Entre el 21 y el 22 de octubre se han publicado correcciones de seguridad para PHP, Node.js y varios productos de Fortinet. Una vulnerabilidad es un fallo que permite a un tercero acceder a un sistema sin autorización. En los tres casos, los fallos pueden comprometer los datos y el control de los sistemas que utilizan estas tecnologías sin las correcciones necesarias.
El avance de la inteligencia artificial ha acelerado de forma notable la capacidad de encontrar vulnerabilidades en código ampliamente utilizado, lo que explica que hayan salido a la luz de manera conjunta. Fortinet, de hecho, indica que sus correcciones atienden fallos descubiertos con modelos de IA en sus pruebas internas.
Esta es la situación de cada una a 22 de octubre de 2026:
| Tecnología | Gravedad | Explotación | Qué hacer |
| PHP | Crítica: 9,2 sobre 10 (CVSS v4.0) | Se han observado intentos de explotación y el código de ataque circula públicamente | Actualizar a 8.5.12, 8.4.27, 8.3.36 u 8.2.35; migrar si se usa una rama sin soporte |
| Node.js | Alta en cuatro de las diez vulnerabilidades; el proyecto no publica puntuaciones CVSS | Sin explotación conocida a 22 de octubre | Actualizar a 26.12.1, 24.22.1 o 22.23.4; migrar si se usa una rama sin soporte |
| Fortinet | Crítica y alta, según Fortinet; los detalles técnicos se reservan hasta el 10 de noviembre | Explotación activa de un fallo en FortiMail (CVE-2026-104286) | Actualizar FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator a las versiones corregidas |
PHP: dos vulnerabilidades críticas en el núcleo del lenguaje
El 21 de octubre se publicaron versiones corregidas para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que permiten a un atacante ejecutar código en un servidor web con PHP, sin credenciales y sin intervención de ningún usuario. Su gravedad es de 9,2 sobre 10 (CVSS v4.0) y INCIBE-CERT las califica de críticas (5 sobre 5). Se han observado intentos de explotación reales y el código de ataque ya circula públicamente.
Las dos están en el propio PHP, no en una aplicación concreta, y afectan desde la rama 5 a todas las versiones en uso. Una provoca corrupción de memoria al agotarse el límite de memoria y la otra deja memoria obsoleta tras un error fatal; en ambos casos basta con enviar una petición web al servidor.
| Versión de PHP | Qué hacer |
|---|---|
| 8.5, 8.4, 8.3 y 8.2 | Actualizar a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama |
| 8.1, 8.0 y 7.4 | Sin versión oficial: aplicar el parche de la distribución si existe o, mejor, migrar |
| 7.3 y anteriores, y PHP 5 | Sin parche: migrar y, mientras tanto, mantener el servidor fuera de Internet |
No hay ninguna medida provisional que elimine el riesgo: actualizar es la única solución completa. Conviene además revisar los registros desde el 17 de octubre, fecha del primer intento de explotación registrado.
Descargar el informe completo en PDF
Node.js: diez vulnerabilidades en el propio motor
El 21 de octubre, el proyecto Node.js publicó versiones corregidas de sus tres ramas con soporte (22, 24 y 26) para diez vulnerabilidades, cuatro de ellas de gravedad alta; el proyecto no publica puntuaciones CVSS. A 22 de octubre no se conoce explotación, pero el parche es público y compararlo con el código anterior puede permitir construir un exploit.
- CVE-2026-111497 (alta), la más grave: un fallo en el descompresor Brotli permite ejecutar código de forma remota, sin credenciales. Basta con que una aplicación descomprima datos controlados por un atacante, algo que hacen por defecto fetch(), axios, node-fetch, got y Express 5.
- CVE-2026-105483 y CVE-2026-106069 (altas) y CVE-2026-106072 (media): fallos en la verificación de certificados TLS que permiten a un atacante en la red suplantar servicios, como una API interna o una pasarela de pago.
- CVE-2026-105482 (alta): las consultas DNS truncan los nombres que contienen un carácter nulo.
Las otras cinco son de gravedad media o baja y están en el informe. Las versiones corregidas bloquean además los certificados de una autoridad comprometida, eMudhra.
| Rama de Node.js | Qué hacer |
|---|---|
| 26, 24 y 22 | Actualizar a 26.12.1, 24.22.1 o 22.23.4, según la rama |
| 25, 23 y 21 | Sin versión oficial: migrar a 26 o 24 |
| 20 y anteriores | Fin de vida, sin parche: migrar a 22, 24 o 26 y, mientras tanto, aislar el servicio |
Las imágenes de contenedor, las aplicaciones Electron y los ejecutables empaquetados llevan su propio Node: hay que reconstruirlos, no solo actualizar el servidor. Ninguna medida provisional cubre todos los casos: actualizar es la única solución completa.
Descargar el informe completo en PDF
Fortinet: correcciones críticas en cortafuegos y consolas de gestión
El 21 de octubre, Fortinet anunció un conjunto coordinado de actualizaciones de seguridad para FortiOS (el sistema de los cortafuegos FortiGate), FortiManager y FortiAnalyzer, disponibles desde el 22 de octubre, tras las ya publicadas para FortiMail y FortiAuthenticator. Corrigen vulnerabilidades críticas y de gravedad alta descubiertas con modelos de IA, y Fortinet pide tratarlas como una prioridad.
Los identificadores CVE y los detalles técnicos no se publicarán hasta el 10 de noviembre. Esa reserva busca dar tiempo a actualizar: cuando se conozcan, comparar el código corregido con el anterior puede permitir construir un exploit en pocas horas.
Lo único con detalles públicos es CVE-2026-104286, un fallo de FortiMail de 9,8 sobre 10 que permite a un atacante remoto, sin credenciales, escribir ficheros en el sistema. Fortinet confirmó su explotación activa al publicar el aviso, el 1 de octubre. Mientras se actualiza, recomienda desactivar la función IBE de FortiMail.
| Producto | Versión corregida |
|---|---|
| FortiOS (FortiGate) | 8.0.2, 7.6.8, 7.4.13 o 7.2.14; 7.0 y anteriores, sin corrección: migrar |
| FortiManager y FortiAnalyzer | 8.0.2, 7.6.8, 7.4.12 o 7.2.13 |
| FortiMail | 8.0.2, 7.6.7 o 7.4.9; la 7.2 no tiene corrección: migrar a la 7.4 |
| FortiAuthenticator | 8.0.4 o 6.6.11 |
Mientras se actualiza, la medida principal es restringir el acceso de administración (HTTPS y SSH) a direcciones de confianza, y FortiManager nunca debe ser accesible desde Internet. Estas medidas reducen el riesgo, pero no sustituyen a actualizar a tiempo.
Descargar el informe completo en PDF
Qué puede ocurrir si no se actúa
Si un sistema vulnerable sigue sin actualizar, un atacante puede:
- Tomar el control del sistema: en un servidor con PHP o Node.js, ejecutar comandos con los permisos del servicio, leer la base de datos, robar credenciales, ficheros y tokens, instalar accesos ocultos o cifrar el sistema; en un cortafuegos, obtener privilegios de administrador, leer la configuración y las credenciales de VPN, abrir reglas e interceptar tráfico.
- Saltar a la red interna: un servidor web, un cortafuegos o una consola de gestión comprometidos son un punto de entrada hacia ficheros compartidos, correo, directorio de usuarios o copias de seguridad. Un FortiManager comprometido gobierna a la vez todos los cortafuegos que administra.
- Suplantar servicios: con los fallos de verificación de certificados de Node.js, interceptar conexiones a API, pasarelas de pago o repositorios internos.
- Interrumpir el servicio: los intentos fallidos pueden tumbar procesos y, ante una intrusión confirmada, hay que aislar, investigar y reconstruir, lo que en un cortafuegos puede suponer horas o días sin VPN ni salida a Internet.
Además, una intrusión que afecte a datos personales puede obligar a notificarla a la AEPD en un plazo de 72 horas, y no corregir una vulnerabilidad crítica puede suponer incumplir las medidas de gestión de vulnerabilidades que exigen el ENS o NIS2.
Actuación sobre los clientes con soporte
Si tienes un servicio de soporte contratado con Irontec, estamos trabajando activamente en identificar los sistemas que pudieran verse afectados con el fin de intervenir sobre ellos con la máxima rapidez y diligencia posibles.
Nuestro plan de actuación, sistema a sistema, tiene cinco pasos:
- Inventario: identificamos cada servidor o equipo afectado (versión, rama, modo de ejecución o funciones activas, aplicaciones y exposición a Internet), incluidos los que nadie recuerda.
- Contención: hacemos una copia de seguridad previa y aplicamos de inmediato las medidas provisionales, en las primeras horas.
- Actualización: actualizamos a la versión corregida de la rama o, si la rama no tiene soporte, planificamos la migración. En Node.js, reconstruimos también las imágenes de contenedor y los empaquetados.
- Verificación: probamos las aplicaciones, comprobamos la versión real en ejecución, revisamos los registros y confirmamos el resultado en nuestra monitorización.
- Cierre: entregamos un informe de la intervención con las versiones resultantes, los hallazgos y recomendaciones de ciclo de vida para no repetir la situación. En Fortinet, revisamos de nuevo el 10 de noviembre, cuando se publiquen los detalles.
No intervenimos un sistema sin copia de seguridad previa ni lo damos por resuelto sin comprobar la versión en ejecución y el funcionamiento de sus aplicaciones.
Es tal el nivel de criticidad de este suceso que las actuaciones sobre los sistemas afectados pueden suponer acciones disruptivas sobre los servicios. Queremos ser claros al respecto: con independencia de la disrupción que se produzca, las consecuencias de exponer los datos en un sistema vulnerable son mayores que la pérdida de servicio.
En paralelo, estamos trabajando activamente para restaurar la funcionalidad de aquellos servicios que se hayan visto comprometidos por las acciones correctivas.
Recomendación para el resto de clientes
Si la gestión de tus sistemas no corre a cargo de Irontec, te recomendamos contactar cuanto antes con tu equipo de informática o con tus otros proveedores tecnológicos para que verifiquen si estas vulnerabilidades te afectan y, en caso afirmativo, actúen sin demora.
Si no sabes qué versión de PHP, de Node.js o de Fortinet ejecuta cada uno de tus sistemas, ese es el primer dato que conviene obtener, incluidos los sistemas internos y los que nadie recuerda. Y si la administración de tus cortafuegos o de tu FortiManager es accesible desde Internet, conviene restringirla de inmediato.
Si no dispones de los medios para comprobarlo, o si, una vez verificado, no puedes resolverlo por tu cuenta, ponte en contacto con nosotros. Podemos revisar tu situación contigo y orientarte sobre si te afecta y qué pasos seguir.
Informes para descargar
Hemos reunido el detalle técnico de cada caso en tres informes en PDF, con las versiones corregidas, las medidas provisionales y las referencias completas. Compártelos con quien gestione tus sistemas:
- Vulnerabilidades críticas en PHP: las dos vulnerabilidades, las versiones afectadas y corregidas, incluidas las de las principales distribuciones, y las medidas provisionales.
- Vulnerabilidades graves en Node.js: las diez vulnerabilidades, las ramas con y sin corrección, una comprobación rápida y las medidas provisionales.
- Vulnerabilidades críticas en FortiGate: las correcciones de FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator, con las versiones corregidas y las medidas provisionales.
