Incidentes de seguridad de octubre de 2026: PHP2Shell, eMudhra y LiteLLM

Entre el 17 y el 21 de octubre de 2026, cuatro incidentes de seguridad afectaron a software del que depende buena parte de internet:

• dos fallos críticos de ejecución remota de código en PHP («PHP2Shell»)
• claves comprometidas en la autoridad de certificación eMudhra
• un paquete de correcciones de seguridad para Node.js
• una versión manipulada de la biblioteca de IA para Python LiteLLM

En resumen para los clientes de Safina: Safina no usa PHP ni LiteLLM. Revisamos cada aviso justo después de que se hiciera público y actualizamos las dependencias afectadas. No tiene que hacer nada en su cuenta de Safina. Cómo respondimos · Qué debería revisar usted

Última actualización: 22 de octubre de 2026. Actualizaremos este artículo cuando haya información nueva.

Resumen de los incidentes de octubre de 2026

PHP2Shell: ejecución remota de código crítica en PHP

PHP2Shell es el nombre de dos vulnerabilidades críticas del intérprete de PHP, CVE-2026-109618 y CVE-2026-109619. Ambas permiten a un atacante ejecutar código en un servidor con una sola petición web sin autenticación, antes de que arranque el código de la aplicación. El equipo de PHP las valora con 9,2 en la escala CVSS 4.0 y publicó las correcciones el 21 de octubre de 2026.

PHP mueve WordPress, muchas tiendas online, plugins de reservas y los paneles de control de los proveedores de hosting. Por eso PHP2Shell es uno de los fallos de mayor alcance en años. El investigador de seguridad Kevin Beaumont declaró a Help Net Security: «La situación de PHP provocará una avalancha de incidentes. Es una de las mayores vulnerabilidades en años».

Qué está afectado: según Help Net Security, toda configuración de PHP que atiende peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Según Tenable, el código vulnerable se remonta a PHP 5.4.

Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 7.4 a 8.1 no reciben una versión oficial, solo parches mínimos de código fuente.

Cronología: los identificadores CVE se filtraron el 20 de octubre. La PHP Foundation adelantó entonces la publicación un día, del 22 al 21 de octubre, según Tenable. Amazon Threat Intelligence detectó un primer intento de ataque el 17 de octubre, cuatro días antes de la corrección, y desde entonces informa de ataques generalizados. La agencia estadounidense CISA no había observado ataques al publicar su alerta, pero recomienda desconectar los sistemas PHP sin parchear y todos los que usen PHP 8.1 o anterior.

Cloudflare añadió reglas de firewall contra los patrones de ataque conocidos, también en los planes gratuitos. La propia Cloudflare lo llama una solución provisional: solo la actualización corrige el fallo.

Situación a 22 de octubre: tras la publicación, empresas de seguridad como watchTowr y Patchstack informaron de intentos de ataque activos. Según CyberScoop, Huntress no había confirmado ningún ataque con éxito en sistemas de clientes. CyberScoop calcula que más de 1,3 millones de servidores accesibles desde internet podrían ser vulnerables. La CISA aún no ha incluido los dos fallos en su catálogo de vulnerabilidades explotadas.

eMudhra: claves comprometidas de una autoridad de certificación

Las autoridades de certificación (CA) emiten los certificados que dan sentido al candado del navegador. El 17 de octubre de 2026, un investigador informó de que las claves privadas de ocho certificados intermedios de la CA india eMudhra se habían generado con una aleatoriedad débil. Cualquiera podría haber calculado esas claves y emitido certificados para cualquier web en los que confiarían navegadores y aplicaciones.

La respuesta fue rápida. Según Google, Chrome bloqueó los certificados intermedios afectados menos de dos horas después del aviso, sin necesidad de actualizar el navegador. Los dispositivos Android recibieron el bloqueo el 19 de octubre a través de los servicios de Google Play. Google no encontró ningún certificado de estas CA en los registros públicos de Certificate Transparency antes del bloqueo. Mozilla retiró la raíz «emSign ECC Root CA - G3» de la lista de confianza de Firefox (error 2083449 de Mozilla), y Chrome la retira el 27 de octubre de 2026. Firefox también bloqueó los certificados intermedios el 17 de octubre, Apple lo hizo el 19 y Microsoft el 20 de octubre (CyberInsider). eMudhra atribuye las claves débiles a un script defectuoso durante la generación de claves y ya no emite certificados bajo la raíz G3.

Lo más difícil es el software fuera del navegador. Servidores, contenedores y lenguajes de programación suelen traer su propia lista de CA de confianza, y la mayoría no puede bloquear certificados intermedios concretos. Necesitan una actualización que elimine la raíz completa. El paquete de Python certifi, por ejemplo, ya no la incluye desde la versión 2026.10.18, y el aviso indica la 2026.10.19 como versión corregida (aviso de GitHub). Dos de los ocho certificados intermedios servían para firmar software, así que el riesgo no se limita a las webs.

Actualizaciones de seguridad de Node.js de octubre de 2026

El 21 de octubre de 2026, el proyecto Node.js publicó correcciones de seguridad para todas las versiones con soporte: 22.23.4, 24.22.1 y 26.12.1. Corrigen 10 vulnerabilidades, 4 de ellas de gravedad alta:

• dos formas de saltarse la comprobación TLS del nombre de host con notaciones poco habituales de direcciones IP
• una escritura fuera de límites en el decodificador Brotli que puede permitir la ejecución remota de código
• un fallo en dns.resolve que corta los nombres de host en un carácter NUL

Las mismas versiones eliminan también la raíz comprometida de eMudhra de la lista de certificados que incluye Node.js. Las versiones sin soporte, como Node.js 20, también están afectadas y no reciben corrección.

LiteLLM 1.107.0: un ataque a la cadena de suministro de una biblioteca de IA

LiteLLM es una biblioteca de Python muy usada que conecta aplicaciones con muchos proveedores de modelos de IA. El 21 de octubre de 2026, unos atacantes publicaron la versión 1.107.0 en PyPI y en las imágenes Docker del proyecto (etiquetas v1.107.0, latest, main-latest y main-stable). La versión contenía un ladrón de credenciales y una puerta trasera.

Según Datadog Security Labs, la versión maliciosa estuvo disponible unas dos horas. Sus archivos se ejecutan cada vez que arranca Python, aunque nunca se importe LiteLLM, y permanecen en el sistema después de desinstalarla. El código malicioso recogía claves de la nube, claves de API de proveedores de IA, claves SSH y contraseñas guardadas en el navegador. Chainguard lo cuenta como el segundo ataque a LiteLLM en siete meses.

Según el informe del incidente de LiteLLM, los atacantes usaron credenciales de GitHub robadas de cuentas de desarrolladores y desviaron el proceso de publicación hacia un repositorio con un nombre casi idéntico. El código fuente del repositorio oficial no contenía los archivos maliciosos. El paquete estuvo en PyPI de 11:39 a 13:23 UTC aproximadamente, y las etiquetas de Docker apuntaron a la imagen maliciosa hasta las 14:20 UTC. Los clientes de la versión privada Enterprise no se vieron afectados.

La última versión segura es la 1.106.2. Quien haya instalado la 1.107.0 debe dar el sistema por comprometido, eliminar los archivos inyectados y renovar desde un equipo limpio todas las credenciales a las que tenía acceso.

Cómo respondió Safina

Safina atiende las llamadas de su empresa, así que los sistemas que hay detrás tienen que estar disponibles y ser seguros. La seguridad es una prioridad para nosotros, y la vigilancia automática de seguridad siempre ha formado parte de cómo gestionamos Safina. Así funcionó en estos incidentes:

1. Vigilancia automática. Nuestro código, nuestras dependencias y nuestras imágenes de contenedor se analizan de forma automática. Cuando un aviso de seguridad afecta a un componente que usamos, recibimos una alerta y una propuesta de actualización, sin esperar a que alguien lea las noticias.
2. Revisión justo después de la publicación. Para cada uno de los cuatro incidentes comprobamos, justo después de que se hiciera público, si Safina usa el software afectado y dónde.
3. Actualizaciones. Pasamos nuestros servicios a las versiones corregidas de Node.js y actualizamos las listas de certificados de confianza de nuestros servicios.
4. No lo usamos. Safina no ejecuta PHP ni usa LiteLLM. Nuestra revisión de todo el código y de todas las dependencias lo confirmó.

No tiene que hacer nada en su cuenta de Safina. Las actualizaciones se hacen de nuestro lado. Si quiere saber más sobre cómo tratamos sus datos, consulte nuestro resumen de privacidad y cumplimiento y nuestro artículo sobre el RGPD y los asistentes telefónicos con IA.

Qué deben revisar ahora las pequeñas empresas

Seguramente no gestiona servidores propios. Pero su web, su tienda online o su herramienta de reservas pueden funcionar con PHP. Estas cinco comprobaciones cubren los casos más habituales:

1. Pregunte a su proveedor de hosting o a su agencia si su web usa una versión de PHP con la corrección (8.5.12, 8.4.27, 8.3.36 o 8.2.35). Esto afecta a la mayoría de webs con WordPress.
2. Planifique dejar PHP 8.1 o anterior. Esas versiones no reciben corrección oficial. La CISA recomienda desconectar esos sistemas.
3. Actualice navegadores, móviles y ordenadores. Chrome, Firefox, Android y los dispositivos de Apple y Microsoft bloquean los certificados de eMudhra con sus actualizaciones normales.
4. Revise quién emitió su certificado si su web usa un certificado de eMudhra (emSign). Chrome deja de confiar en la raíz «emSign ECC Root CA - G3» el 27 de octubre de 2026. Consiga antes un certificado nuevo de otra CA.
5. Pregunte a su proveedor de IT por LiteLLM si usa herramientas de IA propias. Si se instaló la versión 1.107.0, hay que limpiar el sistema y sustituir todas las claves que contenía.

Por qué la IA hace más importante actualizar rápido

Los investigadores de Wiz afirmaron sobre PHP2Shell que los modelos de IA más avanzados redujeron mucho la barrera y convirtieron un fallo antiguo en un ataque funcional (Help Net Security). Los modelos de IA ya ayudan a los defensores a encontrar fallos antiguos, como mostró Anthropic con Claude Mythos y Project Glasswing. Las mismas herramientas ayudan a los atacantes a convertir antes una corrección publicada en un ataque.

El tiempo entre la publicación y los primeros ataques es cada vez más corto. Con PHP2Shell, los primeros intentos llegaron antes incluso de que existiera la corrección. La vigilancia automática y las actualizaciones rápidas ya no son un extra para un proveedor de software. Son lo mínimo.

Preguntas frecuentes

¿Afecta PHP2Shell a Safina?

No. Safina no ejecuta PHP. Nuestra web, nuestras apps y nuestros servicios de backend usan otras tecnologías. Lo comprobamos justo después de que se publicaran las vulnerabilidades.

¿Tengo que cambiar algo en Safina?

No. Todas las actualizaciones se hacen de nuestro lado. Su asistente, su número de teléfono y su configuración siguen igual.

¿Qué versiones de PHP corrigen PHP2Shell?

PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores no reciben versión oficial. Pregunte a su proveedor de hosting qué versión usa su web.

¿Qué pasó con eMudhra?

Las claves privadas de ocho certificados intermedios de la autoridad de certificación eMudhra se generaron con una aleatoriedad débil. Cualquiera podría haberlas usado para crear certificados válidos para cualquier web. Chrome y Firefox las bloquearon pocas horas después del aviso, Apple y Android dos días más tarde y Microsoft tres días más tarde, y la raíz «emSign ECC Root CA - G3» se está retirando de las listas de confianza.

¿Qué versión de LiteLLM es segura?

LiteLLM 1.106.2 es la última versión segura. La versión 1.107.0 del 21 de octubre de 2026 contenía un ladrón de credenciales. Los sistemas en los que se instaló necesitan limpieza y credenciales nuevas.

Cronología

Fuentes

• CISA: Critical Vulnerabilities in PHP Require Immediate Patching
• Help Net Security: PHP2Shell, critical PHP vulnerabilities patched
• Tenable: PHP2Shell FAQ
• Google: Protecting Chrome and Android users from compromised eMudhra intermediate CA certificates
• Error 2083449 de Mozilla: eMudhra private key compromise
• Aviso de GitHub GHSA-6q48-6c7w-9gw2: certifi y las raíces emSign
• Node.js: October 2026 security releases
• Datadog Security Labs: LiteLLM supply chain compromise
• Chainguard: LiteLLM attacked again
• LiteLLM: Security incident report, October 21, 2026
• CyberInsider: Google, Apple, Mozilla rush to block compromised eMudhra certificates
• The Hacker News: PHP issues emergency patches for two critical PHP2Shell RCE flaws
• CyberScoop: PHP releases emergency fixes for 2 critical vulnerabilities
• Recorded Future: PHP2Shell exploitation