[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli":3,"prev-/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli":483,"next-/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli":461,"related-/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli":485,"author-Diego Herrera":504},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":438,"cta":439,"date":444,"dateModified":444,"description":445,"draft":446,"extension":447,"faq":448,"featured":446,"howto":461,"image":462,"imageAlt":463,"intent":464,"keywords":465,"meta":470,"navigation":471,"path":472,"publishedTime":473,"readingTime":474,"seo":475,"seoTitle":476,"stem":477,"tags":478,"__hash__":482},"blog/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli.md","PHP2Shell, día 6: Palo Alto adelanta cuatro hotfixes de PAN-OS 11.1 y PHP rehace sus paquetes de Windows por una falla en Brotli","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":428},"minimark",[11,27,38,57,62,65,137,140,162,173,184,192,195,199,213,224,227,272,275,279,336,340,399,412,416,419],[12,13,14,18,19,22,23,26],"p",{},[15,16,17],"strong",{},"Sexto día de PHP2Shell y Palo Alto vuelve a ir adelante de su propio calendario."," Este lunes 26 de octubre de 2026, Palo Alto Networks actualizó su aviso CVE-2026-109618 y marcó como ",[15,20,21],{},"liberados cuatro hotfixes de PAN-OS 11.1"," que tenía programados entre el martes 27 y el jueves 29: ",[15,24,25],{},"11.1.4-h38, 11.1.6-h40, 11.1.10-h36 y 11.1.13-h16",". Con los del domingo, ya son siete versiones con corrección.",[12,28,29,30,33,34,37],{},"El mismo día, el proyecto PHP publicó ",[15,31,32],{},"paquetes reconstruidos para Windows"," (8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1) para cerrar ",[15,35,36],{},"CVE-2026-111497",", una falla en Brotli, la librería de compresión que viaja dentro de esos paquetes. No es PHP2Shell, pero si tienes PHP sobre Windows, te toca reinstalar aunque ya estés en la versión que corrige PHP2Shell.",[12,39,40,41,46,47,51,52,56],{},"Si llegas tarde: el 21 de octubre PHP corrigió ",[42,43,45],"a",{"href":44},"/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php","CVE-2026-109618 y CVE-2026-109619",", el 23 Palo Alto fijó su ",[42,48,50],{"href":49},"/blog/noticias/php2shell-palo-alto-parches-26-30-octubre","calendario de hotfixes del 26 al 30"," y el 25 salieron los ",[42,53,55],{"href":54},"/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560","primeros tres hotfixes y el aviso de CVE-2026-115560",".",[58,59,61],"h2",{"id":60},"palo-alto-la-rama-111-queda-casi-completa","Palo Alto: la rama 11.1 queda casi completa",[12,63,64],{},"Así queda la tabla del aviso tras la revisión del 26 de octubre:",[66,67,68,81],"table",{},[69,70,71],"thead",{},[72,73,74,78],"tr",{},[75,76,77],"th",{},"Estado",[75,79,80],{},"Versiones de PAN-OS",[82,83,84,95,105,113,121,129],"tbody",{},[72,85,86,92],{},[87,88,89],"td",{},[15,90,91],{},"Liberado (25 oct)",[87,93,94],{},"10.2.18-h13, 11.1.16-h4, 11.2.10-h16",[72,96,97,102],{},[87,98,99],{},[15,100,101],{},"Liberado (26 oct)",[87,103,104],{},"11.1.4-h38, 11.1.6-h40, 11.1.10-h36, 11.1.13-h16",[72,106,107,110],{},[87,108,109],{},"Estimado martes 27 oct",[87,111,112],{},"10.2.13-h27, 11.2.13-h4",[72,114,115,118],{},[87,116,117],{},"Estimado miércoles 28 oct",[87,119,120],{},"10.2.16-h12, 11.2.16-h1, 12.1.7-h11, 12.2.4-h1",[72,122,123,126],{},[87,124,125],{},"Estimado jueves 29 oct",[87,127,128],{},"10.2.10-h42, 11.2.7-h23, 12.1.4-h13",[72,130,131,134],{},[87,132,133],{},"Estimado viernes 30 oct",[87,135,136],{},"10.2.7-h39, 11.1.7-h12, 11.2.4-h23, 12.1.10-h3",[12,138,139],{},"Lo que cambió hoy, en concreto:",[141,142,143,150,156],"ul",{},[144,145,146,149],"li",{},[15,147,148],{},"11.1.13-h16"," estaba estimado para el martes 27: salió un día antes.",[144,151,152,155],{},[15,153,154],{},"11.1.10-h36"," estaba para el miércoles 28: dos días antes.",[144,157,158,161],{},[15,159,160],{},"11.1.4-h38 y 11.1.6-h40"," estaban para el jueves 29: tres días antes.",[12,163,164,165,168,169,172],{},"De la rama 11.1 solo falta ",[15,166,167],{},"11.1.7-h12",", que sigue para el viernes 30. Las ramas 10.2, 11.2, 12.1 y 12.2 no se movieron. ",[15,170,171],{},"Panorama"," (virtual y M-Series) sigue afectado y sin tabla propia: usa las mismas versiones de PAN-OS.",[12,174,175,176,179,180,183],{},"Palo Alto mantiene que ",[15,177,178],{},"no conoce explotación maliciosa"," contra sus productos. Su equipo de inteligencia, Unit 42, actualizó el 25 de octubre su informe sobre las dos fallas de PHP, y el rastreador independiente phpvulnerabilities.app registra que ese mismo día Unit 42 ",[15,181,182],{},"se retractó"," de un reporte del 23 sobre una intrusión en una dependencia de gobierno europea: dijo que no puede confirmar que el acceso inicial usara estas fallas.",[185,186,189],"callout",{"icon":187,"title":188},"i-lucide-calendar-clock","Que el parche salga antes no significa que tu ventana también",[12,190,191],{},"Un hotfix adelantado es buena noticia, pero instalarlo sigue implicando reinicio. Respalda la configuración fuera del equipo, actualiza primero el firewall pasivo si tienes alta disponibilidad y agenda en horario de baja actividad: internet, VPN y telefonía IP se cortan unos minutos.",[193,194],"ad-banner",{},[58,196,198],{"id":197},"php-en-windows-paquetes-1-por-la-falla-de-brotli","PHP en Windows: paquetes \"-1\" por la falla de Brotli",[12,200,201,202,205,206,208,209,212],{},"El aviso de php.net del 26 de octubre es breve. Los paquetes oficiales de PHP para Windows incluyen ahora ",[15,203,204],{},"Brotli 1.2.1",", versión que Google publicó el 21 de octubre y que corrige ",[15,207,36],{},", una escritura fuera de límites en la descompresión. En las notas de la versión, Google la describe como una falla que ",[15,210,211],{},"permite ejecución remota de código",". PHP no publicó calificación de severidad, y al revisar el apartado de avisos de seguridad del repositorio de Brotli el 26 de octubre todavía no había ninguno publicado con detalle de versiones afectadas.",[12,214,215,216,219,220,223],{},"¿Cuándo te pega? Según PHP, en Windows el descompresor vulnerable se alcanza por la ",[15,217,218],{},"extensión cURL"," cuando está activa la ",[15,221,222],{},"descompresión automática de respuestas HTTP",". Esa opción viene apagada en cURL, pero aplicaciones y librerías cliente de HTTP pueden encenderla. Traducido: si tu sistema en PHP consulta servicios externos (un PAC para timbrar, la API de una paquetería, un tipo de cambio) y el código pide respuestas comprimidas, un servidor malicioso o comprometido podría mandarle una respuesta armada para explotar la falla.",[12,225,226],{},"Tres detalles para no confundirte:",[228,229,230,248,254],"ol",{},[144,231,232,235,236,240,241,244,245,247],{},[15,233,234],{},"El número de PHP no cambia."," El sufijo ",[237,238,239],"code",{},"-1"," solo indica que se reconstruyó el paquete con dependencias nuevas; ",[237,242,243],{},"php -v"," seguirá mostrando 8.4.27 o la que tengas. Anota en tu inventario que instalaste el paquete ",[237,246,239],{},", porque el número no te lo va a decir.",[144,249,250,253],{},[15,251,252],{},"El aviso solo cubre Windows."," En Linux, Brotli lo instala tu distribución como paquete del sistema; la corrección llegará por sus actualizaciones normales.",[144,255,256,259,260,263,264,267,268,271],{},[15,257,258],{},"No sustituye lo pendiente."," Estos paquetes ",[15,261,262],{},"no"," corrigen CVE-2026-115560, la falla del progreso de carga de sesiones que PHP anunció el 23. La mitigación sigue siendo ",[237,265,266],{},"session.upload_progress.enabled = 0"," en ",[237,269,270],{},"php.ini"," o en el pool de PHP-FPM, y la corrección llegará con la siguiente versión regular de mantenimiento, todavía sin fecha.",[12,273,274],{},"Si tu PHP en Windows llegó dentro de un paquete armado por terceros (un instalador tipo \"todo en uno\", el que trajo tu ERP web o el de tu proveedor de hosting), el PHP no viene de php.net: pregunta a quien lo mantiene si ya incorporó Brotli 1.2.1.",[58,276,278],{"id":277},"el-resto-del-panorama-al-26-de-octubre","El resto del panorama al 26 de octubre",[66,280,281,290],{},[69,282,283],{},[72,284,285,288],{},[75,286,287],{},"Tema",[75,289,77],{},[82,291,292,304,312,320,328],{},[72,293,294,297],{},[87,295,296],{},"Catálogo KEV de CISA",[87,298,299,300,303],{},"PHP2Shell ",[15,301,302],{},"sigue fuera","; la versión vigente es la 2026.10.23",[72,305,306,309],{},[87,307,308],{},"Intrusiones confirmadas",[87,310,311],{},"Ninguna en un sitio en producción con nombre; Unit 42 retiró su reporte del 23",[72,313,314,317],{},[87,315,316],{},"Sondeos",[87,318,319],{},"Lo último registrado: el 25 de octubre Defused vio sondeos contra señuelos de GlobalProtect con marca de progreso de carga, sin carga maliciosa",[72,321,322,325],{},[87,323,324],{},"CVE-2026-115560",[87,326,327],{},"Sin parche; mitigación por configuración",[72,329,330,333],{},[87,331,332],{},"Distribuciones",[87,334,335],{},"Ubuntu, Debian, cPanel y Plesk corregidos; Red Hat y AWS parcialmente",[58,337,339],{"id":338},"qué-hacer-esta-semana","Qué hacer esta semana",[228,341,342,348,363,376,389],{},[144,343,344,347],{},[15,345,346],{},"Firewalls Palo Alto en 11.1:"," revisa tu versión exacta (Dashboard, \"Software Version\"). Si estás en 11.1.4, 11.1.6, 11.1.10, 11.1.13 u 11.1.16, tu hotfix ya está; agenda la ventana. Si estás en 11.1.7, el tuyo sale el viernes 30.",[144,349,350,353,354,357,358,362],{},[15,351,352],{},"Otras ramas:"," confirma tu fecha en la tabla y, mientras tanto, mantén la consola de administración fuera de internet y las firmas de prevención con contenido 9162 o posterior, como explicamos el ",[42,355,356],{"href":49},"23 de octubre",". Si ya viviste la ",[42,359,361],{"href":360},"/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada","falla de la consola de PAN-OS de este mes",", ya sabes por qué.",[144,364,365,368,369,371,372,56],{},[15,366,367],{},"Servidores Windows con PHP:"," instala el paquete ",[237,370,239],{}," de tu rama y reinicia IIS, Apache o el servicio que ejecute PHP. Si sigues en 8.2, planea la salida: ",[42,373,375],{"href":374},"/blog/noticias/postgresql-14-php-8-2-fin-soporte-noviembre-diciembre","pierde soporte el 31 de diciembre",[144,377,378,381,382,385,386,388],{},[15,379,380],{},"Todos los servidores con PHP:"," confirma que ",[237,383,384],{},"session.upload_progress.enabled"," sigue en 0 después de cualquier reinstalación; un paquete nuevo puede traer un ",[237,387,270],{}," de fábrica.",[144,390,391,394,395,56],{},[15,392,393],{},"Comprueba desde fuera"," qué expones con nuestro método para ",[42,396,398],{"href":397},"/blog/tutorial/escanear-vulnerabilidades-red","escanear vulnerabilidades en tu red",[12,400,401,402,406,407,411],{},"Si tienes firewalls de varias ramas o servidores con PHP que nadie sabe quién instaló, en ",[42,403,405],{"href":404},"/servicios/ciberseguridad","ciberseguridad"," y ",[42,408,410],{"href":409},"/servicios/servidores","servidores"," hacemos el inventario, aplicamos los parches en ventana y dejamos las mitigaciones donde sí funcionan.",[58,413,415],{"id":414},"contexto-y-fuentes","Contexto y fuentes",[12,417,418],{},"Esta nota se basa en el aviso de seguridad CVE-2026-109618 de Palo Alto Networks (publicado el 21 y actualizado el 26 de octubre de 2026); la noticia de php.net del 26 de octubre de 2026 sobre los paquetes de Windows y el aviso informativo del 23 de octubre; las notas de la versión 1.2.1 de Brotli en el repositorio de Google (21 de octubre de 2026); el catálogo Known Exploited Vulnerabilities de CISA, versión 2026.10.23 (consultado el 26 de octubre); el sitio de Unit 42, y el rastreador independiente phpvulnerabilities.app (actualizado el 26 de octubre). El rastreador no pertenece a PHP ni a ningún fabricante: úsalo como guía y confirma en el aviso oficial de tu marca.",[420,421],"call-to-action",{"description":422,"eyebrow":423,"icon":424,"label":425,"title":426,"to":427},"Te decimos qué versión tiene cada firewall, cuál es tu fecha y te dejamos la actualización hecha en una ventana fuera de horario.","Ciberseguridad","i-lucide-shield-check","Hablar con un especialista","Siete hotfixes fuera, trece por venir: no lo hagas a ciegas","/contacto",{"title":429,"searchDepth":430,"depth":431,"links":432},"",2,3,[433,434,435,436,437],{"id":60,"depth":430,"text":61},{"id":197,"depth":430,"text":198},{"id":277,"depth":430,"text":278},{"id":338,"depth":430,"text":339},{"id":414,"depth":430,"text":415},"noticias",{"title":440,"description":441,"label":442,"to":404,"icon":443},"¿Tu firewall ya tiene hotfix y no hay quién lo instale?","Respaldamos la configuración, actualizamos primero el equipo pasivo del par de alta disponibilidad y dejamos la consola de administración fuera de internet.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-26","Palo Alto liberó el 26 de octubre cuatro hotfixes de PAN-OS 11.1 antes de lo previsto, y PHP publicó paquetes 8.x-1 para Windows por la falla CVE-2026-111497.",false,"md",[449,452,455,458],{"question":450,"answer":451},"¿Qué versiones de PAN-OS ya tienen el hotfix de PHP2Shell?","Al 26 de octubre de 2026 están liberadas 10.2.18-h13, 11.1.16-h4 y 11.2.10-h16 (desde el 25) y, desde hoy, 11.1.4-h38, 11.1.6-h40, 11.1.10-h36 y 11.1.13-h16. Las otras trece versiones siguen con fecha estimada entre el 27 y el 30 de octubre.",{"question":453,"answer":454},"¿Qué es CVE-2026-111497?","Es una escritura fuera de límites en el descompresor de Brotli, la librería de compresión de Google, corregida en Brotli 1.2.1. En los paquetes de PHP para Windows se puede alcanzar a través de la extensión cURL cuando está activa la descompresión automática de respuestas HTTP, que viene apagada de fábrica pero algunas aplicaciones y librerías encienden.",{"question":456,"answer":457},"¿Tengo que actualizar PHP en Linux por la falla de Brotli?","El aviso de PHP del 26 de octubre solo habla de los paquetes oficiales de Windows. En Linux, Brotli lo instala tu distribución como paquete del sistema, así que la corrección llegará por su canal de actualizaciones; revisa los avisos de seguridad de tu distribución.",{"question":459,"answer":460},"¿PHP2Shell ya entró al catálogo KEV de CISA?","No. Al consultar el catálogo de vulnerabilidades explotadas de CISA el 26 de octubre de 2026, la versión vigente seguía siendo la 2026.10.23 y no incluía CVE-2026-109618 ni CVE-2026-109619.",null,"/images/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli.jpg","Técnico revisando en una laptop la versión de software de un firewall montado en rack, junto a un servidor Windows con una consola de PHP abierta","informational",[466,467,468,469],"php2shell pan-os 11.1 hotfix","pan-os 11.1.13-h16","php windows brotli cve-2026-111497","php 8.4.27-1 windows",{},true,"/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli","2026-10-26T15:30:00-06:00",5,{"title":5,"description":445},"PHP2Shell día 6: PAN-OS 11.1 adelantado y PHP Windows","blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli",[405,479,480,481],"firewalls","vulnerabilidades","parches","NB3M8Ke3G3qKFYeW7anaiafPx3hvCqGU81rzxl2WXlw",{"path":374,"title":484},"PostgreSQL 14 se queda sin parches el 12 de noviembre y PHP 8.2 el 31 de diciembre: revisa tu ERP y tu sitio web",[486,492,498],{"path":487,"title":488,"description":489,"date":444,"category":438,"image":490,"imageAlt":491,"readingTime":474},"/blog/noticias/teams-ia-detecta-phishing-chats-externos-deepfakes-noviembre","Teams usará IA para detectar phishing en chats externos desde noviembre, y abre la puerta a detectores de deepfakes en reuniones","Microsoft activará en noviembre la detección de phishing con IA en chats externos de Teams, sin configuración. Fechas, qué analiza y cómo preparar a tu equipo.","/images/blog/noticias/teams-ia-detecta-phishing-chats-externos-deepfakes-noviembre.jpg","Pantalla de una laptop con un chat de Teams de un contacto externo y un aviso de advertencia de posible phishing, en un escritorio de oficina",{"path":493,"title":494,"description":495,"date":444,"category":438,"image":496,"imageAlt":497,"readingTime":474},"/blog/noticias/imss-incapacidades-pago-cuenta-bancaria-montos","El IMSS ya solo paga por depósito las incapacidades más altas: los nuevos montos y qué debe hacer Recursos Humanos","Desde el 6 de octubre el IMSS paga por depósito toda incapacidad de 9, 16 o 99 salarios mínimos o más. Montos, a quién afecta y cómo ayudar a tu personal.","/images/blog/noticias/imss-incapacidades-pago-cuenta-bancaria-montos.jpg","Certificado de incapacidad del IMSS junto a un celular con una transferencia bancaria y una calculadora de nómina",{"path":499,"title":500,"description":501,"date":444,"category":438,"image":502,"imageAlt":503,"readingTime":474},"/blog/noticias/exchange-online-powershell-credential-scripts-diciembre","Tus scripts de Microsoft 365 con usuario y contraseña dejan de servir en diciembre: Exchange Online retira -Credential","Las versiones del módulo de Exchange Online PowerShell de diciembre de 2026 ya no aceptan -Credential. Qué scripts se rompen y cómo pasarlos a certificado.","/images/blog/noticias/exchange-online-powershell-credential-scripts-diciembre.jpg","Ventana de PowerShell con el comando Connect-ExchangeOnline y un candado junto a un calendario con diciembre marcado",{"id":505,"avatar":461,"bio":506,"entityType":507,"expertise":508,"extension":509,"meta":510,"name":6,"role":511,"slug":512,"social":461,"stem":513,"url":7,"__hash__":514},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]