones del aviso del 15 de octubre. Media CVSS 7.5
WordPress WordPress 7.1.3 (7 correcciones) y plugin Music Store sin parche A quién afecta WordPress 7.1.2 o anterior. Music Store ≤ 1.4.7: lectura de archivos sin login, sin versión corregida publicada. Qué hacer Confirma que llegó la 7.1.3. Si usas Music Store, desactívalo hasta que salga el parche. Info
OpenSSH OpenSSH 10.6: versión de endurecimiento A quién afecta OpenSSH 10.5 o anterior. Mejora validación de rutas en sftp y el reenvío de túneles. Qué hacer Actualiza con el paquete de tu distribución y revisa que el puerto 22 no esté abierto a todo internet.
