PHP2Shell, Node.js, Railway y certificados rotos: lo que se rompió el 21 de octubre

Tabla de triaje: qué hacer primero

1. PHP2Shell: fallas críticas en el motor de PHP

Qué es

PHP2Shell es el nombre de dos vulnerabilidades en el núcleo de PHP, cada una con una puntuación de 9.2 de 10 (Abbasi). Una deja datos de la solicitud parcialmente inicializados tras un error de falta de memoria; la otra permite que un worker (el proceso que atiende las solicitudes) reutilice datos viejos de una solicitud anterior, un clásico use-after-free (uso de memoria ya liberada) (Abbasi).

Lo que las hace peligrosas es dónde están. El ataque es una solicitud web sin autenticación que PHP procesa antes de que corra el código de tu aplicación, así que las pantallas de login y la seguridad de los plugins no se interponen (Frichette et al.).

Los investigadores también demostraron que las fallas pueden filtrar la memoria de los workers de PHP sin iniciar sesión, lo que puede exponer contraseñas, tokens y API keys (Abbasi). Ese detalle conecta PHP2Shell con la historia de Railway más abajo: los secretos son el premio.

Cómo se desarrolló

1. 20 oct, mañanaCirculó una publicación que anunciaba dos fallas críticas de PHP antes de la divulgación, y luego fue eliminada.
2. 20 oct, más tardePHP emitió un aviso adelantado, antes de lo que tenía programado.
3. 21 oct, 3:02 UTCLa protección WAF (firewall de aplicaciones web) de Cloudflare se activó por defecto, incluso en los planes Free.
4. 21 oct, ~9:30 a.m. ETPHP publicó 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Fuentes: Hammond; Molteni et al.

¿Se está explotando?

Los informes difieren, y la diferencia importa.

Qué versiones están arregladas

Tu distribución de Linux o tu proveedor de hosting podría incluir el arreglo bajo un número de versión que parece más viejo mediante un backport (un arreglo llevado a una versión anterior), así que revisa el aviso de tu proveedor en vez de fiarte solo del número (Abbasi). PHP ha ofrecido backports limitados del código fuente para 7.4, 8.0 y 8.1, pero esas ramas ya no reciben actualizaciones regulares (Abbasi).

El debate sobre la solución temporal

Trata cualquier cambio de configuración, en el mejor de los casos, como un endurecimiento parcial. Cloudflare, cuyo WAF está bloqueando intentos, fue directo:

"Los clientes deben parchar sus repos de PHP aun con las protecciones del WAF"

(Molteni et al.)

2. Node.js: 10 vulnerabilidades, incluida una de ejecución remota de código

El proyecto Node.js publicó actualizaciones de seguridad para sus tres líneas con soporte el 21 de octubre (Node.js Project). Cuatro de los 10 arreglos tienen severidad Alta:

4 de severidad Alta6 de severidad Media o Baja

Desliza la tabla hacia el lado para verla completa.

Fuente: Node.js Project.

Los seis restantes tienen severidad Media o Baja e incluyen una falla en sockets keep-alive, la validación de certificados para hostnames IPv4 no canónicos y valores aleatorios repetidos en los snapshots de arranque (Node.js Project). La actualización también renueva dependencias incluidas, como c-ares, OpenSSL, SQLite y Undici, y bloquea los certificados comprometidos de eMudhra que se cubren más abajo (Node.js Project).

Versiones arregladas: 26.12.1, 24.22.1 y 22.23.4 (Node.js Project).

El problema del fin de vida

Node 20 llegó a su fin de vida (end-of-life: ya no recibe arreglos de seguridad) el 30 de abril de 2026, y Node 18 el 30 de abril de 2025 (Aguilar). El proyecto es explícito: "Las versiones en fin de vida siempre se ven afectadas cuando ocurre una actualización de seguridad" (Node.js Project).

Muchas apps no se han movido. Node 18 y 20 juntos se descargaron más de 136 millones de veces en julio de 2026, aproximadamente una de cada seis descargas de Node con versión identificada (Aguilar). Una descarga no es un servidor en producción, pero la cifra muestra cuánto Node viejo todavía se está instalando (Aguilar).

3. Railway: rota todos tus secretos ya

El 21 de octubre, la plataforma de hosting Railway divulgó actividad anómala en los sistemas que guardan las variables de entorno de sus clientes (Cooper). Una parte no autorizada pudo haber accedido a variables de entorno cifradas y, en algunos casos, obtenido su contenido descifrado (Cooper). Las variables de entorno son donde la mayoría de las apps guardan sus API keys y contraseñas de bases de datos.

Railway dijo que cree que el ataque es parte de una serie dirigida a empresas de plataformas, con el objetivo de comprometer a proveedores de inferencia de IA, y les pidió a esos proveedores que revocaran claves de forma preventiva (Cooper). El análisis inicial sugiere que solo un subconjunto de usuarios está afectado, pero Railway recomienda que todos los usuarios actúen (Cooper).

La compañía también detuvo los builds:

"Todos los despliegues están en pausa mientras investigamos"

(Cooper)

Railway también invalidó las sesiones de login y está rotando las credenciales de sus storage buckets (Son).

4. Certificados: la capa de confianza de internet tuvo una semana mala

eMudhra: ocho claves que cualquiera podía calcular

Las autoridades de certificación son las organizaciones en las que confían los navegadores para garantizar que un sitio es quien dice ser. El 17 de octubre, un investigador descubrió que ocho certificados intermedios de la CA india eMudhra tenían claves privadas tan débiles que podían calcularse a partir de datos públicos (Abrams). Cada valor de clave era menor de 256, y uno era literalmente el número 4 (Abrams).

Las claves se generaron en abril de 2025 con un script defectuoso, lo que significa que cualquiera que lo hubiera notado pudo haber emitido certificados confiables para cualquier sitio web durante unos 17 meses (Abrams; cálculo del autor). Seis de las ocho eran para sitios web; dos eran para firma de código (Khandelwal, "Eight eMudhra").

No hay evidencia pública de mal uso. Ningún certificado de sitio web encadenado a los seis intermedios TLS apareció en los logs de Certificate Transparency (los registros públicos de certificados emitidos) antes del bloqueo de Chrome, y eMudhra dijo que ninguno emitió certificados de usuario final (Khandelwal, "Eight eMudhra"). Como no se puede descartar por completo un mal uso en el pasado, todas las plataformas principales actuaron rápido:

eMudhra revocó los ocho certificados, dijo que su infraestructura no fue vulnerada y está emitiendo reemplazos (Khandelwal, "Eight eMudhra"). El mercado fue menos indulgente: sus acciones cayeron 20% el 21 de octubre, y el ministerio de TI de la India formó un equipo para investigar (Khandelwal, "Eight eMudhra").

GoDaddy: 404,607 certificados revocados contra reloj

Por separado, GoDaddy descubrió que cientos de miles de sus certificados no coincidían con los perfiles de su propia política de certificados publicada (Mozilla Bugzilla). Las reglas de la industria exigen la revocación dentro de cinco días en esa situación (Mozilla Bugzilla).

"Pudimos revocar 170,566 certificados antes de la fecha límite", informó GoDaddy; 227,422 se habían revocado temprano el 19 de octubre, lo que dejaba unos 177,000 todavía pendientes (Mozilla Bugzilla; cálculo del autor).

El patrón detrás de los titulares

Estos incidentes parecen no tener relación, pero comparten un objetivo: las cosas en las que el software confía de forma implícita.

PHP2Shell puede filtrar secretos desde la memoria, Railway pudo haber expuesto secretos almacenados, y las fallas de certificados socavan la confianza que protege los secretos en tránsito (Abbasi; Cooper; Abrams).

Para los dueños de negocio, la lección es que parchar y rotar secretos ahora son operaciones de rutina, no emergencias (análisis del autor).

Revisa tus apps con mis escáneres gratuitos

Era miércoles, y las vulnerabilidades críticas parecían estar por todas partes. Las agencias gubernamentales de ciberseguridad de EE. UU. y el Reino Unido les dijeron a las organizaciones que parcharan PHP de inmediato, o que desconectaran los sistemas si no podían (gHale; National Cyber Security Centre).

Mientras tanto, las versiones de Node en fin de vida todavía se descargaron más de 136 millones de veces solo en julio (Aguilar).

Para los vagos profesionales que hoy prefieren no abrir la terminal:

Ambos son gratuitos y de código abierto bajo la licencia MIT. Son de solo lectura: verifican versiones y configuración, nunca cambian nada y no contienen código de explotación ("php-vuln-responder"; "node-vuln-responder"). Cada uno genera un informe HTML y CSV codificado por colores.

Si sí abres la terminal, son dos comandos por escáner:

# PHP: córrelo en tu servidor, o apúntalo a tus sitios desde cualquier lugar
git clone https://github.com/luivc1/php-vuln-responder
bash php-vuln-responder/scripts/scan.sh --local
bash php-vuln-responder/scripts/scan.sh -f sites.txt -o php-report

# Node.js: revisa cada instalación de Node, cada proceso en ejecución y la configuración del proyecto
git clone https://github.com/luivc1/node-vuln-responder
bash node-vuln-responder/scripts/scan.sh --local --project ~/code -o node-report

Si usas un agente de IA, ambos repos se instalan como plugins de Claude Code, y otros agentes pueden leer el AGENTS.md incluido ("php-vuln-responder"; "node-vuln-responder"). Luego pregunta, en inglés o en español:

Los escáneres también te guían para parchar un comando aprobado a la vez, verifican que el arreglo haya surtido efecto y corren una revisión de solo lectura en busca de señales de compromiso ("php-vuln-responder"; "node-vuln-responder"). No cubren los secretos de Railway ni las cadenas de certificados; para eso usa las listas de verificación de arriba.

Escanea únicamente sistemas que te pertenezcan o que estés autorizado a evaluar.

En conclusión

Ninguno de los problemas de esta semana requiere destrezas exóticas para arreglarse. PHP y Node.js tienen parchos, los clientes de Railway tienen una lista clara de rotación y los arreglos de certificados llegan mayormente con las actualizaciones normales.

El riesgo es la demora. Los atacantes ya estaban tanteando PHP2Shell a las pocas horas de la divulgación, y un runtime (el entorno que ejecuta tu código) en fin de vida nunca va a recibir un arreglo (Molteni et al.; Node.js Project).