​Aviso urgente sobre la seguridad de la información: PHP, Node.js y Go

(Minghui.org) Durante la última semana, se reportaron importantes vulnerabilidades de seguridad en los entornos de ejecución de PHP, Node.js y Go. Los administradores que mantienen servidores que utilizan estas tecnologías, incluidos sistemas de gestión de contenido populares como WordPress, deben tomar medidas para proteger sus servicios frente a posibles ataques.

Desde el 21 de octubre, las agencias de ciberseguridad a nivel mundial y los canales oficiales de PHP y Node.js publicaron boletines de seguridad críticos sobre vulnerabilidades que permiten a atacantes no autorizados lograr la ejecución remota de código (RCE) o desencadenar un ataque de denegación de servicio (DoS).

Dado que las vulnerabilidades se encuentran en el entorno de ejecución del lenguaje o en las bibliotecas integradas, la simple actualización de aplicaciones front-end como los complementos de WordPress o los paquetes npm no protegerá un servidor; es necesario parches el propio entorno de ejecución del lenguaje.

Vulnerabilidades en las principales plataformas tecnológicas

1) PHP (Vulnerabilidad “PHP2Shell”)

- Vulnerabilidades de ejecución remota de código: CVE-2026-109618, CVE-2026-109619 (puntuación CVSS 9.2, riesgo crítico) 

Resumen: Existen fallos en la gestión de memoria subyacente y en el manejo del estado mundial. Cuando se produce un error de falta de memoria (OOM), puede provocar una corrupción de memoria o el uso de un estado obsoleto por parte de una solicitud posterior gestionada por el mismo proceso. 

Alcance del impacto: Todos los sitios web y servidores PHP sin parches. Los atacantes pueden lanzar ataques sin necesidad de credenciales ni privilegios.

2) Node.js

Las vulnerabilidades del decodificador Brotli y de la seguridad de la red incluyen la CVE-2026-111497 (escritura fuera de los límites de la memoria de Brotli) y múltiples vulnerabilidades de autenticación TLS/DNS.

- Resumen: El decodificador integrado de datos comprimidos Brotli presenta un defecto de escritura fuera de los límites de la memoria; además, existe el riesgo de que omita la verificación de credenciales y nombre de host.

- Alcance del impacto: El manejo de datos comprimidos Brotli no confiables, las conexiones de red externas y servicios Node.js para servidores proxy.

3) El lenguaje Go y marcos de trabajo relacionados

Se han publicado parches de seguridad para los protocolos de red pertinentes, las bibliotecas estándar y los marcos de código abierto más utilizados, como los proxies HTTP y las interfaces de gestión de red.

- Alcance del impacto: Servicios nativos de la nube que utilizan versiones específicas de módulos Go o dependen de estos.

Medidas urgentes para administradores de servidores

Las comprobaciones tradicionales de dependencias de paquetes (como los análisis de package.json o composer.json) no pueden detectar vulnerabilidades en el entorno de ejecución. Es necesario comprobar la versión del entorno de ejecución que se ejecuta en el servidor o en los contenedores.

Las versiones antiguas de entornos de ejecución de lenguajes de programación que han llegado al final de su ciclo de vida (como PHP anterior a la versión 8.2 o Node.js anterior a la versión 20) no recibirán parches oficiales. Las aplicaciones que se ejecutan en estas versiones al final de su ciclo de vida deben actualizarse a una versión compatible y parcheada, o bien aislarse de Internet.

Si los recursos son limitados, los administradores del servidor pueden seguir estos pasos en secuencia:

1) Inventario rápido de activos (Comprobación de la versión)

Inicie sesión en cada servidor o contenedor y confirme si la versión del entorno de ejecución del lenguaje se ve afectada.

- En el caso de PHP, compruebe si la versión en ejecución es anterior a la versión parcheada (consulte la lista a continuación). Nota: Algunas distribuciones de Linux aplican parches a versiones anteriores, por lo que es posible que las versiones anteriores a la 8.2 podrían seguir recibiendo parches. Consulte los anuncios oficiales o los registros de paquetes de su distribución.

- Para Node.js, compruebe si está utilizando una versión afectada de 22.x, 24.x o 26.x.

2) Actualice a una versión parcheada inmediatamente

Actualice su entorno a la versión parcheada correspondiente que se indica a continuación y reinicie el proceso del servicio (como PHP-FPM o la aplicación Node) para borrar la memoria residual:

Versiones de PHP parcheadas:

Serie PHP 8.5: actualiza a la versión 8.5.12 (o posterior)
Serie PHP 8.4: actualiza a la versión 8.4.27 (o posterior)
Serie PHP 8.3: actualiza a la versión 8.3.36 (o posterior)
Serie PHP 8.2: actualiza a la versión 8.2.35 (o posterior)

Versiones de Node.js parcheadas:

Node.js 22.x: actualiza a la versión 22.23.4 (o posterior)
Node.js 24.x: actualiza a la versión 24.22.1 (o posterior)
Node.js 26.x: actualiza a la versión 26.12.1 (o posterior)

Nota: El soporte para Node.js 20 y versiones anteriores ha finalizado. Migre a una versión compatible lo antes posible.

3) Reconstruir contenedores e imágenes

Si utiliza Docker u otros contenedores nativos de la nube, no basta con cambiar la etiqueta; es necesario reconstruir la imagen para garantizar que el entorno de ejecución subyacente se actualice y el servicio se vuelva a implementar.

Compruebe el cortafuegos de aplicaciones web (WAF) o el balanceador de carga de su interfaz para confirmar si están habilitadas las reglas de protección contra el tráfico POST anómalo y los paquetes comprimidos maliciosos.

Lo anterior es solo una descripción general. En casos específicos, el personal técnico debe identificar y eliminar urgentemente los riesgos en función de sus respectivos entornos para mantener la seguridad de la información.