Saltar al contenido
umbracolombia

Bogotá

Umbraco en español / Resumen mensual · octubre de 2026

Resumen de Umbraco de octubre de 2026, con dos rondas de parches de seguridad y una actualización de .NET

Umbraco en octubre de 2026: 14 vulnerabilidades corregidas en CMS, Forms y AI, una actualización de .NET, la beta de uSync 19 y Articulate 7 y 8.

Autor
Equipo Umbracolombia
Publicado
Periodo
octubre de 2026
Lectura
7 min

Octubre de 2026 fue un mes de parches para Umbraco. En dos publicaciones de seguridad separadas por tres semanas, Umbraco corrigió catorce vulnerabilidades entre el CMS, Umbraco Forms y Umbraco AI, y en medio Microsoft publicó una actualización extraordinaria de .NET. Si usted trabaja con Umbraco 17 o 18, debe estar en CMS 17.7.2 o 18.2.2 y en Forms 17.6.2 o 18.2.2. En Umbraco 13, en CMS 13.16.3 y Forms 13.9.12. Verifíquelo antes de seguir leyendo.

Casi todo lo corregido en octubre requería a alguien con sesión abierta en el backoffice. Lo que falló no fue la cara pública del sitio, sino el modelo de permisos que usted les entrega a sus propios editores.

6 de octubre: cuatro correcciones para Umbraco 17 y 18

El aviso de Anders Nis Herforth Larsen en el blog de Umbraco (se abre en una pestaña nueva) enumera dos fallas moderadas y dos bajas en 17.0.0-17.7.0 y 18.0.0-18.2.0, corregidas en 17.7.1 y 18.2.1. Tres requieren una cuenta del backoffice; la cuarta, unos endpoints en tiempo real que mostraban a clientes anónimos parte de la actividad editorial, no requería ninguna. Si usa un esquema personalizado de rutas de media, actualizar no basta: el aviso explica el paso adicional.

27 de octubre: diez más, dos de ellas altas

El 22 de octubre Larsen publicó un aviso previo (se abre en una pestaña nueva): los parches de severidad alta llegarían el 27 de octubre a las 08:00 UTC, y entre las versiones afectadas estaban 17.7.1 y 18.2.1, las del 6 de octubre. El aviso definitivo (se abre en una pestaña nueva) enumeró diez fallas: dos altas, siete moderadas y una baja.

La primera alta es una toma de control de cuentas del backoffice a través de la redirección del inicio de sesión, con CVSS 8.8. Prepararla no exige cuenta, pero un usuario con sesión abierta tiene que abrir el enlace del atacante, y la cadena completa solo funciona si llegan a Umbraco solicitudes con nombres de host desconocidos: Kestrel expuesto directamente, IIS sin enlaces de host o un proxy que reenvía el encabezado Host. La medida provisional es restringir AllowedHosts a sus propios hosts, algo que conviene conservar después de actualizar.

La segunda es ejecución remota de código a través de los workflows de Umbraco Forms, también con CVSS 8.8. La frase clave: “By default, any back-office user with access to the Forms section is permitted to manage forms”. Sin el parche, dar acceso a la sección Forms se acercaba a dar la posibilidad de ejecutar código en el servidor. Otra falla de Forms permitía leer y exportar entradas de formularios a los que el usuario no tenía acceso.

Varias fallas moderadas comparten causa: los start nodes no funcionaban como barrera. Un usuario restringido podía previsualizar contenido no publicado fuera de ellos o asignarle a su propio grupo start nodes que no tenía. El aviso lo dice sin rodeos: “Avoid relying on start nodes alone to keep unpublished content confidential from other back-office users”. Además, cerrar sesión no invalidaba la cookie de autenticación y los tokens de previsualización no vencían; ahora vencen con el tiempo de sesión del backoffice.

Umbraco AI recibió su primer aviso. Sus agentes ignoraban start nodes y permisos, y la integración con Umbraco Deploy escribía sin cifrar las credenciales de los proveedores de IA en archivos de despliegue que suelen quedar en el control de versiones. Si los suyos quedaron en el repositorio, rote esas llaves después de actualizar. Umbraco Cloud aplicó automáticamente los parches del CMS y de Forms; Umbraco AI en Cloud se actualiza a mano. Umbraco 14, 15 y 16 están en fin de vida y no recibieron corrección.

El runtime de .NET también pidió atención

Rahul Bhandari anunció en el .NET Blog actualizaciones extraordinarias de seguridad de .NET (se abre en una pestaña nueva): 8.0.33, 9.0.22, 10.0.14 y .NET 11 Release Candidate 3. La corrección principal es un desbordamiento de búfer en la descompresión Brotli, explotable sin autenticación si usa la descompresión de solicitudes de ASP.NET Core o la automática de HttpClient, ninguna activa por defecto. Las aplicaciones self-contained y los contenedores llevan su propio runtime: hay que recompilarlos y volver a desplegarlos.

PHP2Shell, y por qué Umbraco lo mencionó

Las publicaciones de Umbraco del 22 y del 27 de octubre aclararon que las fallas no tenían relación con “the recently reported PHP security vulnerability”, señal de que la pregunta estaba llegando. Bill Casey explica en el blog de Diagram (se abre en una pestaña nueva) por qué Umbraco, que corre sobre .NET, no se ve afectado directamente, y recuerda que PHP suele sobrevivir en micrositios viejos, portales o servidores de staging. Justin Neville compartió en Nevitech un script de solo lectura (se abre en una pestaña nueva) para revisar sitios PHP en Azure Linux App Service, y cierra con lo que los equipos de Umbraco querían leer: si usted usa Umbraco y no WordPress, “this one doesn’t affect you”.

Planear la salida de Umbraco 13

Neville también escribió por qué conviene migrar ya de Umbraco 13 a 17 (se abre en una pestaña nueva): el requisito de Cyber Essentials de que el software en alcance tenga soporte del fabricante, y plazos aproximados que van de una a dos semanas para un sitio institucional sencillo a varios meses para comercio electrónico o personalizaciones del backoffice. Para las fechas, consulte la página de Long-term Support and End-of-Life de Umbraco, enlazada desde los dos avisos de octubre.

Herramientas que se movieron

Kevin Jump publicó la primera beta de uSync para la próxima versión mayor de Umbraco (se abre en una pestaña nueva), con la advertencia clara de no usarla en producción. uSync pasa a tener su propia sección, Synchronisation, y su API se vuelve más estricta: “Before, any user with the Content section could call it”.

Articulate 7 y 8 (se abre en una pestaña nueva) salieron para Umbraco 17 y 18 desde un solo código fuente; son dos paquetes porque esas versiones de Umbraco no son compatibles a nivel binario. La página no acredita a ningún autor; está escrita en primera persona en Shazwazza, el blog de Shannon Deminick, y le agradece a Gavin Faux la mayor parte del trabajo. MetaWeblog queda desactivado por defecto porque se salta el OAuth y la autenticación en dos pasos del backoffice.

Corné Hoskam publicó Engage Healthcheck (se abre en una pestaña nueva), una herramienta de solo lectura que indica a qué versión de Umbraco Engage corresponde una base de datos y qué difiere de ella. Hoskam aclara que es un proyecto personal y experimental, no un producto de Umbraco.

Una comunidad más tranquila

El uProfile de Asha Chaudhary en el blog de Umbraco (se abre en una pestaña nueva) destaca el Umbraco Education Program para estudiantes en India y una migración de Sitecore a Umbraco. El resumen de los premios del US Partner Summit (se abre en una pestaña nueva), de Lasse Fredslund, trae el dato más concreto del mes, según Umbraco: con el motor de publicación de Proworks basado en MCP, una página nueva toma menos de diez minutos de trabajo humano. Owain Williams contó su paso por el UK Partner Summit y la conferencia (se abre en una pestaña nueva) en Londres, donde una charla sobre Umbraco Cloud lo dejó diciendo que “finally feels like a product you can use in the real world”.

Qué hacer ahora

Primero, los parches. Después, ponga los permisos del backoffice en la misma lista que los números de versión: quién tiene las secciones Forms, Users y Media, si AllowedHosts está configurado y si hay llaves de proveedores de IA en archivos de Deploy dentro del repositorio. Si un sitio separa editores o clientes solo con start nodes, octubre es una buena razón para dejar de llamar a eso aislamiento.

Fuentes

Los títulos se conservan en su idioma original.