ES EN

News

Cargando noticias…

Ver todas las noticias

Vulnerabilidades críticas en PHP, Node.js y Laravel: qué actualizar esta semana

PHP, Node.js y Laravel publicaron parches críticos entre el 19 y el 26 de octubre de 2026. Versiones afectadas, gravedad y a qué versión actualizar.

Entre el 19 y el 26 de octubre de 2026 se publicaron parches de seguridad urgentes para PHP, Node.js y Laravel. Lo más grave son dos fallos de PHP que permiten ejecutar código de forma remota sin autenticación (CVE-2026-109618 y CVE-2026-109619), que CISA ya confirmó como explotados activamente. Si su empresa opera sitios o aplicaciones sobre estas tecnologías, la recomendación es actualizar hoy mismo a las versiones indicadas abajo.

PHP: dos fallos críticos ya explotados

El 21 de octubre el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades con puntuación CVSS v4.0 de 9.2 (crítica):

  • CVE-2026-109618: ejecución remota de código por corrupción al manejar falta de memoria.
  • CVE-2026-109619: ejecución remota de código por estado interno que sobrevive entre peticiones.

Afectan a toda instalación que atienda peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El 26 de octubre CISA las añadió a su catálogo de vulnerabilidades explotadas (KEV). PHP 8.1 y anteriores ya no reciben versiones oficiales; hay que recurrir a parches del proveedor de la distribución o migrar. PHP 8.2 deja de recibir parches el 31 de diciembre de 2026.

El 23 de octubre PHP emitió además un aviso informativo sobre CVE-2026-115560, aún sin parche, que solo aplica a aplicaciones que cambian el manejador de serialización de sesiones en tiempo de ejecución; la mitigación sugerida es session.upload_progress.enabled=0. El 26 de octubre se publicaron compilaciones actualizadas para Windows que incluyen Brotli 1.2.1.

Node.js: diez CVE corregidos

El 21 de octubre Node.js publicó v26.12.1, v24.22.1 y v22.23.4, que corrigen diez vulnerabilidades. Las cuatro de gravedad alta son:

  • CVE-2026-111497: escritura fuera de límites en el descompresor Brotli que permite ejecución remota de código.
  • CVE-2026-105482: dns.resolve trunca nombres que contienen el carácter NUL.
  • CVE-2026-105483 y CVE-2026-106069: evasión de la validación del nombre de host en certificados TLS.

Se corrigieron también tres fallos de gravedad media y tres de gravedad baja. Las versiones fuera de soporte (End-of-Life) no reciben parches y deben considerarse vulnerables.

Laravel: omisión de autenticación en el token guard

El 19 de octubre Laravel publicó dos avisos para laravel/framework:

  • CVE-2026-114509 (crítica, CVSS v4.0 9.2): el guard de API basado en tokens puede eludirse para autenticarse como otro usuario en MySQL y MariaDB. Corregido en 12.68.0 y 13.29.0.
  • CVE-2026-114508 (moderada, CVSS 6.5): ciertos endpoints de solo lectura pueden provocar el borrado de datos en una tabla relacionada. Corregido en 12.68.0 y 13.27.0.

Recuerde que actualizar Laravel no corrige PHP: ambos parches son necesarios.

Next.js (semana anterior)

Aunque se publicó el 14 de octubre, sigue vigente: Next.js 16.4.1 y 15.5.28 corrigen dos fallos críticos de ejecución remota de código (GHSA-673q-mjm6-r5xr y CVE-2026-96889, este último ligado a la librería sharp) y una denegación de servicio de gravedad alta en Server Actions (GHSA-p3m5-59mp-jv5r).

Qué hacer en tu empresa

  • Inventariar servidores, contenedores e imágenes que ejecutan PHP o Node.js, incluidos los de proveedores y entornos de pruebas.
  • Actualizar PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y reiniciar todos los workers de PHP-FPM o Apache.
  • Actualizar Node.js a 26.12.1, 24.22.1 o 22.23.4 y reconstruir las imágenes de contenedor.
  • Ejecutar composer update laravel/framework y npm audit para actualizar dependencias de Laravel y Next.js.
  • Si no puede actualizar de inmediato, aplicar las mitigaciones temporales de php.net, sabiendo que no sustituyen el parche.
  • Revisar registros de acceso y errores desde el 21 de octubre en busca de actividad anómala.
  • Planificar la migración de versiones sin soporte (PHP 8.1 o anterior, Node.js End-of-Life).

Cómo puede ayudar IT2S

Desde el Área IT y el servicio it2sCloud, IT2S puede auditar sus servidores, identificar versiones vulnerables y aplicar estos parches con una ventana de mantenimiento planificada. Si necesita apoyo, puede contactarnos.

Fuentes

Servicios y productos relacionados

Volver a las noticias

Más noticias