Eclypsium alerta de la explotación activa de fallos en firewalls, VPN y dispositivos de red críticos

Los ciberdelincuentes están aprovechando de forma activa fallos en equipos esenciales de la red, y las vulnerabilidades de PHP denominadas «PHP2Shell» dejan al descubierto las interfaces web de administración de firewalls, VPN, controladores de entrega de aplicaciones y otros dispositivos. Así lo detalla la edición de octubre de InfraTrust Pulse, un informe periódico de Eclypsium que vigila los avisos de seguridad relativos a equipos de red, servidores, firmware y chips, entre otros elementos de infraestructura.

Durante el periodo comprendido entre el 18 de septiembre y el 14 de octubre, InfraTrust supervisó 133 nuevos avisos de seguridad de 18 fabricantes que suman 2.813 vulnerabilidades. De esos avisos, 37 se consideraron críticos, cinco alcanzaron la puntuación CVSS máxima de 10,0 y 58 podían explotarse remotamente sin autenticación. Además, 16 avisos recién publicados contenían fallos incluidos en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA por haber sido objeto de ataques reales.

El lastre de PHP en el firmware de los dispositivos

El informe subraya que numerosos dispositivos de red, como firewalls, puertas de enlace VPN, controladores de entrega de aplicaciones y sistemas de almacenamiento conectado a la red, incorporan PHP en sus interfaces de administración. Puesto que los fabricantes compilan PHP directamente en el firmware del equipo, los clientes normalmente no pueden instalar por su cuenta las últimas actualizaciones de seguridad de PHP y dependen de que cada proveedor publique un firmware renovado. Por ese motivo, InfraTrust aconseja a los administradores que, hasta que lleguen los parches de PHP2Shell, eviten exponer a Internet las interfaces de gestión basadas en PHP.

Infraestructura crítica bajo ataque

Algunos de los fallos más graves afectan a sistemas situados en el perímetro de las redes corporativas o empleados para administrar otra infraestructura. Los actores de amenazas seleccionan estos equipos porque pueden ofrecer un acceso inicial al entorno empresarial o servir de plataforma para ataques posteriores. Entre los fallos explotados que destaca InfraTrust figuran:

Citrix NetScaler ADC y Gateway: CVE-2026-88771 y CVE-2026-88772 se divulgaron el 27 de septiembre después de que ya se hubieran observado ataques contra dispositivos sin parchear. Otro fallo de NetScaler, CVE-2026-88779, que afecta a dispositivos configurados para SAML, se añadió posteriormente al catálogo KEV de CISA tras detectarse su explotación.
Ivanti Connect Secure: CVE-2026-104935 permite a un atacante remoto no autenticado ejecutar comandos arbitrarios en puertas de enlace VPN vulnerables. Ivanti afirmó que la explotación había afectado a un número limitado de clientes cuando publicó el aviso, y CISA lo incluyó después en el catálogo KEV.
Check Point Security Management Server: CVE-2026-93616 permite a un atacante no autenticado subir y ejecutar scripts en sistemas de gestión y registro. Check Point Research observó ataques dirigidos que explotaban el fallo el 12 de septiembre contra clientes de Spark.
Cisco Catalyst SD-WAN Manager: CVE-2026-76504 permite a un atacante no autenticado eludir la autenticación y obtener acceso de administrador a la API de gestión. Cisco tuvo conocimiento de su explotación activa en septiembre.
Arista VeloCloud Orchestrator: CVE-2026-93952 es un fallo de gravedad máxima que afecta al sistema empleado para configurar dispositivos SD-WAN Edge. Arista asegura que se está explotando activamente y el 22 de octubre reveló una segunda vulnerabilidad explotada (CVE-2026-114625) en el mismo producto.
FortiMail: CVE-2026-104286 es un fallo crítico de recorrido de rutas que permite a un atacante no autenticado escribir archivos arbitrarios a través de la interfaz web. Fortinet confirmó su explotación.
Cisco Secure Email Gateway: CVE-2026-76519 puede provocar que un archivo adjunto malicioso en un correo derive en escrituras arbitrarias de archivos y en la ejecución de comandos como root en sistemas vulnerables. Cisco supo de su explotación en octubre.
F5 BIG-IP APM: CVE-2026-94127 es un desbordamiento de montículo crítico que puede permitir la ejecución remota de código sin autenticación en sistemas configurados como servidores de autorización OAuth. F5 afirma que la vulnerabilidad ha sido explotada.
Interfaz de gestión PAN-OS: Palo Alto Networks informó de la explotación de CVE-2026-0322 en ataques contra firewalls, lo que permite a un administrador autenticado con acceso a la red ejecutar código como root.

PHP2Shell saca a la luz otro problema de fondo

InfraTrust también indica que las vulnerabilidades PHP2Shell recién divulgadas evidencian otra debilidad de la infraestructura de red, ya que muchos dispositivos integran PHP directamente en sus interfaces de administración. Los dos fallos de PHP, CVE-2026-109618 y CVE-2026-109619, permiten la ejecución remota de código sin autenticación, y el proyecto PHP los corrigió el 21 de octubre.

Aunque la atención sobre estas vulnerabilidades se ha centrado en sitios web y aplicaciones web escritas en PHP, este lenguaje también se utiliza en las interfaces de administración de firewalls, controladores de entrega de aplicaciones, dispositivos VPN y sistemas de almacenamiento conectado a la red. En los equipos afectados, los administradores por lo general no pueden actualizar PHP por sí mismos porque los fabricantes lo compilan directamente en el firmware, de modo que los clientes deben esperar a que cada proveedor recompile y publique un firmware o software actualizado con la versión de PHP parcheada.

Poco después de la divulgación, Palo Alto Networks, F5, NetScaler, Check Point y QNAP confirmaron que algunos de sus productos estaban afectados, mientras seguían desarrollando las correcciones para sus dispositivos. El informe también pone de relieve un problema similar en otros componentes de software que los fabricantes de infraestructura incorporan en sus productos.

CVE-2026-31431, un fallo de escalada de privilegios en el núcleo de Linux conocido como Copy Fail, ya figura en 29 avisos de ocho fabricantes, frente a los 19 avisos de seis fabricantes del mes anterior. InfraTrust encontró además vulnerabilidades antiguas y explotadas en componentes integrados, como un fallo del núcleo de Android que afecta a las impresoras HP LaserJet Enterprise y una vulnerabilidad de jQuery de 2020 en el software Dell Data Lakehouse.

Prioridades de parcheo

InfraTrust recomienda a los administradores que den prioridad al parcheo de NetScaler e Ivanti Connect Secure, ya que estas puertas de enlace de acceso remoto pueden servir de puerta de entrada a las redes corporativas. A continuación, sugiere aplicar las actualizaciones de seguridad de FortiOS, FortiManager y FortiAnalyzer publicadas por Fortinet el 22 de octubre para los dispositivos expuestos a Internet. Después, el informe aconseja centrarse en Check Point Security Management Server, Cisco Catalyst SD-WAN Manager, VeloCloud Orchestrator, FortiMail, Cisco Secure Email Gateway, los sistemas BIG-IP APM afectados y las interfaces de gestión PAN-OS.

Una vez que los atacantes disponen de credenciales válidas, solo se bloquea el 37 % de sus acciones. Las puntuaciones globales de prevención pueden ocultar lo que ocurre tras el acceso inicial: cuando los atacantes usan credenciales válidas, la prevención cae en picado. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.