PHP y Brotli bajo explotación activa: las críticas de octubre de 2026

Consultamos el catálogo KEV de CISA y la base de datos del NIST el 1 de noviembre de 2026 para escribir este artículo. No es una lista de «vulnerabilidades del mes» copiada de un titular: son las que tienen explotación confirmada en el mundo real y las que, por el producto afectado, es probable que estén en tu infraestructura sin que lo sepas.

Empieza por las dos primeras. El resto es contexto.

Qué significa que una CVE esté en el KEV

El catálogo Known Exploited Vulnerabilities de CISA no recoge todo lo que se publica: solo lo que alguien está explotando de verdad, con evidencia. Estar dentro implica dos cosas:

• Ya hay atacantes usándolo. No es una prueba de concepto de laboratorio.
• CISA fija una fecha límite para parchear en organismos federales de EE. UU. Es un buen termómetro de urgencia, aunque tu empresa no sea pública: si ellos dan tres días, tú no tienes un mes.

CVE-2026-109618: ejecución remota de código en PHP

La más urgente de la lista, y no por su gravedad —que también— sino por dónde está.

• Gravedad: 9.8 sobre 10 (crítica).
• Impacto: corrupción de memoria que lleva a ejecución remota de código sin autenticación. El fallo está en cómo se gestionan los errores de memoria agotada: el contexto no queda limpio y el proceso posterior lee memoria que no debería.
• Versiones corregidas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El rango declarado se remonta a 7.3.0, así que si arrastras una versión antigua, comprueba el aviso del fabricante.
• Estado: añadida al KEV el 26 de octubre de 2026, con plazo de remediación el 29 de octubre. Ese plazo ya venció.

¿Por qué importa en una PYME? Porque PHP no es un programa que instales y olvides: es el motor detrás de la web de tu empresa, del gestor de contenidos, del foro antiguo que nadie mantiene y de la intranet que montó un proveedor en 2019. Muchas veces hay varias versiones de PHP conviviendo en el mismo hosting, y solo se actualiza la que se usa.

Qué hacer: identifica qué versión corre en cada sitio (un phpinfo o el panel del hosting lo dicen), actualiza a la última de tu rama y, si el CMS no soporta esa rama, ese CMS es el problema, no el parche.

CVE-2026-111497: desbordamiento en el decodificador Brotli

Esta es la que más se va a subestimar, porque el producto no suena a nada.

• Gravedad: 9.8 (crítica).
• Qué es Brotli: el algoritmo de compresión que usan casi todos los servidores web y navegadores para enviar HTML, CSS y JavaScript más rápido. Está en Nginx, en CDNs, en librerías de Python y en Node.js.
• El fallo: un flujo comprimido manipulado provoca un desbordamiento de buffer en el decodificador. Puede corromper memoria adyacente, filtrar contenido sensible, tumbar el proceso o permitir ejecución de código.
• Versiones corregidas: 1.0.10, 1.1.1 y 1.2.1. Todo lo anterior desde 1.0.3 está afectado.
• Estado: añadida al KEV el 27 de octubre de 2026, plazo el 10 de noviembre.

El detalle que la hace peligrosa: Node.js también publicó parches porque su decodificador Brotli es alcanzable desde peticiones HTTP comprimidas. Si tu web o tu API corren sobre Node, esa es la vía de entrada. La rama 22 necesita al menos la 22.23.4.

Qué hacer: no busques «Brotli» en el panel de tu hosting, no aparece. Pregunta a tu proveedor por la versión de libbrotli del sistema, actualiza Node si lo usas y comprueba si tu CDN ya lo ha corregido en su lado.

Otras críticas de octubre que conviene revisar

No están (aún) en el KEV, pero son 9.x y afectan a productos habituales en entornos corporativos:

• Traefik anterior a 2.11.58 y a 3.7.13 — 9.3. Un fallo en las reglas con !Host() permite saltarse la verificación de certificado de cliente y llegar a servicios que creías protegidos por mTLS. Si expones paneles internos detrás de Traefik, revísalo.
• Authlib (Python, OAuth y OpenID Connect) — 9.1. Varios fallos permiten forjar tokens JWT y hacerse pasar por cualquier usuario. Si tienes un inicio de sesión propio hecho con esta librería, es prioritario.
• Pillow anterior a 13.0.0 (Python) — 9.8. Cuatro fallos distintos al procesar imágenes TIFF, FlashPix o JPEG manipuladas. Crítico en cualquier aplicación que acepte subidas de imágenes y las redimensione.
• IBM MQ — 9.8. Desbordamiento de pila al procesar certificados TLS con nombres malformados durante el establecimiento del canal.
• Oracle Enterprise Manager for Oracle Database 13.5 y 24.1 — 9.9. Permite tomar el control del gestor con credenciales de bajos privilegios.
• Incus 7.0.0 a 7.0.1 y 7.1.0 a 7.4.x — 9.9. Salto de ruta al importar una copia de seguridad manipulada; compromete el host.
• Silicon Labs EmberZNet 9.1.1 y anteriores — 9.8. Escritura fuera de límites en el protocolo Zigbee. Relevante si fabricas o despliegas dispositivos conectados.

Cómo priorizar sin un equipo de 20 personas

La tentación es empezar por la nota más alta. Es un error. El orden correcto tiene tres filtros:

1. ¿Está expuesto a Internet? Un 9.8 en un servidor interno sin salida es menos urgente que un 7.5 en el portal público.
2. ¿Hay explotación confirmada? KEV primero, siempre. Un fallo que nadie usa todavía te da días; uno que ya se explota te da horas.
3. ¿Es alcanzable sin autenticarse? Los que no piden credenciales van delante de los que sí.

Con esos tres filtros, este mes el orden es claro: PHP y Brotli primero (explotación activa), después Authlib y Traefik si los usas (rompen la autenticación), y luego el resto según exposición.

Parchear no es suficiente

Un parche llega tarde si el atacante ya entró. Después de actualizar, comprueba dos cosas:

• Que nadie estuvo antes. Registros de acceso raros, procesos que no reconoces, cuentas nuevas con permisos. En PHP, un archivo .php con nombre aleatorio en una carpeta de subidas es la firma clásica de una webshell.
• Que no queda una copia antigua. El servidor de staging, el entorno de pruebas y el backup restaurado «por si acaso» siguen con la versión vulnerable. Es el fallo más repetido que encontramos en auditorías.

Tu siguiente paso

Si no tienes un inventario de qué versiones corren en tu empresa, no puedes priorizar nada de lo anterior. Y ese inventario empieza por lo que se ve desde fuera.

Nuestra auditoría OSINT gratuita te dice qué dominios, subdominios y servicios tienes expuestos —incluidos los que olvidaste— y te entrega un informe en 72 horas sin tocar tus sistemas. Si quieres comprobar si esas versiones aguantan un ataque real, lo hacemos con un pentesting autorizado por escrito.

Fuentes consultadas el 1 de noviembre de 2026: catálogo KEV de CISA, NVD — CVE-2026-109618, NVD — CVE-2026-111497 y NVD — CVE-2026-114656.