Vulnerabilidades críticas de octubre 2026: qué parchear ya

Si tienes algo en producción, esta semana toca parchear.

PHP2Shell, dos fallos críticos en Next.js, diez en Node.js y Plex2Shell: las vulnerabilidades de octubre de 2026 explicadas, qué versión instalar y cómo comprobar si estás afectado.

Entre el 19 y el 23 de octubre de 2026 han salido fallos críticos en Next.js, Node.js, PHP y Plex. Varios ya se están explotando.

Nosotros tenemos varios SaaS en producción con Next.js, Node y PostgreSQL. Esta es la lista que nos hemos hecho para revisar los nuestros. La compartimos por si te ahorra el lunes.

Para cada fallo, tres cosas: qué explota, qué puede hacer un atacante y qué tienes que hacer tú.

Resumen: qué actualizar y a qué versión

1. PHP2Shell (CVE-2026-109618 y CVE-2026-109619) — crítico

• Qué explota: un fallo de memoria en el propio motor de PHP.
• Qué puede hacer un atacante: ejecutar código en tu servidor sin iniciar sesión.
• Qué hacer: PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35.

2. Next.js, optimizador de imágenes SVG (GHSA-2464-fhr4-w9xw) — crítico

• Qué explota: la librería sharp al procesar SVG en el optimizador de imágenes.
• Qué puede hacer un atacante: ejecutar código en el servidor sin autenticarse.
• Qué hacer: Next.js 15.5.28 o 16.4.1, y sharp 0.35.5 o superior.

3. Next.js, funciones use cache (GHSA-673q-mjm6-r5xr) — crítico

• Qué explota: funciones use cache que devuelven typed arrays. Solo rama 16.
• Qué puede hacer un atacante: ejecutar código sin autenticarse.
• Qué hacer: Next.js 16.4.1 o superior.

4. Next.js, Server Actions (GHSA-p3m5-59mp-jv5r) — alto

• Qué explota: peticiones manipuladas contra Server Actions del App Router.
• Qué puede hacer un atacante: disparar la CPU y tumbar la app.
• Qué hacer: Next.js 15.5.28 o 16.4.1.

5. Node.js, 10 vulnerabilidades — alto

• Qué explota: el runtime y librerías que lleva dentro, como OpenSSL o Brotli.
• Qué puede hacer un atacante: depende del fallo; Node.js no ha publicado workarounds.
• Qué hacer: Node 22.23.4, 24.22.1 o 26.12.1, y reconstruir las imágenes Docker.

6. Plex2Shell — explotado

• Qué explota: una cadena de cuatro fallos en Plex Media Server.
• Qué puede hacer un atacante: robar el token de administrador y ejecutar código. Ya se usa para instalar mineros.
• Qué hacer: Plex 1.43.3.10861 o superior.

7. Windows (CVE-2026-96951) e Ivanti VPN (CVE-2026-104935) — explotados

• Qué explota: la protección Mark of the Web de Windows y la autenticación de la VPN de Ivanti.
• Qué puede hacer un atacante: colar adjuntos maliciosos por correo y ejecutar comandos en la VPN sin contraseña.
• Qué hacer: Patch Tuesday de octubre y el parche de Ivanti del 13 de octubre.

Si solo tienes cinco minutos: mira qué versión de PHP, Next.js y Node corre de verdad en producción. Ahí está casi todo lo que nos afecta a quienes hacemos web.

Cómo comprobar en 5 minutos si estás afectado

No hace falta ser experto en seguridad. Son cuatro comandos en el servidor:

php -v                   # PHP: 8.5.12, 8.4.27, 8.3.36 u 8.2.35 o superior
node -v                  # Node: 22.23.4, 24.22.1 o 26.12.1 o superior
npm ls next sharp        # Next.js 15.5.28 / 16.4.1 y sharp 0.35.5 o superior
docker exec <contenedor> node -v   # la versión que corre DENTRO del contenedor

El último es el que más sustos da. Puedes tener Node actualizado en el servidor y una versión vieja dentro del contenedor que de verdad sirve tu aplicación.

Si tu web está en un hosting compartido y no tienes acceso por terminal, la versión de PHP suele aparecer en el panel del proveedor. Y si no, pregúntales directamente si ya han aplicado el parche de PHP2Shell.

PHP2Shell: la vulnerabilidad de PHP que afecta a WordPress, Laravel y casi cualquier hosting

El 21 de octubre PHP publicó parches de emergencia para dos fallos críticos en el propio intérprete (CVE-2026-109618 y CVE-2026-109619). La CISA, la agencia de ciberseguridad de Estados Unidos, pide parchear ya, empezando por los servidores expuestos a internet.

Qué falla exactamente

Uno aparece cuando PHP se queda sin memoria a mitad de preparar una petición y luego usa datos a medio inicializar. El otro deja restos de una petición que la siguiente, en el mismo worker, reutiliza cuando ya no son válidos.

El resultado es el mismo: alguien puede ejecutar código en tu servidor sin usuario ni contraseña.

A quién afecta

A cualquier PHP que sirva peticiones web: PHP-FPM, mod_php de Apache, php-cgi, FrankenPHP y LiteSpeed. Es decir, WordPress, Laravel, Symfony, Magento y la mayoría de hostings.

Y ojo con esto:

Actualizar WordPress o los plugins no sirve. El fallo está en PHP.

Si estás pensando en tu web y dudas entre seguir en WordPress o pasarte a algo a medida, lo contamos en ¿WordPress o web a medida?. Pero eso es para otro día: hoy, parchea.

Qué hacer

1. Actualiza a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama que uses.
2. Reinicia PHP-FPM o el servidor web para que cargue el binario nuevo.
3. Si estás en un hosting compartido, confirma con el proveedor que ya lo ha aplicado.

PHP 8.1 y anteriores no tienen versión oficial; solo hay parches mínimos de código fuente para 7.4, 8.0 y 8.1. Si estás ahí, toca migrar.

Los detalles se filtraron el 20 de octubre, antes de la publicación coordinada. Varias empresas de seguridad han visto intentos de ataque desde entonces.

Vulnerabilidades de Next.js: dos fallos críticos y fin de soporte de la versión 15

Vercel sacó el 14 de octubre las versiones 15.5.28 y 16.4.1. El 22 publicó los avisos completos: dos fallos críticos y uno alto.

Ejecución remota en el optimizador de imágenes (GHSA-2464-fhr4-w9xw)

El fallo está en sharp, la librería que usa Next.js para procesar imágenes, al tratar archivos SVG. Solo pasa en Linux con glibc, que es justo lo normal en un VPS o en un contenedor Debian o Ubuntu.

Afecta desde la 10.0.0 hasta antes de la 15.5.28, y de la 16.0.0 a antes de la 16.4.1.

Aquí hay una trampa. La 15.5.28 todavía acepta sharp 0.34.x, así que si tu lockfile ya tenía la antigua, actualizar next no basta:

npm install [email protected]   # si sigues en 15.5
npm install [email protected]    # si estás en 16.x
npm ls sharp               # debe salir 0.35.5 o superior

Si ves una versión antigua de sharp, instala la buena con npm install [email protected] y vuelve a construir.

Ejecución remota en funciones use cache (GHSA-673q-mjm6-r5xr)

Afecta a apps con App Router y Cache Components cuando una función use cache devuelve varios typed arrays. Solo en la rama 16.

Vercel dice que no hay workaround y que actualices aunque no tengas funciones así.

Denegación de servicio en Server Actions (GHSA-p3m5-59mp-jv5r)

Permite disparar la CPU con peticiones manipuladas hasta bloquear el proceso y dejar la app sin responder. Afecta a apps con App Router y al menos una Server Action. Las que usan Pages Router no están afectadas.

Next.js 15 se queda sin soporte

La rama 15 salió del soporte de mantenimiento el 21 de octubre, dos años después de la 15.0.0. La 15.5.28 es la última versión.

A partir de aquí, el próximo fallo puede no tener parche para la 15. Parchea hoy y planifica el salto a la 16, que pide Node 20.9 como mínimo (en la práctica, Node 24 o 22).

Mientras tanto, si una app no necesita optimizar imágenes al vuelo, puedes desactivarlo con images: { unoptimized: true } en next.config. Cierras la puerta al fallo más grave de la semana.

Node.js: actualización de seguridad con diez vulnerabilidades

El 21 de octubre Node.js publicó parches para sus tres ramas con soporte: 22, 24 y 26. Corrigen diez vulnerabilidades, cuatro de severidad alta.

Están en el propio runtime y en las librerías que lleva dentro: OpenSSL, Undici, c-ares, certificados CA y Brotli. Los que tocan TLS afectan a cómo tu aplicación confía en los servidores a los que se conecta.

Las versiones buenas son 22.23.4, 24.22.1 y 26.12.1.

Si sigues en Node 20 o anterior, no hay parche: terminó su soporte el 30 de abril de 2026.

Y lo que más se olvida:

Si despliegas con Docker, actualizar el código no actualiza Node. Hay que reconstruir la imagen.

Las imágenes oficiales de node se actualizaron el mismo 21. Si tienes la versión fijada en el Dockerfile, cámbiala a mano.

Plex2Shell: cuatro fallos de Plex ya explotados

No es un tema de empresa, pero es el mejor ejemplo de la semana de lo rápido que va todo.

El 20 de octubre la CISA metió cuatro fallos de Plex Media Server en su catálogo de vulnerabilidades explotadas. Encadenados, permiten engañar al servidor para que entregue el token de administrador y dejar un fichero que se ejecuta la próxima vez que Plex transcodifica un vídeo.

Ya se han visto mineros de criptomonedas y software de proxy residencial, que usa tu conexión de casa para que otros naveguen a través de ella.

Lo llamativo: el parche existía desde agosto. El exploit se publicó el 16 de octubre y el 17 ya había ataques.

Un día.

Actualiza a la 1.43.3.10861 o superior y, si no lo necesitas, cierra el puerto en el router. En Docker y en NAS la actualización automática no siempre funciona: compruébalo a mano.

Si tu empresa tiene Windows o una VPN: Patch Tuesday e Ivanti

Esto salió el 13 de octubre, pero muchas empresas aún no lo han aplicado.

El Patch Tuesday más grande de la historia

Microsoft corrigió más de 1.400 vulnerabilidades. Tres son zero-day, y una ya se explota: CVE-2026-96951, en Windows Shell.

Permite saltarse la protección Mark of the Web, la que avisa de que un fichero viene de internet. La vía de entrada es un correo con un enlace o adjunto malicioso. Afecta a Windows 10, Windows 11 y Windows Server 2012 R2 en adelante.

También hay fallos críticos en Active Directory, Exchange y Outlook. Y el soporte extendido de Exchange 2016 y 2019 termina este mes.

Ivanti Connect Secure (CVE-2026-104935)

Permite ejecutar comandos en la VPN corporativa de Ivanti sin contraseña. Se explota desde al menos el 1 de octubre.

Afecta a las versiones 22.8R2.4, 25.1.2.2 y 25.1.1.1 o anteriores. El parche es del 13 de octubre.

La herramienta de integridad de Ivanti puede no detectar el ataque, porque los comandos corren en memoria. Si estuvo expuesta, revísala a fondo.

Una VPN comprometida da acceso a toda la red interna, por bien parcheados que estén los ordenadores de detrás.

Lo que nos llevamos de esta semana

El tiempo entre que se publica un fallo y alguien lo explota ya se mide en horas. Plex tardó un día. PHP2Shell tuvo intentos de ataque nada más filtrarse.

Nuestra rutina, sin complicarla:

1. Inventario. Saber qué versión corre de verdad en cada proyecto: la del lockfile o la del contenedor, no la del package.json.
2. Parche primero, refactor después. Subir a la última versión de la rama que usas hoy y desplegar. El salto de versión mayor, con calma y con fecha.
3. Reconstruir imágenes. Un contenedor de hace un mes lleva el Node y las librerías de hace un mes.
4. Revisar dependencias nativas. sharp, librerías de imagen, compresión: no las instalas tú, pero viajan contigo.
5. Quitar lo que no usas. Cada función activada que no necesitas es una puerta más.
6. Suscribirte a los avisos. Los de Next.js, Node, PHP y el INCIBE-CERT llegan antes que el susto.

Es la misma idea que defendemos con los agentes de IA: dar por hecho que algo es seguro porque «siempre ha funcionado» es justo lo que acaba saliendo caro. Lo contamos en Tu agente de IA cree que está leyendo. En realidad está escribiendo.

Preguntas frecuentes

¿Qué es PHP2Shell?

Es el nombre de dos vulnerabilidades críticas en el motor de PHP (CVE-2026-109618 y CVE-2026-109619). Permiten ejecutar código en el servidor sin iniciar sesión. Se corrigen con PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35.

¿Mi WordPress está afectado por PHP2Shell?

Si tu servidor usa una versión de PHP anterior a las corregidas, sí. El fallo está en PHP, no en WordPress, así que actualizar WordPress o los plugins no lo soluciona.

¿Qué versión de Next.js tengo que instalar?

La 15.5.28 si sigues en la rama 15, o la 16.4.1 o superior si estás en la 16. Comprueba además que sharp esté en la 0.35.5 o superior con npm ls sharp.

¿Next.js 15 sigue teniendo soporte?

No. Salió del soporte de mantenimiento el 21 de octubre de 2026 y la 15.5.28 es su última versión. Conviene planificar la migración a Next.js 16.

¿Qué versión de Node.js es segura?

Node 22.23.4, 24.22.1 o 26.12.1, según la rama. Node 20 y anteriores ya no reciben parches.

Uso Docker, ¿basta con actualizar el código?

No. La versión de Node y de las librerías del sistema va dentro de la imagen. Hay que reconstruirla con la base actualizada y volver a desplegar.

Parchear no es lo difícil. Saber qué tienes en producción, sí.

¿No tienes claro qué versiones corren en tu web o en tu aplicación?

Lo miramos contigo.

Un diagnóstico gratuito y sin compromiso: te decimos qué está expuesto y por dónde empezar.

Fuentes

• Next.js, actualización de seguridad del 14 oct 2026: https://nextjs.org/blog/nextjs-security-update-october-14-2026
• GHSA-2464-fhr4-w9xw en OSV: https://osv.dev/vulnerability/GHSA-2464-fhr4-w9xw
• Fin de soporte de Next.js 15 y tabla de avisos (Safeguard): https://safeguard.sh/resources/blog/nextjs-15-end-of-life-october-2026-upgrade-to-16
• Node.js, versiones de seguridad de octubre 2026 (resumen por rama): https://www.konfirmity.com/advisories/nodejs-october-2026-security-releases
• CISA, alerta sobre PHP2Shell: https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• Help Net Security, PHP2Shell: https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
• BleepingComputer, CISA y Plex2Shell: https://bleepingcomputer.com/news/security/cisa-hackers-chain-plex-flaws-in-plex2shell-attacks-to-breach-servers
• SecurityWeek, Plex2Shell explotado: https://securityweek.com/plex2shell-exploit-chain-weaponized-against-plex-servers-hours-after-disclosure
• CrowdStrike, análisis del Patch Tuesday de octubre 2026: https://www.crowdstrike.com/en-us/blog/patch-tuesday-analysis-october-2026/
• Rapid7, zero-day de Ivanti Connect Secure: https://www.rapid7.com/blog/post/etr-ivanti-connect-secure-zero-day-exploited-in-the-wild-cve-2026-104935/