Alerta de seguridad: vulnerabilidades críticas en PHP y fallos de alto impacto en Node.js y Next.js

Actualizado: 22 de octubre de 2026
Periodo revisado: 19–22 de octubre de 2026
Audiencia: desarrolladores, administradores de sistemas, equipos DevOps y responsables de seguridad.

Esta semana se publicaron avisos relevantes para tecnologías habituales en aplicaciones web. La prioridad más alta es actualizar las instalaciones vulnerables de PHP: el proyecto publicó versiones correctivas para dos vulnerabilidades críticas que podrían permitir ejecución remota de código sin autenticación. También se anunciaron actualizaciones de seguridad para Node.js y avisos para Next.js.

Aviso: este artículo es un resumen informativo basado en avisos oficiales disponibles al 22 de octubre de 2026. Comprueba siempre la guía del fabricante y las versiones exactas aplicables a tu distribución, contenedor, proveedor de hosting o producto derivado antes de intervenir en producción.

Resumen ejecutivo

Tecnología	Identificador / aviso	Riesgo principal	Acción recomendada
PHP	CVE-2026-109618 y CVE-2026-109619	Ejecución remota de código (RCE) sin autenticación en instalaciones vulnerables	Actualizar inmediatamente a una versión corregida y revisar indicios de compromiso
Node.js	CVE-2026-111497, entre otros fallos del boletín del 21 de octubre	Escritura fuera de límites en el decodificador Brotli, con posibilidad de RCE	Instalar la versión corregida de la línea utilizada
Node.js	CVE-2026-105482, CVE-2026-105483, CVE-2026-106069 y otros	Problemas en resolución DNS, validación de certificados TLS, sockets y modelo de permisos	Revisar el boletín oficial y actualizar
Next.js	Aviso de seguridad de octubre de 2026; incluye GHSA-673q-mjm6-r5xr, CVE-2026-96889 / GHSA-2464-fhr4-w9xw y GHSA-p3m5-59mp-jv5r	Fallos con posibles efectos de ejecución remota de código o denegación de servicio, según el caso	Confirmar la versión instalada y aplicar la actualización indicada por Next.js

1. PHP: dos vulnerabilidades críticas que requieren atención inmediata

El proyecto PHP publicó el 21 de octubre de 2026 actualizaciones para CVE-2026-109618 y CVE-2026-109619. Los avisos de organismos de ciberseguridad describen vulnerabilidades de tipo use-after-free (CWE-416) que podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario en un sistema vulnerable.

El riesgo no se limita a una aplicación concreta escrita en PHP. Puede afectar a instalaciones que procesan solicitudes web, incluidas configuraciones con PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Los equipos también deben identificar productos de terceros, contenedores y dispositivos que incluyan PHP internamente.

Versiones corregidas publicadas

Según el Centro Canadiense para la Ciberseguridad y el sitio oficial de PHP, las versiones correctivas indicadas son:

Rama de PHP	Versión corregida
PHP 8.5.x	8.5.12
PHP 8.4.x	8.4.27
PHP 8.3.x	8.3.36
PHP 8.2.x	8.2.35

Las instalaciones anteriores a PHP 8.2 ya no reciben actualizaciones de seguridad del proyecto PHP. Algunas distribuciones Linux y proveedores con soporte extendido pueden publicar parches retroportados (backports); confirma el estado con el proveedor y no asumas que el número de versión por sí solo demuestra que el sistema está protegido.

Qué hacer

Inventariar todos los servidores, contenedores, entornos de desarrollo y servicios de hosting que ejecuten PHP.
Comprobar la versión efectiva del proceso que atiende las peticiones web. La versión de PHP de la terminal puede ser distinta de la usada por PHP-FPM o por el servidor web.
Aplicar la versión corregida adecuada para la rama y el proveedor.
Si no es posible parchear de inmediato, evaluar la retirada temporal de la exposición pública o el aislamiento del servicio hasta poder corregirlo.
Revisar registros del servidor web, PHP, autenticación y sistema operativo para buscar procesos, archivos, cuentas o conexiones salientes inesperados.
Tras actualizar, reiniciar o recargar los servicios que corresponda y verificar que los procesos activos utilizan la versión corregida.

No basta con actualizar WordPress, Drupal, Joomla o el código de una aplicación. Si el riesgo está en el intérprete PHP que atiende las solicitudes, debe corregirse la instalación de PHP o el componente que lo incorpora. WordPress publicó una nota específica que aclara que no se trata de una vulnerabilidad exclusiva de WordPress.

Fuentes:

2. Node.js: nueva publicación de seguridad del 21 de octubre

El proyecto Node.js publicó actualizaciones de seguridad para las líneas 26.x, 24.x y 22.x. El boletín incluye problemas en dependencias y componentes relacionados con DNS, validación de certificados TLS, SQLite, OpenSSL, Undici, sockets y el modelo de permisos.

Entre los fallos destacados se encuentra CVE-2026-111497, relacionado con una escritura fuera de límites (out-of-bounds write) en el decodificador Brotli de Node.js, con potencial para permitir ejecución remota de código. El boletín también enumera, entre otros:

CVE-2026-105482: truncamiento de nombres con un carácter NUL en dns.resolve.
CVE-2026-105483: elusión de la comprobación del nombre del certificado TLS cuando la dirección IP se representa con dígitos de ancho completo.
CVE-2026-106069: elusión de la comprobación del nombre del certificado TLS cuando el host se resuelve de forma flexible a una dirección IP.
CVE-2026-105481: comportamiento incorrecto de sockets keep-alive con respuestas procesadas antes de enviar la solicitud.
CVE-2026-106072: validación incorrecta de certificados para ciertos nombres IPv4 no canónicos.
CVE-2026-106074: reutilización de valores de crypto.randomUUID() y randomInt() en determinadas instantáneas de inicio.
CVE-2026-106071 y CVE-2026-106073: problemas en el modelo de permisos.

El boletín del proyecto señala como versiones de descarga corregidas Node.js 22.23.4, 24.22.1 y 26.12.1. Confirma la rama que utilizas y revisa el boletín oficial antes de actualizar.

Acciones recomendadas para Node.js

Actualizar a la versión corregida correspondiente a la rama mantenida.
Revisar imágenes de contenedores, procesos gestionados por PM2 o systemd, aplicaciones desplegadas en plataformas cloud y versiones fijadas en CI/CD.
Volver a construir las imágenes de producción desde una base actualizada; actualizar el host no corrige automáticamente una imagen antigua.
Ejecutar pruebas de regresión, especialmente en servicios que consuman contenido comprimido, resuelvan nombres DNS o establezcan conexiones TLS con destinos externos.
Evitar versiones fuera de soporte: una rama EOL puede no recibir los parches necesarios.

Fuente:

Node.js: publicaciones de seguridad del 21 de octubre de 2026

3. Next.js: revisar los avisos de seguridad de octubre

El 19 de octubre, NHS England Digital publicó un aviso sobre una actualización extraordinaria de seguridad de Next.js. El aviso menciona tres identificadores:

GHSA-673q-mjm6-r5xr: vulnerabilidad de ejecución remota de código.
CVE-2026-96889 / GHSA-2464-fhr4-w9xw: fallo use-after-free en el procesamiento de contenido SVG a través de librsvg, con posibles efectos de denegación de servicio o ejecución de código en condiciones específicas.
GHSA-p3m5-59mp-jv5r: vulnerabilidad de denegación de servicio.

El aviso de NHS indica que había versiones afectadas de Next.js en rangos que incluyen versiones de las ramas 10.x a 15.x y 13.x a 16.x, dependiendo del problema. No uses ese resumen para decidir por sí solo qué versión instalar: los rangos y las correcciones varían por vulnerabilidad y deben comprobarse en el aviso del proyecto.

Acciones recomendadas para Next.js

Revisar la versión instalada en package.json y en el archivo de bloqueo (package-lock.json, pnpm-lock.yaml o yarn.lock).
Consultar el aviso oficial de Vercel/Next.js y actualizar a una versión corregida que corresponda exactamente a la rama utilizada.
Revisar dependencias relacionadas con el procesamiento de imágenes y SVG, incluida la versión de sharp si aplica a la aplicación.
Volver a construir y desplegar el artefacto actualizado; confirmar que no se está sirviendo una imagen o compilación antigua.
Si se procesa contenido SVG o multimedia suministrado por usuarios, revisar los límites de tamaño, la validación y el aislamiento del procesamiento.

Fuentes:

4. Lista de verificación para equipos técnicos

Utiliza esta lista como punto de partida para una revisión defensiva:

Comprobaciones rápidas

En una terminal, estos comandos ayudan a identificar versiones, aunque no sustituyen la revisión del proceso que atiende el tráfico real:

php -v
node --version
npm --version

Para proyectos Node.js, también puedes revisar las dependencias instaladas con:

npm ls next
npm audit

npm audit informa de vulnerabilidades conocidas en dependencias incluidas en la base de datos consultada por npm; no demuestra que una aplicación esté libre de fallos ni reemplaza los avisos del fabricante. Revisa los resultados antes de aplicar cambios automáticos en producción.

5. ¿Qué significa para el ecosistema web?

Estos avisos recuerdan que la seguridad de una aplicación no depende exclusivamente de su código propio. El intérprete, el runtime, las bibliotecas nativas, los paquetes de terceros, las imágenes de contenedor y la infraestructura de despliegue también forman parte de la superficie de ataque.

Una aplicación puede tener dependencias actualizadas y seguir expuesta si utiliza un runtime vulnerable. Del mismo modo, actualizar el servidor principal no basta cuando un contenedor o una plataforma administrada conserva una versión antigua.

La respuesta eficaz combina inventario, priorización basada en exposición e impacto, aplicación de parches, verificación posterior y vigilancia de posibles compromisos.

Conclusión

La prioridad inmediata de esta semana es comprobar y corregir las instalaciones vulnerables de PHP afectadas por CVE-2026-109618 y CVE-2026-109619. En paralelo, los equipos que operan servicios Node.js deben aplicar las actualizaciones del 21 de octubre, y quienes despliegan Next.js deben validar los avisos oficiales y la rama exacta que utilizan.

No pospongas la revisión de los componentes incluidos indirectamente en contenedores, productos de terceros o servicios administrados. Mantén un registro de las versiones corregidas y vuelve a comprobar las fuentes oficiales, porque los avisos pueden actualizarse a medida que se publican nuevos detalles.

Fuentes oficiales y seguimiento

Este contenido tiene fines informativos y de defensa. Las versiones, el impacto y las medidas aplicables pueden variar según el sistema operativo, el proveedor, la configuración y los componentes integrados. Consulta los avisos originales antes de ejecutar cambios en producción.