Drupal Commerce, GitLab y Cisco: fallas críticas explotadas

Entre el 28 y el 29 de octubre de 2026 se confirmaron ataques reales contra tres fallas críticas en programas muy usados por las empresas: las tiendas en línea hechas con Drupal Commerce, los servidores propios de GitLab y los firewalls Cisco con VPN. En los tres casos ya existe una versión corregida, así que la prioridad es actualizar antes de que estas fallas explotadas lleguen a tus sistemas.

Drupal Commerce: tiendas en línea

El 28 de octubre, Drupal publicó el aviso SA-CONTRIB-2026-254 sobre Commerce Core (CVE-2026-118539), el módulo de comercio electrónico que usan más de 42.000 sitios. La falla, calificada como altamente crítica (21 sobre 25), permite que un visitante sin iniciar sesión se salte los controles de acceso de ciertas rutas y campos, con posible impacto financiero para la tienda. Drupal confirmó que ya se está explotando.

• Versiones afectadas: las anteriores a 8.x-2.41 y las 3.x anteriores a 3.3.13.
• Corrección: Commerce Core 3.3.13, o 8.x-2.41 para la rama anterior.
• Además: revisa los pedidos recientes en busca de inconsistencias, como recomienda Drupal.

GitLab: servidores de código

CVE-2026-97229 es un desbordamiento de entero en el compilador de expresiones regulares de CI/CD que permite que un atacante sin autenticación ejecute código en el servidor. Tiene la severidad máxima, 10 sobre 10. GitLab la corrigió el 12 de octubre y CISA confirmó ataques el 29 de octubre. Al publicarse el parche, Censys contó 25.766 servidores expuestos a internet con versiones vulnerables.

• Afectadas: instalaciones propias de GitLab CE y EE de la 19.2.0 a la 19.2.7, de la 19.3.0 a la 19.3.4 y de la 19.4.0 a la 19.4.1. GitLab.com ya está protegido.
• Corrección: 19.2.8, 19.3.5 o 19.4.2. La actualización incluye cambios en la base de datos, así que en servidores de un solo nodo hay que programar una ventana de mantenimiento.
• La falla está en el motor de expresiones regulares de Ruby, que el proyecto Ruby corrigió el 23 de octubre en las versiones 4.0.9, 3.4.12 y 3.3.13. CISA advierte que otros productos que lo usan pueden verse afectados: si tienes aplicaciones en Ruby, actualízalo también.

Cisco ASA y FTD: firewalls con VPN

CVE-2026-76418, de severidad alta (8,6 sobre 10), afecta a los firewalls Cisco ASA y Firepower Threat Defense que tienen la VPN SSL activa y autenticación secundaria en un grupo de túnel. Con una petición manipulada y sin credenciales, un atacante reinicia el equipo y deja a la empresa sin VPN. Cisco publicó su aviso el 28 de octubre, confirmó que la falla ya se explota y CISA la agregó a su catálogo de vulnerabilidades explotadas al día siguiente.

• Corrección: ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 o 9.24.1.27, y FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 o 10.1.1, según la rama de tu equipo (el aviso de Cisco tiene la tabla completa).
• Mientras actualizas: Cisco aclara que no hay una solución alternativa, pero sí una mitigación temporal. Si el grupo DefaultWEBVPNGroup no usa autenticación secundaria, desactiva la lista de grupos (no tunnel-group-list enable); si la usa, quítala (no secondary-authentication-server-group). Cisco advierte que esto reduce la seguridad de la VPN, así que debe ser temporal.

Qué hacer en tu empresa

1. Haz el inventario: ¿tu tienda usa Drupal Commerce? ¿Tienes un GitLab propio? ¿Tu VPN corre en un firewall Cisco?
2. Aplica las versiones corregidas esta misma semana, empezando por lo que está expuesto a internet.
3. Revisa registros, usuarios y pedidos desde comienzos de octubre.

Actualización del 31 de octubre: datos de los avisos oficiales

Revisamos esta noticia contra los avisos de Drupal, GitLab, Cisco y CISA. Quitamos la cifra de firewalls Cisco expuestos y cambiamos la de servidores GitLab por la medición de Censys, porque solo las publicaban medios. Además, agregamos las versiones corregidas de Cisco, precisamos su mitigación temporal y sumamos la corrección de Ruby, que comparte la falla de GitLab.

Cómo te ayudamos

Nuestro equipo de desarrollo de software actualiza y prueba tiendas en Drupal y servidores GitLab sin interrumpir la operación, y el de diseño e implementación de redes actualiza firewalls y VPN en ventanas programadas. Para revisar tu caso, contáctanos.

Fuentes

• Drupal: aviso SA-CONTRIB-2026-254 de Commerce Core (28 de octubre de 2026)
• Drupal: proyecto Commerce y número de sitios que lo usan
• GitLab: versiones 19.4.2, 19.3.5 y 19.2.8 (12 de octubre de 2026)
• Censys: aviso sobre CVE-2026-97229 en GitLab (13 de octubre de 2026)
• Ruby: correcciones del motor de expresiones regulares (23 de octubre de 2026)
• Cisco: aviso de seguridad de CVE-2026-76418 (28 de octubre de 2026)
• CISA: GitLab y Cisco en el catálogo de vulnerabilidades explotadas (29 de octubre de 2026)