Alerta de seguridad · 21/10/2026
PHP2Shell: actualizá hoy.
Alerta · Video «PHP2Shell, Node.js y LiteLLM»
El 21/10/2026 salieron parches urgentes para PHP y Node.js, y una versión de LiteLLM vino con un programa espía. Acá tenés, en una página, qué versión tenés que tener, cómo revisar la tuya y los enlaces oficiales para verificarlo vos.
Ir a las versionesLa alerta02 · 21/10/2026
Actualizar ya, o desconectar.
El 21/10, el centro de ciberseguridad del Reino Unido (NCSC) pidió a las organizaciones actualizar PHP de inmediato o desconectar los sistemas afectados hasta poder hacerlo. Si tu negocio tiene una web en WordPress, una tienda online o un sistema de reservas, lo más probable es que corra sobre PHP.
- 01
69,3 %
de los sitios web cuyo lenguaje de servidor se conoce usa PHP (W3Techs, 23/10/2026).
- 02
WordPress
Toda web hecha en WordPress corre sobre PHP, igual que muchas tiendas online y sistemas de reservas.
Qué es03 · 21/10/2026
Dos fallas de 9,2 sobre 10.
Las bautizaron PHP2Shell. Permiten que alguien, sin usuario ni contraseña, mande un pedido a tu servidor y ejecute su propio código con los permisos de la web. Afectan a toda instalación de PHP que atiende pedidos web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Según PHP, el riesgo más alto está en mod_php.
- 01
CVE-2026-109618
Cuando PHP se queda sin memoria a mitad de un pedido, deja datos a medio armar que después usa como si estuvieran bien.
- 02
CVE-2026-109619
Un proceso de PHP guarda restos de un pedido anterior que apuntan a memoria ya liberada, y el pedido siguiente los usa.
Ya pasó04 · 21/10/2026
No es teoría.
Hubo intentos de ataque antes del anuncio y siguió habiendo después. Por eso conviene actualizar hoy y no esperar al próximo mantenimiento.
- 01
17/10
La red de trampas (honeypots) de Amazon registró un intento de ataque, cuatro días antes del anuncio.
- 02
21/10
Sale el parche. Cloudflare confirma ataques y activa reglas de su firewall para todos sus clientes, incluso los del plan gratis.
- 03
22/10
Palo Alto confirma que todas las versiones de PAN-OS y Panorama están afectadas. Fortinet y Cisco revisan sus productos.
- 04
23/10
PHP suma un aviso por un caso raro de configuración de sesiones: se evita desactivando session.upload_progress hasta su próxima versión.
La IA05 · 21/10/2026
Años escondidas.
Las reportaron investigadores de Wiz, OpenAI y Calif, entre otros. La IA no creó el error: estaba ahí hace años. Lo que cambió es que los modelos de IA hacen mucho más fácil pasar de una falla vieja a un ataque que funciona. Para los que se defienden, eso quiere decir una cosa: actualizar más rápido.
«Los modelos de IA de frontera bajaron mucho esa barrera: convirtieron una falla de años en un ataque que funciona.»
Traducción nuestra
Node.js06 · 21/10/2026
El mismo día, diez fallas en Node.js.
Node.js corrigió diez fallas: cuatro altas, tres medias y tres bajas. La peor está en el descompresor Brotli que trae Node y puede permitir ejecutar código a distancia. Otras dejaban validar certificados con direcciones IP escritas de forma rara. No hay soluciones alternativas: hay que actualizar.
- 01
Brotli
Una escritura fuera de lugar al descomprimir: puede tirar el proceso, filtrar memoria o ejecutar código.
- 02
Certificados
Direcciones IP escritas con ceros adelante o en otros formatos podían saltear la validación.
LiteLLM07 · 21/10/2026
Si usás agentes de IA: ojo con la 1.107.0.
LiteLLM es una librería de Python muy usada para conectarse con muchos modelos de IA con el mismo código. El 21/10, unos atacantes publicaron con cuentas robadas la versión 1.107.0, que traía un programa espía. Estuvo unas dos horas en PyPI y en sus imágenes de Docker, y se descargó unas 49.000 veces. Robaba claves de API, accesos a la nube, llaves SSH y datos del navegador, y en algunos casos los usaron pocas horas después.
- 01
Si la instalaste
Tomá esa computadora o ese servidor como comprometido y cambiá todas las claves que había ahí.
- 02
Versión limpia
Volvé a la 1.106.2, o a la versión que LiteLLM marque como segura en PyPI.
Las versiones08 · 21/10/2026
Las versiones que tenés que tener.
Buscá tu rama (los dos primeros números) y fijate que tengas esa versión o una más nueva. Cada tabla tiene los enlaces oficiales para descargar y verificar.
PHP
| Rama | Vulnerable | Pasá a |
|---|---|---|
| 8.5 | anterior a 8.5.12 | Con arreglo: 8.5.12 o más nueva |
| 8.4 | anterior a 8.4.27 | Con arreglo: 8.4.27 o más nueva |
| 8.3 | anterior a 8.3.36 | Con arreglo: 8.3.36 o más nueva |
| 8.2 | anterior a 8.2.35 | Con arreglo: 8.2.35 o más nueva |
| 8.1 o anterior | todas | Sin arreglo: Sin parche oficial: migrá a 8.2 o más nueva, o pedí el parche a tu proveedor |
Fuente: php.net y los avisos de seguridad de PHP (21/10/2026). La rama 8.2 tiene soporte hasta el 31/12/2026. En Ubuntu y Debian el número puede no coincidir: mirá «Cómo revisar la tuya».
Node.js
| Rama | Vulnerable | Pasá a |
|---|---|---|
| 26 | anterior a 26.12.1 | Con arreglo: 26.12.1 o más nueva |
| 24 · LTS | anterior a 24.22.1 | Con arreglo: 24.22.1 o más nueva |
| 22 · LTS | anterior a 22.23.4 | Con arreglo: 22.23.4 o más nueva |
| 25, 20 o anterior | todas | Sin arreglo: Sin soporte: migrá a 22, 24 o 26 |
Fuente: nodejs.org (21/10/2026). La 20 dejó de tener soporte el 30/04/2026 y la 25, el 01/06/2026.
LiteLLM
| Versión | Problema | Qué hacer |
|---|---|---|
| 1.107.0 | Programa espía (21/10) | Sin arreglo: Desinstalala, volvé a la 1.106.2 y cambiá tus claves |
| 1.106.2 | Ninguno conocido | Con arreglo: Última versión limpia al 23/10 |
Fuente: PyPI y Wiz (21/10/2026). En PyPI estuvo de 8:39 a 10:20, hora de Argentina. Las imágenes de Docker con las etiquetas v1.107.0, latest, main-latest y main-stable traían lo mismo hasta cerca de las 10:53.
Cómo revisar09 · 21/10/2026
Cómo revisar la tuya.
Depende de dónde esté tu web o tu sistema. Si no tenés acceso, pasale esta guía a tu proveedor o a quien mantiene tu web.
01 · WordPress
En el panel: Herramientas → Salud del sitio → Información → Servidor. Ahí dice «Versión de PHP».
02 · Hosting con cPanel
En «MultiPHP Manager» o «Seleccionar versión de PHP» ves la rama de cada dominio. Lo que no ves es si el hosting ya instaló la versión del 21/10: preguntale. Más abajo tenés el mensaje listo.
03 · Servidor propio
En la terminal. Ojo: muestra la versión de la terminal, que puede no ser la misma que atiende la web. La de la web la ves en el panel de tu hosting o en WordPress.
php -v04 · Ubuntu o Debian
Acá el número no cambia: el parche viene en el paquete. Compará la versión del paquete con la corregida de tu sistema (cambiá 8.3 por tu rama). Después de actualizar, reiniciá PHP-FPM, o Apache si usás mod_php.
apt policy php8.3 sudo apt update && sudo apt upgrade sudo systemctl restart php8.3-fpm05 · Docker
Volvé a bajar la imagen oficial de tu rama, reconstruí y reiniciá los contenedores. Después mirá la versión adentro (cambiá la etiqueta por la tuya).
docker pull php:8.3-apache docker run --rm php:8.3-apache php -v06 · Node.js
En la terminal. Para actualizar, usá el instalador de nodejs.org o tu gestor de versiones (por ejemplo, nvm).
node -v nvm install 24 nvm use 2407 · LiteLLM
Si dice 1.107.0, volvé a la 1.106.2 y cambiá todas las claves de ese equipo. Fijate también si en site-packages quedaron cook.pth o cook.py, o un sitecustomize.py que no pusiste vos: los dejaba el programa espía.
pip show litellm pip install "litellm==1.106.2"
Si no podés actualizar hoy.
Estas medidas bajan el riesgo mientras tanto, pero PHP aclara que no vuelven segura la instalación. Son un puente hasta actualizar.
- Desactivá session.upload_progress.enabled (ponelo en 0) y reiniciá PHP. Si tu web no lo usa, PHP recomienda dejarlo apagado aunque ya hayas actualizado.
- Si tu web no usa formularios para subir archivos, bloqueá esos pedidos (multipart) en el servidor web o en el firewall.
- Si tu web está detrás de Cloudflare, sus reglas de firewall bloquean los ataques conocidos, incluso en el plan gratis. Es una protección temporal.
- Lo que no puedas actualizar, desconectalo: es lo que pide el centro de ciberseguridad del Reino Unido.
La guía10 · 21/10/2026
Dos mensajes, listos para mandar.
- 01
Fijate qué versión tenés
En WordPress, en el panel del hosting o en la terminal, como en «Cómo revisar la tuya».
- 02
Pasá a la de tu rama
PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, y Node.js 22.23.4, 24.22.1 o 26.12.1.
- 03
Si es vieja, migrá
PHP 8.1 o anterior y Node.js 20 o anterior ya no reciben parches.
- 04
Reiniciá y volvé a mirar
Reiniciá PHP-FPM o Apache y confirmá la versión que atiende la web.
Hola, ¿ya aplicaron en mi plan el parche de PHP del 21/10/2026 (PHP2Shell: CVE-2026-109618 y CVE-2026-109619)? Mi sitio es [tu dominio]. ¿Qué versión de PHP usa ahora? Gracias.
Hola, el 21/10 salió un parche crítico de PHP (PHP2Shell: CVE-2026-109618 y CVE-2026-109619). ¿Podés revisar que [tu dominio] use PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o el paquete corregido de su sistema, y avisarme cuando esté? Si usa Node.js, también conviene pasarlo a 22.23.4, 24.22.1 o 26.12.1. Gracias.
Antes de darlo por terminado
- ¿La versión que atiende la web es la corregida, y no solo la de la terminal?
- ¿Reiniciaste PHP-FPM o Apache después de actualizar?
- ¿Revisaste también Node.js y LiteLLM, si los usás?
- ¿Cambiaste las claves, si instalaste LiteLLM 1.107.0?
Un cuidado: no mandes contraseñas ni claves por mensaje, ni las pegues en un chat de IA.
Fuentes11 · 21/10/2026
Las fuentes.
Todo lo que dice esta guía sale de acá, para que puedas verificarlo. La revisamos el 23/10/2026: si la leés más adelante, fijate en las fuentes oficiales si salió una versión más nueva.
- php.net · Noticias y versiones (nueva pestaña)
Las versiones corregidas, a quién afecta y el aviso del 23/10.
- PHP · Aviso CVE-2026-109618 (nueva pestaña)
El detalle técnico, las versiones afectadas y las medidas parciales.
- PHP · Aviso CVE-2026-109619 (nueva pestaña)
El detalle técnico, las versiones afectadas y las medidas parciales.
- Node.js · Security releases del 21/10 (nueva pestaña)
Las diez fallas y las versiones corregidas.
- Node.js · Calendario de versiones (nueva pestaña)
Qué versiones tienen soporte y hasta cuándo.
- Ubuntu · CVE-2026-109618 (nueva pestaña)
Los paquetes corregidos para cada versión de Ubuntu.
- Debian · Security tracker (nueva pestaña)
Los paquetes corregidos para cada versión de Debian.
- Wiz · LiteLLM comprometido (nueva pestaña)
Qué hacía la versión 1.107.0, cuánto estuvo publicada y el uso de lo robado.
- PyPI · Historial de LiteLLM (nueva pestaña)
La 1.107.0 en cuarentena y la 1.106.2 como última versión limpia.
- BleepingComputer (nueva pestaña)
El pedido del NCSC y los ataques que vio Cloudflare.
- Help Net Security (nueva pestaña)
El intento que registró Amazon el 17/10, la cita de Wiz y los productos de Palo Alto, Fortinet y Cisco.
- W3Techs · Uso de PHP (nueva pestaña)
El 69,3 % de los sitios con lenguaje de servidor conocido.
¿Quién hizo esta guía?
VisionRs. Armamos webs, cartas digitales, turnos online y automatizaciones con la información real de cada negocio: lo mismo que explica esta guía, pero funcionando todos los días.
Seguí la serie · @visionrs.code (nueva pestaña)