La agencia estadounidense de ciberseguridad CISA ha añadido esta semana a su catálogo de vulnerabilidades explotadas varias que afectan a software muy extendido fuera de las grandes empresas: cuatro fallos de Plex Media Server que, encadenados, permiten tomar el control del servidor, y uno en el servidor de documentos integrado de Collabora para Nextcloud, ya usado para instalar puertas traseras. A la lista se suman diez correcciones de Node.js y un nuevo aviso de PHP tras los parches de emergencia de PHP2Shell. En todos los casos hay versión corregida y lo urgente es actualizar.
Las claves de las vulnerabilidades de la semana en 20 segundos
- Plex2Shell permite tomar Plex Media Server y ya se explota; se corrige en la 1.43.3.10861.
- El servidor CODE integrado de Nextcloud sufre ataques con web shells; hay que actualizarlo a la 26.4.303 o desinstalarlo.
- Node.js corrige diez fallos y PHP avisa de un nuevo riesgo de ejecución remota.
El catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA solo recoge fallos con pruebas de explotación real, y obliga a las agencias federales estadounidenses a corregirlos en plazos cortos. Para el resto de organizaciones es una de las mejores señales para decidir qué parchear primero, en un año en el que el número de CVE publicadas casi duplica ya todo 2025.
Plex2Shell: el servidor multimedia, en manos del atacante
Plex Media Server es el programa que millones de usuarios instalan en un ordenador o un NAS para organizar y reproducir en streaming sus películas y series. El investigador Zach Main informó a Plex el 27 de julio de cuatro fallos, que la empresa corrigió en la versión 1.43.3.10861, publicada el 4 de agosto. Por separado tienen gravedad media o alta, pero encadenados, una cadena que su descubridor bautizó como Plex2Shell y valoró con un 9,8 sobre 10, permiten obtener el token del administrador y ejecutar código con privilegios elevados.
La cadena empieza con CVE-2026-96652, una falsificación de peticiones del lado del servidor (SSRF) que no requiere autenticación y hace que Plex envíe peticiones a sus propias API internas. La completan CVE-2026-96654, una inyección de URL; CVE-2026-96655, otro SSRF; y CVE-2026-96656, que permite escribir ficheros arbitrarios y colocar una librería maliciosa que Plex acaba cargando. Los detalles técnicos se publicaron el 16 de octubre, la prueba de concepto llegó tres días después y desde el 17 ya hay ataques que instalan mineros de criptomonedas. CISA dio a las agencias federales hasta el 23 de octubre para corregirlo. Quien tenga Plex en un NAS debe comprobar la versión a mano, porque algunos gestores de paquetes no han recibido todavía la actualización.
Nextcloud: puertas traseras a través del servidor CODE integrado
CVE-2026-110447, con una puntuación de 9,2, afecta a la aplicación Collabora Online – Built-in CODE Server (richdocumentscode), que muchos administradores instalan para editar documentos dentro de Nextcloud sin montar un servidor de Collabora aparte. Es una inyección de comandos sin autenticación en el script proxy.php que solo puede explotarse cuando el servidor de documentos local está parado, por ejemplo tras un reinicio, una actualización o un fallo. Los atacantes la han usado desde el 10 de septiembre para dejar web shells en PHP y buscar bases de datos de contraseñas y monederos de criptomonedas. CISA la incluyó en su catálogo el 23 de octubre.
La corrección llegó el 11 de septiembre con la versión 26.4.303, que exige Nextcloud 30 o posterior. Quien siga en Nextcloud 29 o anterior, ya sin soporte, tiene que actualizar Nextcloud o eliminar la aplicación. Collabora advierte de que desactivarla no basta para evitar el problema. Los servidores de Collabora independientes, las instalaciones con Docker o paquetes y Nextcloud All-in-One no están afectados. Quien haya tenido la aplicación expuesta conviene que revise además si hay ficheros PHP desconocidos en el servidor.
Node.js, PHP y otros fallos explotados
Node.js publicó el 21 de octubre las versiones 26.12.1, 24.22.1 y 22.23.4, que corrigen diez vulnerabilidades. La más grave, CVE-2026-111497, es una escritura fuera de límites en el descompresor Brotli que trae Node.js y puede provocar la caída del proceso, la filtración de memoria o la ejecución remota de código si la aplicación descomprime datos Brotli manipulados con node:zlib. Node.js la clasifica como alta, mientras que la agencia de ciberseguridad de Singapur le asigna un 9,8 sobre 10. Hay además tres fallos altos que permiten saltarse la comprobación del nombre de host en TLS o truncar nombres en las consultas DNS. No consta que estén siendo explotados.
En PHP, dos días después de los parches de emergencia de PHP2Shell, que ya contamos en OpenSecurity, el proyecto avisó el 23 de octubre de un nuevo riesgo de ejecución remota, CVE-2026-115560. Solo afecta a aplicaciones con una configuración poco habitual de las sesiones y con el seguimiento de subida de ficheros activado, PHP lo considera un riesgo improbable y lo corregirá en la próxima versión ordinaria. Mientras tanto, la mitigación es la misma que para CVE-2026-109619: desactivar session.upload_progress.enabled. CISA añadió también a su catálogo esta semana un fallo de Siemens Software Center (CVE-2026-110936), usado en campañas ligadas a la técnica ClickFix y corregido en la versión 4.0.9.8, y una inyección de comandos en el WAF SiteGuard Server Edition (CVE-2026-106931).
Preguntas frecuentes
¿Qué versión de Plex Media Server corrige Plex2Shell?
La 1.43.3.10861 o posterior. Las versiones 1.43.2 y anteriores son vulnerables y la cadena ya se está explotando para instalar mineros de criptomonedas.
¿Mi Nextcloud está afectado por CVE-2026-110447?
Solo si usas la aplicación Built-in CODE Server (richdocumentscode) en una versión anterior a la 26.4.303. Los servidores de Collabora independientes y Nextcloud All-in-One no están afectados.
¿Qué versiones de Node.js tengo que instalar?
La 26.12.1, la 24.22.1 o la 22.23.4, según la rama que uses. Las versiones sin soporte también están afectadas y conviene migrarlas.
¿Qué es el catálogo KEV de CISA?
La lista de vulnerabilidades con explotación confirmada que mantiene la agencia de ciberseguridad de Estados Unidos. Obliga a sus agencias federales a parchearlas y sirve de referencia a muchas empresas para priorizar.
Fuentes:
- BleepingComputer: CISA, hackers chain Plex flaws in Plex2Shell attacks
- Foros de Plex: aviso de actualización a la 1.43.3.10861
- BleepingComputer: Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers
- Security Affairs: CISA añade el fallo de Collabora Online al catálogo KEV
- Node.js: October 2026 security releases
- CSA Singapur: Critical Vulnerability in Node.js
- The Hacker News: PHP warns of another unpatched RCE risk
