PHP, Node.js, Java y Python: el software bajo la lupa
Una petición, un archivo comprimido o una conexión que parece confiable pueden convertirse en una puerta de entrada.
Cuatro ecosistemas, riesgos distintos. Una falla en el runtime, una dependencia vulnerable y un problema de confianza TLS requieren respuestas específicas.
Esta semana hubo avisos relevantes en tecnologías que usamos a diario. La versión, la configuración y la forma de utilizarlas determinan la exposición. No toda alerta significa que cualquier aplicación esté comprometida.
PHP: parches y dos avisos posteriores
El 21 de octubre PHP corrigió CVE-2026-109618 y CVE-2026-109619: corrupción durante el manejo de falta de memoria y estado interno obsoleto entre peticiones. Pueden permitir ejecución remota sin autenticación. El proyecto considera mayor el riesgo en mod_php. Versiones corregidas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
El aviso del 23 recomienda desactivar session.upload_progress.enabled frente a un vector residual bajo una combinación inusual de configuración y cambio de serializador durante la ejecución (CVE-2026-115560). El 26 aparecieron paquetes Windows con sufijo -1 y Brotli 1.2.1: la ruta vulnerable pasa por descompresión automática de cURL, desactivada por defecto.
Qué revisar: paquetes del proveedor y avisos posteriores. Las mitigaciones parciales no sustituyen el parche. Avisos oficiales de PHP →
Node.js: descomprimir datos también es una frontera de seguridad
El lanzamiento del 21 de octubre incluye CVE-2026-111497, de severidad alta, en Brotli. Datos malformados que una aplicación descomprime mediante node:zlib pueden provocar escritura fuera de límites y corrupción de memoria: caída, exposición de memoria o ejecución remota. El aviso afecta a las ramas 22.x, 24.x y 26.x.
Tener Node.js instalado no demuestra que esa ruta sea alcanzable. Revisa dónde aceptas datos comprimidos externos y aplica la actualización de seguridad de tu rama. El lanzamiento también corrige problemas de DNS, TLS y HTTP.
Java: el CPU del trimestre no fue el último aviso
Oracle publicó su CPU el 20 de octubre. El 21 emitió además CVE-2026-91403: actualizaciones de Java SE y versiones concretas de GraalVM retiran la confianza en certificados intermedios afectados relacionados con eMudhra. La matriz asigna CVSS 9.1 al problema en JSSE.
No equivale a una RCE universal en aplicaciones Java. Tampoco basta con asumir que el CPU del 20 cubre la alerta posterior: el aviso incluye versiones de ese CPU entre las afectadas. Consulta el parche o mitigación correspondiente a tu distribución y valida las conexiones TLS.
CPU de Java del 20 de octubre · Alerta oficial CVE-2026-91403 →
Python: certificados comprometidos, un riesgo diferente
El canal oficial de seguridad anunció el 24 de octubre CVE-2026-115557. Python añadió al módulo ssl una lista de certificados comprometidos que serán rechazados incluso sin revocación configurada, independientemente de la política del SSLContext.
El anuncio no describe una RCE del intérprete y no enumera versiones corregidas. Antes de declarar protegida una instalación, verifica la disponibilidad concreta de la corrección en la distribución utilizada. Revisa los clientes TLS y cómo actualizas tus runtimes desplegados.
¿Qué puede pasar en manos equivocadas?
Una ejecución de código podría dar acceso a información y servicios según los permisos del proceso. Un problema de confianza TLS afecta una cuestión distinta: autenticar a quien está al otro extremo de la conexión. No todas las alertas implican el mismo impacto.
Empieza por un inventario real de versiones y dependencias. Identifica las funciones que reciben datos externos, prioriza los sistemas expuestos y aplica las actualizaciones del proveedor. Después comprueba los procesos reiniciados, las imágenes desplegadas y las conexiones de la aplicación.
Una actualización disponible todavía no es una actualización desplegada. Y una alerta no demuestra, por sí sola, que haya un incidente.