22 de octubre de 2026
Lidergia ha aplicado correcciones de seguridad en los entornos PHP y Node.js utilizados por las aplicaciones web atendidas en esta intervención. La respuesta se realizó con carácter prioritario, tomando las precauciones necesarias para implementar las actualizaciones y verificar su funcionamiento, cuidando tanto la seguridad como la estabilidad de los servicios.
El 21 de octubre se publicaron correcciones para dos vulnerabilidades críticas de PHP, conocidas conjuntamente como PHP2Shell. Su gravedad motivó un llamado conjunto de la Comisión Europea, ENISA, CERT-EU, Europol y la red europea de equipos de respuesta a incidentes para actuar inmediatamente. Las recomendaciones contemplaban incluso aislar las aplicaciones expuestas cuando no fuera posible corregirlas a tiempo. Comunicado conjunto de las autoridades europeas.
El riesgo adquirió mayor urgencia por la disponibilidad pública de herramientas de explotación. Amazon Threat Intelligence documentó intentos contra sus sensores desde el 17 de octubre, anteriores a la divulgación oficial, y observó nuevos intentos poco después de publicarse los detalles. Estas observaciones corresponden al contexto internacional de la amenaza. Informe de Amazon Threat Intelligence.
En paralelo, Node.js publicó una actualización de seguridad con vulnerabilidades de gravedad máxima alta, incluida una que podía permitir ejecución remota de código. CloudLinux distribuyó las correcciones correspondientes para los entornos que mantiene. Aviso de CloudLinux sobre Node.js.
PHP2Shell afecta al procesamiento interno de solicitudes web. Bajo determinadas condiciones, un atacante sin autenticación podía provocar corrupción de memoria y ejecutar código en el contexto del proceso afectado. El equipo de PHP documentó escenarios en los que la explotación podía producirse antes de ejecutar el código de la aplicación. Esto hacía imprescindible corregir el entorno PHP que sostiene al sitio. Aviso oficial de PHP.
Las vulnerabilidades críticas corregidas fueron:
| Identificador | Riesgo descrito |
|---|---|
| CVE-2026-109618 | Corrupción de memoria durante el manejo de situaciones de memoria insuficiente, con posibilidad de ejecución remota de código. |
| CVE-2026-109619 | Reutilización de estado interno después de liberar su memoria, con posibilidad de ejecución remota de código. |
Ambas recibieron una calificación CVSS v4.0 de 9.2. Detalles técnicos de CERT-EU.
En Node.js, las correcciones aplicables incorporadas a los paquetes actualizados comprenden:
| Identificador | Área y riesgo |
|---|---|
| CVE-2026-111497 | Brotli: escritura fuera de límites con posibilidad de ejecución remota de código. |
| CVE-2026-105482 | DNS: truncamiento de nombres que contienen caracteres nulos. |
| CVE-2026-105483 | TLS: elusión de verificaciones de identidad mediante determinadas representaciones Unicode. |
| CVE-2026-106069 | TLS: validación incorrecta de nombres que se interpretan como direcciones IP. |
| CVE-2026-106072 | TLS: aceptación incorrecta de certificados para representaciones IPv4 no canónicas. |
| CVE-2026-105481 | HTTP: aceptación de respuestas anticipadas al reutilizar conexiones persistentes. |
| CVE-2026-106074 | Criptografía: repetición de valores aleatorios en determinados mecanismos de arranque. |
| CVE-2026-106071 | Permisos: concesión excesiva de acceso al sistema de archivos. |
| CVE-2026-106073 | Permisos: elusión de restricciones mediante resolución de rutas. |
La aplicabilidad varía según la rama y las funciones disponibles. El aviso también incluye CVE-2026-106070, relacionada con el procesamiento de ZIP en otra rama; se distingue de las correcciones aplicables a los entornos atendidos. Relación oficial de vulnerabilidades de octubre.
Además, los paquetes correctivos incorporaron arreglos previos necesarios para determinadas ramas: CVE-2026-48618, CVE-2026-48930 y CVE-2026-48931, relacionados con validación TLS, nombres de host y respuestas HTTP. Estos identificadores corresponden a avisos anteriores, integrados como parte de las correcciones del proveedor. Aviso original de Node.js.
Desde los avisos iniciales, nuestro equipo dio seguimiento prioritario a las publicaciones oficiales y a la disponibilidad de correcciones compatibles para nuestros servidores.
Tomamos las precauciones necesarias para implementar los parches preservando la compatibilidad de las aplicaciones y disponiendo de opciones de recuperación. La intervención incluyó las actualizaciones oficiales pertinentes, su activación efectiva y las comprobaciones posteriores de funcionamiento.
La protección se apoyó en corregir el software afectado. Los controles de filtrado web se consideran una capa complementaria, dado que las mitigaciones temporales no cubrían todas las vías de explotación de PHP2Shell.
Las correcciones quedaron aplicadas y activas en los entornos web atendidos, y las comprobaciones posteriores de funcionamiento tuvieron resultados satisfactorios.
Ante una amenaza que exigía actuar con rapidez, Lidergia priorizó la corrección del riesgo y la estabilidad de los servicios de sus clientes, verificando que las actualizaciones estuvieran efectivamente en uso.
Equipo de Lidergia
