Paper Técnico de Ciberseguridad: Emergencia en Runtimes Web (PHP Core y Node.js)
ELABORADO POR: Pedro M. Cacivio (Perito Informático de la Nación — Instel & Seguridad)
FECHA DE CORTE: 21 de octubre de 2026, 19:30 ART (22:30 UTC)
CRITERIO OPERATIVO: Tratamiento de emergencia P0 para PHP público sin corregir
FUENTES OFICIALES Y TÉCNICAS CITADAS: The PHP Group, Node.js Security Team, CERT-EU, Cloudflare, NCSC-UK
Resumen ejecutivo
El 21 de octubre de 2026 se divulgaron correcciones de máxima urgencia para dos vulnerabilidades críticas en el núcleo del intérprete de PHP (CVE-2026-109618 y CVE-2026-109619), ambas catalogadas con severidad CVSS v4.0 de 9.2. Estas fallas permiten escenarios confirmados de ejecución remota de código (RCE) sin autenticación previa.
De forma simultánea, el proyecto Node.js liberó parches para diez nuevas vulnerabilidades en su boletín de octubre (ramas 22, 24 y 26), destacándose una escritura fuera de límites en el decodificador Brotli con potencial RCE.
Dada la exposición en entornos de producción, el equipo de Instel & Seguridad recomienda la auditoría inmediata de versiones y el despliegue de parches en un plazo no mayor a 24 horas.
👉 Descargar Paper Técnico Completo (PDF)
1. Análisis Técnico de las Vulnerabilidades en PHP
Ambas vulnerabilidades residen en el motor interno del lenguaje y afectan indistintamente a frameworks y CMS (WordPress, Drupal, Laravel, etc.):
A. CVE-2026-109618: Corrupción durante tratamiento de Out-Of-Memory (OOM)
- Mecanismo: El intérprete puede interrumpir su ejecución mediante
longjmp()ante una falla de asignación de memoria mientras las estructuras internas de la petición HTTP están incompletas. Durante el ciclo de limpieza posterior, el núcleo procesa punteros inválidos, provocando corrupción de memoria y RCE. - Vector confirmado: Se validó explotación remota sin autenticación contra despliegues bajo Apache
mod_php, incluso antes de que se ejecute la lógica de la aplicación web.
B. CVE-2026-109619: Uso de estado global obsoleto (Stale Global State)
- Mecanismo: Determinadas estructuras globales conservan referencias a bloques de memoria de peticiones ya finalizadas. Un error fatal puede dejar referencias huérfanas que una petición subsiguiente asignada al mismo worker puede reutilizar antes de la reinicialización.
- Impacto: Conduce a divulgación de memoria sensible, Use-After-Free y ejecución remota de código sin credenciales, comprobada tanto en
mod_phpcomo en configuraciones específicas dePHP-FPM.
2. Versiones de PHP Corregidas y Situación de Ramas
| Rama PHP | Compilación corregida oficial | Situación operativa |
|---|---|---|
| PHP 8.5 | 8.5.12 | Seguridad vigente |
| PHP 8.4 | 8.4.27 | Seguridad vigente |
| PHP 8.3 | 8.3.36 | Seguridad vigente |
| PHP 8.2 | 8.2.35 | Seguridad vigente (hasta fin de 2026) |
| PHP 8.1 y anteriores | Sin parche upstream | Requiere migración inmediata o validar backports LTS del distribuidor |
3. Boletín de Seguridad de Node.js (Octubre 2026)
Se publicaron los releases 22.23.4 (LTS), 24.22.1 (LTS) y 26.12.1 (Current), resolviendo diez vulnerabilidades. Se destacan:
- CVE-2026-111497 (Alta): Escritura fuera de límites en el decodificador Brotli con riesgo de RCE al procesar flujos comprimidos de origen no confiable.
- CVE-2026-105482 / 105483 / 106069 (Alta): Defectos en resolución DNS (truncamiento por byte NUL) y omisiones en la validación de certificados TLS (hostnames con dígitos Unicode fullwidth e IPs no canónicas).
- Actualización de dependencias: Incorporación de parches en
c-ares,Undici, actualización de certificados raíz e integración de librerías criptográficas.
4. Mandato Operativo y Plan de Acción Institucional
- Prioridad P0 (Emergencia): Identificar y actualizar todos los nodos PHP expuestos a Internet. Si el proveedor o sistema operativo no dispone de compilación corregida, restringir el acceso temporalmente mediante VPN o firewall perimetral.
- Prioridad P0 / P1: Actualizar las instancias de Node.js a las versiones de octubre 2026, especialmente aquellas que gestionan descompresión de datos externos o balanceo TLS.
- Validación del proceso en ejecución: Comprobar la versión activa en memoria del worker web (
php-fpm, módulo web o contenedor) y no limitarse a la salida dephp -ven CLI. - Monitoreo y WAF: Activar reglas de inspección para cargas multipart anómalas. Recordar que las reglas de WAF operan únicamente como mitigación temporal y no reemplazan la actualización del binario.