Blog
Vulnerabilidades críticas en PHP y Node.js: qué pasó, a quién afecta y qué hicimos.
CategoríaNube y operación
En resumen. El 21 de octubre de 2026, PHP y Node.js publicaron actualizaciones de seguridad el mismo día. Las de PHP corrigen dos fallos críticos que permiten ejecutar código en el servidor sin iniciar sesión, y las de Node.js corrigen diez, cuatro de gravedad alta. La única protección completa es actualizar: a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, y a Node.js 26.12.1, 24.22.1 o 22.23.4, y reiniciar los servicios. En Editando Ideas ya actualizamos Node.js en nuestro sitio y en el portal de clientes, y confirmamos que los sitios en PHP de nuestros clientes corren versiones corregidas.
¿Qué se corrigió el 21 de octubre?
PHP es el lenguaje con el que funcionan WordPress y una gran parte de los sitios web; Node.js mueve APIs, aplicaciones web y muchas de las herramientas con las que se construyen los sitios. Que los dos publicaran correcciones críticas el mismo día obligó a revisar casi cualquier infraestructura web.
Los avisos oficiales están en php.net y en nodejs.org. Esta entrada resume lo que dicen y lo que hicimos con nuestros sistemas y los de nuestros clientes.
¿Por qué los fallos de PHP son tan graves?
Los dos fallos de PHP, CVE-2026-109618 y CVE-2026-109619, tienen una calificación de 9.2 sobre 10 (CVSS v4.0) y pueden permitir que alguien ejecute código en el servidor sin iniciar sesión. El primero aparece cuando PHP se queda sin memoria a mitad de una petición y luego trata datos a medio preparar como válidos; el segundo, cuando información de una petición sobrevive en memoria ya liberada y la usa la siguiente petición que atiende el mismo proceso.
El equipo de PHP es claro: no hay mitigaciones completas y actualizar es la única opción segura. Las versiones corregidas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35. Esta rama deja de recibir soporte el 31 de diciembre de 2026, así que conviene planear la migración a una más reciente.
- PHP 8.1 y anteriores ya no reciben correcciones: un sitio en esas versiones necesita migrar, no solo actualizar.
¿Qué cambia en Node.js y por qué no basta con actualizar los paquetes?
La publicación de Node.js corrige diez vulnerabilidades en sus tres ramas con soporte. La más delicada, CVE-2026-111497, está en el decodificador Brotli que viene dentro de Node.js: un archivo comprimido mal formado puede escribir fuera de la memoria prevista y provocar una caída, una fuga de datos o la ejecución de código. Cualquier aplicación que descomprima datos que no generó ella misma está expuesta.
Como el fallo está en el propio Node.js, actualizar los paquetes de npm no lo corrige: hay que cambiar la versión de Node.js. Las otras tres de gravedad alta afectan la validación de certificados y de direcciones IP. Las versiones corregidas son:
- Node.js 26.12.1
- Node.js 24.22.1 (la versión LTS más reciente)
- Node.js 22.23.4
- Las versiones sin soporte siempre quedan afectadas: hay que migrar a una rama vigente.
¿Cómo afecta esto a internet?
Un fallo que se explota sin iniciar sesión es de los más buscados: basta con encontrar un servidor sin actualizar. Por eso los proveedores de hospedaje aplicaron las correcciones en cuestión de horas, y organismos de ciberseguridad de varios países publicaron alertas para que las empresas actualicen cuanto antes.
El riesgo real queda en lo que nadie revisa: servidores propios que se instalaron una vez y no se volvieron a tocar, sitios en versiones de PHP sin soporte, y herramientas o aplicaciones que traen su propia copia de Node.js y no se actualizan con el sistema.
¿Qué hicimos en Editando Ideas?
Revisamos cada lugar donde corre PHP o Node.js, tanto en nuestros sistemas como en los sitios que mantenemos:
- Actualizamos Node.js a 24.22.1 en nuestro sitio, en el portal de clientes y en su API. Las pruebas y la publicación automáticas ya usan esa versión.
- Confirmamos que los sitios de nuestros clientes en PHP, alojados en Hostinger, corren versiones corregidas.
- Nuestro sitio se publica como páginas estáticas: no ejecuta PHP ni Node.js cuando alguien lo visita, así que no estaba expuesto a estos fallos.
- Seguimos los avisos de php.net y nodejs.org, y las versiones de cada proyecto quedan escritas en el propio repositorio para saber siempre qué hay que actualizar.
¿Qué debes revisar si tienes un sitio o una aplicación?
Si administras tu propio servidor o no sabes quién lo hace, esta es la lista mínima:
- Qué versión de PHP usa tu sitio. En WordPress aparece en Herramientas → Salud del sitio → Información → Servidor.
- Qué versión de Node.js usan tus aplicaciones, incluidas las herramientas que traen su propio Node.js.
- Que, después de actualizar, se reinicien los servicios: un proceso que sigue corriendo conserva la versión vieja.
- Si tu sitio usa PHP 8.1 o anterior, o PHP 8.2, un plan para migrar a una versión con soporte, probándolo antes en un entorno de pruebas.
- Que exista una copia de seguridad reciente antes de actualizar.