Dos RCE de núcleo en una semana y ninguna exige madrugada
El caso principal
El 21 de octubre salieron los parches de PHP2Shell, dos vulnerabilidades en el núcleo del lenguaje con identificadores CVE-2026-109618 y CVE-2026-109619 y una puntuación CVSS de 9.2 (Fuente: helpnetsecurity.com).
Permiten ejecución remota de código sin autenticar, es decir, que alguien desde fuera ejecute lo que quiera en el servidor sin tener cuenta ni contraseña.
El fallo quedó corregido en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
Lo llamativo es el calendario… ¡abran los ojos!
AWS detectó intentos de explotación desde el 17 de octubre, cuatro días antes de que existiera el parche (Fuente: helpnetsecurity.com).
Y afecta a más de lo que parece… WordPress, Magento, Drupal o Nextcloud pueden quedar expuestos aunque su propio código esté limpio, porque el fallo vive en el intérprete que los ejecuta.
El segundo caso llegó casi a la vez, ya que Node2Shell, con identificador CVE-2026-111497 y también CVSS 9.2, es una vulnerabilidad con una escritura fuera de límites en el decodificador Brotli de Node.js que permite ejecución remota de código sin autenticar (Fuente: cryptobriefing.com).
Lo encontró el equipo Codex Security de OpenAI y los parches están en las versiones 22.23.4, 24.22.1 y 26.12.1.
Un detalle curioso que se repite en los dos… los dos los encontraron LLMs (agentes), no un investigador humano pasando semanas con un depurador.
No es un caso aislado
La semana cierra con un tercer episodio que encaja en el mismo patrón.
El 24 de octubre se confirmó que Node2Shell afecta también a Bun, a las librerías brotli y brotlicffi de Python, a Envoy y a Istio. Ya hay una prueba de concepto pública con ejecución remota demostrada en laboratorio, aunque sin explotación confirmada en producción (Fuente: thehackernews.com).
La forma común de los tres casos es clara.
Fallo en una pieza de infraestructura que casi nadie audita, puntuación máxima, parche disponible en días y una ventana de exposición que se mide en horas, no en meses.
Y el descubrimiento lo está acelerando la propia IA.
Eso cambia el ritmo al que aparecen los avisos, no el daño que hace cada uno.
El otro lado
La misma semana trae la cara opuesta.
Microsoft atribuyó a Storm-0940, un grupo vinculado a China, el abuso de credenciales OAuth de ConnectWise con el framework ARTEX (Fuente: microsoft.com).
Los números del ataque son los que importan.
2.250 tenants de Microsoft 365 sondeados a 2.900 intentos de acceso por minuto, después de un password spray contra 327 cuentas en 8 organizaciones.
No es un RCE de núcleo: ojo, es una credencial mal protegida usada a escala industrial y el resultado es igual de serio.
Mi lectura es que la IA acelera el descubrimiento de fallos, no la explotación masiva de esos fallos.
Un CVSS 9.2 no siempre exige madrugada porque no todos los fallos tienen un exploit universal que funcione contra cualquier instalación. Esto se enseña mucho en CySA+.
Lo que sí exige madrugada es saber si tu superficie expuesta está en la lista.
¿Qué mirar?
- Versión de PHP y Node.js. Comprueba si tus servidores están en 8.2.35, 8.3.36, 8.4.27, 8.5.12 o en 22.23.4, 24.22.1, 26.12.1. Si no, el parche es la primera tarea del día.
- Superficie expuesta. No es lo mismo un PHP que solo habla en local que uno que atiende peticiones desde internet. Prioriza por lo que se ve desde fuera, no por la puntuación del CVE.
- Dependencias indirectas. Revisa si tu WordPress, tu Drupal o tu Nextcloud corren sobre un PHP sin parchear. El código de la aplicación puede estar limpio y el fallo seguir ahí.
¿Cómo lo probaría en mi laboratorio?
Montaría un contenedor con la versión vulnerable de PHP y otro con la parcheada y lanzaría la misma petición contra los dos.
Miraría si la respuesta cambia de forma, si el proceso cae o si aparece una traza distinta en el log.
Con Node.js haría lo mismo contra el decodificador Brotli, enviando una carga malformada y viendo si el proceso se reinicia solo.
La conclusión que sacaría es si mi configuración concreta es alcanzable o si el fallo se queda en teoría para mi caso.
Cierre
Dos fallos de núcleo en la misma semana no son una emergencia si sabes qué versión corres y qué expones; pero sí son una emergencia si no lo sabes.