Alerta crítica en la web: Todo sobre PHP2Shell (CVE-2026-109618) y los parches de emergencia de Node.js

La infraestructura global de internet enfrentó el 21 de octubre de 2026 una de sus jornadas más críticas del año. En cuestión de horas, los equipos detrás de PHP y Node.js —dos tecnologías que sostienen desde sitios corporativos y tiendas en línea hasta plataformas SaaS modernas— publicaron actualizaciones de seguridad de emergencia para corregir fallos de ejecución remota de código (RCE).

La magnitud del incidente llevó a medios como TechCrunch a calificar la jornada como "un día muy malo para la ciberseguridad de internet", mientras que agencias gubernamentales y equipos de infraestructura apresuraron ventanas de mantenimiento para blindar sus servidores.

El foco principal de la emergencia recayó sobre dos vulnerabilidades críticas en el motor de PHP, bautizadas colectivamente como PHP2Shell y registradas bajo los identificadores CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9.2 sobre 10 en la escala CVSS v4.0.

De acuerdo con el reporte técnico de Ars Technica y la cobertura de WIRED, las fallas permiten a un atacante remoto ejecutar código arbitrario en el servidor sin necesidad de autenticación previa:

• CVE-2026-109618 (Corrupción de memoria por agotamiento): Se produce cuando PHP se queda sin memoria (Out-of-Memory) a mitad del procesamiento de una petición HTTP manipulada, provocando una corrupción de memoria explotable.
• CVE-2026-109619 (Estado global obsoleto entre peticiones): Permite que una petición posterior reutilice punteros de memoria liberados tras un fallo en una petición anterior, abriendo la puerta a la lectura de memoria sensible (contraseñas, llaves API, tokens) o a la ejecución de código.

Según documentó The Register, en configuraciones con Apache y mod_php, un atacante puede disparar la falla incluso antes de que se ejecute cualquier línea de código de la aplicación web. La vulnerabilidad afecta a todas las instalaciones que sirven peticiones web (incluyendo PHP-FPM, FrankenPHP, LiteSpeed y php-cgi) y abarca versiones históricas desde PHP 5 en adelante, afectando plataformas como WordPress, Magento, Laravel, Drupal y Joomla.

Dos elementos convirtieron a PHP2Shell en un caso de estudio inédito para la industria:

1. Descubrimiento asistido por IA y filtración temprana: Según reportaron WIRED y The Register, investigadores de Wiz (propiedad de Google), OpenAI y la firma Calif descubrieron las fallas de forma independiente apoyándose en modelos avanzados de inteligencia artificial. Sin embargo, el proceso de divulgación coordinada sufrió un revés cuando detalles del parche se hicieron visibles horas antes de lo previsto.
2. Cuatro días de ventaja para los atacantes: Una investigación de Amazon Web Services (AWS) publicada en WIRED en Español reveló que los servidores señuelo (honeypots) de AWS registraron intentos de explotación contra PHP2Shell desde el 17 de octubre, cuatro días antes de que se publicara el parche oficial, provenientes de redes comerciales de anonimización. Además, The Register informó que investigadores de VulnCheck ya demostraron métodos para sortear mitigaciones parciales en sistemas no actualizados.

El mismo 21 de octubre, el proyecto Node.js lanzó actualizaciones de seguridad para sus ramas activas tras corregir 10 vulnerabilidades (cuatro de ellas de severidad Alta):

• CVE-2026-111497 (Ejecución remota en el decodificador Brotli): Un fallo de escritura fuera de límites (out-of-bounds write) en la librería de descompresión Brotli integrada en Node.js. Cualquier servidor HTTP, API o proxy en Node.js que descomprima datos Brotli manipulados está expuesto a ejecución remota de código.
• CVE-2026-105483 (Bypass de validación TLS): Fallos que permitían eludir la verificación de nombres de host en conexiones TLS mediante formatos específicos de direcciones IP.

Para los equipos de ingeniería y administradores de sistemas, la recomendación de la Fundación PHP y del equipo de Node.js es actualizar de inmediato, ya que no existen mitigaciones completas por configuración:

• PHP: Actualizar a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o aplicar los paquetes con backport de distribuciones como Ubuntu, Debian o Red Hat). Las ramas 8.1 y anteriores han finalizado su soporte oficial.
• Node.js: Actualizar a v26.12.1, v24.22.1 o v22.23.4. Las versiones 20.x y anteriores se encuentran fuera de ciclo de vida (EOL) y no recibirán parches.
• Auditoría de superficie expuesta: Para verificar qué versiones de PHP, servidores web o plugins de CMS están visibles públicamente en un dominio, los equipos de seguridad utilizan escáneres de reconocimiento pasivo y activo como los de HackerTarget (incluyendo sus escáneres de vulnerabilidades para WordPress, Drupal y OpenVAS), lo que permite detectar activos desactualizados antes de que sean indexados por botnets automatizadas.

Lectura relacionada: Seguridad de tu sitio web: 5 riesgos de las agencias sin control.