La Apache Software Foundation lanzó la versión 2.4.69 de Apache HTTP Server el 1 de octubre de 2026 para corregir 20 vulnerabilidades. Estas fallas de seguridad podrían permitir la ejecución de código, caídas del servidor, filtraciones de datos y la omisión de la autenticación bajo condiciones específicas. De estas vulnerabilidades, cinco han sido clasificadas como moderadas y 15 adicionales han sido identificadas.

La Apache Software Foundation ha lanzado la versión Tomcat 11.0.26 para corregir 12 vulnerabilidades de seguridad que afectan a WebSocket, HTTP/2, AJP, autenticación y la validación de certificados TLS. Estas fallas, reveladas el 23 de septiembre de 2026, se clasifican en cuatro importantes, tres moderadas y cinco bajas, lo que hace urgente que los administradores de servidores de aplicaciones Java apliquen los parches correspondientes.

Desde mediados de 2025, sitios web del gobierno y organizaciones educativas de Brasil han sido comprometidos para servir como puertas de enlace hacia páginas de phishing. En lugar de redirigir a las víctimas a sitios fraudulentos evidentes, los atacantes utilizan servidores web comprometidos y un kit de herramientas de Linux para que el contenido malicioso parezca legítimo al estar alojado en dominios públicos de confianza.

Apache ha lanzado actualizaciones de seguridad críticas para su plataforma de gestión de identidad y acceso (IAM), Syncope, con el fin de corregir múltiples vulnerabilidades. Entre los fallos solucionados se encuentran la ejecución remota de código (RCE), inyección SQL, escalada de privilegios, falsificación de solicitudes del lado del servidor (SSRF) y divulgación de información. Se recomienda encarecidamente a los administradores actualizar a las versiones más recientes para mitigar estos riesgos.

Se recomienda a los usuarios de Apache ActiveMQ actualizar urgentemente sus despliegues debido a la detección de tres vulnerabilidades críticas: CVE-2026-53917, CVE-2026-54475 y CVE-2026-49877. Estos fallos, que afectan a las ramas 5.x y 6.x, exponen la infraestructura de mensajería a riesgos de denegación de servicio (DoS), ruptura del aislamiento y autorizaciones inadecuadas, lo que podría provocar caídas del gestor (broker) y accesos no autorizados.

Se ha publicado un exploit de prueba de concepto (PoC) para una vulnerabilidad crítica de Denegación de Servicio (DoS) en el servidor Apache HTTP, identificada como CVE-2026-49975 y denominada "HTTP/2 Bomb". Este fallo permite que atacantes remotos agoten la memoria del servidor y suspendan los servicios sin necesidad de autenticación, lo que representa un riesgo significativo para las organizaciones que no hayan actualizado sus despliegues de Apache.

Se ha revelado una vulnerabilidad crítica en Apache ActiveMQ (identificada como CVE-2026-42253) que afecta a sus componentes web. El fallo permite a los atacantes inyectar encabezados de seguridad HTTP maliciosos a través de propiedades de mensajes mal gestionadas, lo que podría derivar en ataques de cross-site scripting (XSS) y la manipulación de respuestas en los despliegues afectados.

Apache lanzó una actualización crítica para corregir cinco vulnerabilidades, destacando la CVE-2026-23918 que permite la ejecución remota de código (RCE), instando a los usuarios de la versión 2.4.66 o anteriores a actualizar inmediatamente a la versión 2.4.67.

El proyecto Apache MINA ha lanzado actualizaciones de seguridad urgentes para solucionar dos vulnerabilidades críticas que podrían permitir a los atacantes ejecutar código arbitrario en sistemas afectados. Los desarrolladores que dependen de este marco de aplicaciones de red son fuertemente instados a actualizar su software de inmediato para proteger sus entornos de posibles explotaciones. Apache MINA es ampliamente utilizado por los desarrolladores para crear aplicaciones de alto rendimiento.

Una vulnerabilidad crítica de ejecución remota de código (RCE) ha sido revelada en Apache ActiveMQ Classic, un fallo que permaneció sin detectar durante más de una década y que finalmente fue descubierto no por un investigador humano revisando manualmente el código, sino por el modelo de IA Claude de Anthropic en menos de 10 minutos. Registrada como CVE-2026-34197

La Fundación de Software Apache ha lanzado actualizaciones de seguridad de emergencia para abordar dos vulnerabilidades graves en el Apache Traffic Server (ATS). ATS funciona como una caché proxy web de alto rendimiento que mejora la eficiencia de la red y maneja grandes volúmenes de tráfico web empresarial. Estas nuevas fallas descubiertas surgen de la forma en que el servidor procesa solicitudes HTTP con cuerpos de mensaje.

Se han revelado dos vulnerabilidades de severidad Importante en Apache ZooKeeper, un servicio ampliamente utilizado para la gestión de configuraciones y nombres en aplicaciones distribuidas, lo que hace que las actualizaciones de seguridad oportunas sean críticas. Estas fallas recién descubiertas podrían permitir a los atacantes acceder a datos de configuración sensibles o eludir la verificación de nombres de host para suplantar servidores de confianza. 

 

Una vulnerabilidad de alta gravedad recientemente revelada en Apache NiFi expone los sistemas a un bypass de autorización que podría permitir a usuarios con privilegios bajos modificar componentes restringidos. Registrada como CVE-2026-25903, la falla afecta a las versiones de Apache NiFi 1.1.0 hasta 2.7.2 y ha sido corregida en la versión 2.8.0. Según el aviso de seguridad de Apache NiFi, el problema surge por la falta de verificaciones de autorización al actualizar propiedades de configuración 

Se ha revelado una vulnerabilidad crítica de tipo XML External Entity (XXE) en la consola de gestión de identidades Syncope. El fallo podría permitir a los administradores exponer datos sensibles de usuarios e comprometer inadvertidamente la seguridad de las sesiones. La vulnerabilidad, identificada como CVE-2026-23795, afecta a múltiples versiones de la plataforma y requiere una actualización inmediata.

Múltiples vulnerabilidades en versiones de Apache Airflow anteriores a la 3.1.6 podrían revelar credenciales de autenticación sensibles y secretos en registros y interfaces de usuario. Ambos problemas surgen de una inadecuada ocultación de datos sensibles durante operaciones de renderizado y registro, lo que podría comprometer credenciales de proxy y secretos de bases de datos en entornos de producción. Fuga de credenciales de proxy en registros de tareas 

Se ha descubierto una vulnerabilidad crítica de inyección de entidades externas XML (XXE) en Apache Struts 2, que podría exponer a millones de aplicaciones al robo de datos y la compromisión de servidores. La vulnerabilidad, identificada como CVE-2025-68493, afecta a múltiples versiones del popular framework y requiere acción inmediata por parte de desarrolladores y administradores de sistemas.

Vulnerabilidad crítica de Plesk permite a los usuarios obtener acceso de nivel root Una grave vulnerabilidad de seguridad ha sido descubierta en Plesk para Linux que podría permitir a los usuarios obtener acceso de nivel root en servidores afectados. El fallo, rastreado como CVE-2025-66430, existe dentro de la función de Directorios Protegidos por Contraseña de Plesk y permite a los atacantes inyectar datos arbitrarios en los archivos de configuración de Apache.