“Cada uno ponga al servicio de los demás el don que haya recibido, administrando bien la gracia de Dios en sus diversas formas.”

1 Pedro 4:10
Eprisma
ESEN
Hablemos
Seguridad

Las vulnerabilidades de octubre de 2026 y qué actualizar

Octubre trajo fallos críticos en PHP, un plugin de WordPress con puerta trasera, parches de Node.js y paquetes maliciosos en npm y PyPI. Qué actualizar.

Eprisma Group7 min de lectura
Prisma de líneas luminosas con grietas finas delante de un escudo oscuro; un haz de luz azul lo atraviesa y sale como un espectro violeta, cian y verde, rodeado de fragmentos de código
Octubre de 2026 fue un mes pesado para la seguridad web. PHP corrigió dos fallos críticos que ya se están explotando, un plugin de pago de WordPress se distribuyó con una puerta trasera, Node.js publicó diez correcciones y siguieron apareciendo paquetes maliciosos en npm y PyPI. Si tienes un sitio web, una tienda en línea o una aplicación propia, es muy probable que algo de esto te toque.

PHP: PHP2Shell

Qué pasó. El 21 de octubre, el proyecto PHP publicó actualizaciones de urgencia para dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, conocidos como PHP2Shell. Están en la forma en que PHP maneja la memoria y los errores, y permiten que alguien sin usuario ni contraseña ejecute código en el servidor. Los dos tienen 9,2 sobre 10 (CVSS v4). Según The PHP Foundation, el riesgo más alto está en Apache con mod_php, donde los investigadores tomaron el control con la configuración por defecto. Los reportaron Calif, Wiz y el equipo de Codex Security de OpenAI, que explicó cómo coordinó la divulgación. Los detalles se filtraron el 20 de octubre y PHP adelantó la publicación un día (también lo avisó en X).
Ya hay ataques. Cloudflare vio tráfico malicioso antes de la publicación, watchTowr observó explotación real desde el 21 de octubre y CISA, la agencia de ciberseguridad de Estados Unidos, añadió los dos fallos a su catálogo de vulnerabilidades explotadas el 26 de octubre.
El 23 de octubre, PHP publicó un aviso sobre un fallo relacionado (CVE-2026-115560) en la función de progreso de subida de sesión, que se corregirá en la próxima versión.
A quién afecta. A todas las instalaciones de PHP que atienden peticiones web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Eso incluye WordPress, Laravel y cualquier desarrollo en PHP. Están afectadas todas las versiones anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12. PHP 8.1 y anteriores también, y el proyecto ya no las actualiza.
Qué hacer.
  • Actualiza a la versión corregida de tu rama: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Según PHP, actualizar es la única solución completa.
  • Mira la versión de PHP de cada dominio en el panel del hosting. En el servidor, 
    php -v
    muestra la de la línea de comandos, que puede no ser la que sirve la web. OpenAI publicó un verificador que lee la versión que anuncia un sitio, aunque no ve parches aplicados por tu proveedor.
  • Si usas Plesk, instala sus actualizaciones de PHP. Su registro de cambios del 21 de octubre trae las cuatro versiones corregidas y, en Linux, aplica la corrección también a sus paquetes 8.1.34, 8.0.30 y 7.4.33, que conservan el número de versión. Ese día también actualizó el PHP del propio panel (18.0.81 Update 4 y 18.0.80 Update 11). Actualizar el panel no actualiza el PHP de los sitios.
  • Si no usas la función de progreso de subida, desactiva 
    session.upload_progress.enabled
    .
  • Si estás en PHP 8.2, planifica la migración: deja de recibir parches el 31 de diciembre de 2026.

WordPress: Rank Math PRO

Qué pasó. La versión 3.0.123 de Rank Math PRO, un plugin de SEO de pago, se distribuyó con una puerta trasera. Según el aviso de Rank Math, la recibieron quienes la descargaron o actualizaron entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC. La puerta trasera se vuelve a crear cuando alguien visita el sitio, según BleepingComputer.
A quién afecta. A los sitios con Rank Math PRO 3.0.123 descargado en esa ventana. La versión gratuita de WordPress.org no está afectada.
Qué hacer. Si la activaste, trata el sitio como comprometido. Restaura una copia anterior al 15 de octubre o limpia a fondo siguiendo el aviso, cambia todas las credenciales (WordPress, hosting, base de datos, claves de API, correo) e instala la 3.0.124. Desactivar el plugin no basta.

Node.js

Qué pasó. El 21 de octubre, Node.js corrigió diez fallos, cuatro de severidad alta. Uno de ellos (CVE-2026-111497) está en el descompresor Brotli y puede llevar a la ejecución de código; por ese mismo fallo PHP recompiló sus binarios de Windows el 26 de octubre.
A quién afecta. A las ramas 26.x, 24.x y 22.x. Las versiones sin soporte siempre quedan afectadas.
Qué hacer. Actualiza a Node.js 26.12.1, 24.22.1 o 22.23.4. Si despliegas con contenedores, vuelve a construir la imagen sobre la versión nueva. Si estás en una versión sin soporte, migra a una de estas.

npm

Qué pasó. Siguen apareciendo paquetes maliciosos. Según un recuento de Safeguard sobre la base de avisos de GitHub, entre el 26 y el 28 de octubre se publicaron 112 avisos de malware que cubren 106 paquetes, 96 de ellos de npm. Había mineros de criptomonedas, paquetes que se hacen pasar por dependencias internas de empresas y código que roba credenciales. Muchos se ejecutan en cuanto se instala el paquete.
A quién afecta. A cualquier proyecto o máquina que haya instalado una de las versiones listadas.
Qué hacer. Instala con 
npm ci
y el archivo de bloqueo, desactiva los scripts de instalación cuando puedas (
ignore-scripts
) y no adoptes versiones recién publicadas sin revisarlas. Si una máquina instaló un paquete de la lista, Safeguard recomienda tratarla como comprometida y cambiar sus credenciales desde otro equipo.

Python: PyPI

Qué pasó. El mismo recuento de Safeguard incluye 10 paquetes maliciosos de PyPI publicados en esos días: ladrones de información, una herramienta de acceso remoto y una consola inversa.
A quién afecta. A quien haya instalado alguno de esos paquetes.
Qué hacer. Fija versiones con hashes (
pip install --require-hashes
), prefiere paquetes ya compilados (wheels) y revisa los nombres antes de instalar.

Rust

Qué pasó. No encontramos un ataque confirmado a crates.io este mes. Sí hubo avisos de seguridad en RustSec para crates muy usados como rustls, tokio, wasmtime y zstd-safe.
A quién afecta. A los proyectos que dependen de las versiones afectadas de esos crates.
Qué hacer. Ejecuta 
cargo audit
en tus proyectos y actualiza lo que marque.

Qué hacer esta semana

  • Actualiza los runtimes: PHP y Node.js a las versiones corregidas de este mes, en servidores, contenedores y entornos de prueba.
  • Revisa los plugins: sobre todo los de pago, que se actualizan fuera de WordPress.org. Comprueba qué versión tienes de cada uno.
  • Fija y audita las dependencias: archivos de bloqueo en npm, hashes en pip, 
    npm audit
    y 
    cargo audit
    en cada proyecto.
  • Revisa el panel del hosting: la versión de PHP de cada dominio, las actualizaciones pendientes del panel y si tu proveedor ya aplicó los parches.

Por qué importa

Según W3Techs, a finales de octubre de 2026 PHP estaba detrás del 69,2 % de los sitios web cuyo lenguaje de servidor se conoce. Más de un tercio de esos sitios sigue en PHP 7 o anterior, versiones que ya no reciben parches del proyecto. Y la mayoría de los incidentes del mes no se arreglan actualizando el tema o el contenido: hay que tocar el servidor, los plugins o las dependencias.
En Eprisma hacemos mantenimiento de sitios, servidores y aplicaciones. Revisamos qué versiones usas, si tu hosting ya aplicó los parches y qué plugins o dependencias hay que atender.
Revisamos tu sitio

Preguntas y respuestas

¿Cómo sé si mi sitio está afectado? Revisa la versión de PHP o Node.js en el panel del hosting y la lista de plugins y dependencias. Si no sabes dónde mirar, pregúntale a tu proveedor o a quien mantiene tu sitio.
¿Basta con un firewall como Cloudflare? Ayuda mientras actualizas, pero no sustituye el parche. En PHP, solo actualizar corrige el problema.
Actualicé WordPress y los plugins, ¿estoy cubierto? No del todo. Los fallos de PHP están en el servidor, no en WordPress, y un plugin comprometido puede dejar una puerta trasera aunque lo actualices.
¿Con qué frecuencia debo revisar esto? Cada mes, como mínimo. PHP, Node.js y las bases de avisos publican correcciones con regularidad.

Sé parte de nuestra comunidad tech

Artículos nuevos y eventos, directo a tu correo.

Sigue leyendo

Ver todos
Ezequiel Bermúdez, de Eprisma Group, habla frente a los asistentes del Consultivo Abierto Especial de CAVENIT Bolívar en el Centro Ítalo Venezolano de GuayanaEventos · 31 de octubre de 2026Eprisma en el Consultivo Abierto de CAVENIT Bolívar: alianzas, Italia y tecnología

Estuvimos en el Consultivo Abierto Especial de CAVENIT Bolívar: charlas, alianzas con Italia y la nueva web de la cámara.

Leer Logo de NEXUS, evento de Imparables, sobre fondo azul oscuroEventos · 6 de octubre de 2026NEXUS: conversatorio y panel con Imparables el 7 de noviembre

Un conversatorio y panel con Imparables, con streaming, para hablar a fondo de ventas, automatización e inteligencia artificial.

Leer The Eprisma team at its booth at CamCaroní Expo 2026Eventos · 6 de octubre de 2026Expo CamCaroní 2026: tres días, un servicio por día

Estuvimos en la Expo Empresarial de la Cámara de Comercio de Caroní. Así fue, qué mostramos y a dónde sigue la conversación.

Leer

¿Quieres aplicarlo en tu negocio?

Agenda un diagnóstico gratis de 30 minutos y lo vemos juntos.

Tomemos un café

Comentarios (0)

No hay ningun comentario todavia... ¡Sé el primero en dejar un comentario!