#ciberseguridad#nodejs#nextjs#wordpress#pymes

Vulnerabilidades de octubre 2026: Node.js, Next.js y PHP

chingue code
·
·
7 min de lectura
En este artículo

⚡ Resumen rápido

En octubre salieron tres parches importantes: Next.js (14 de octubre), Node.js y PHP (21 de octubre). Los tres corrigen fallas que, en el peor caso, dejan a un atacante ejecutar código en el servidor de un sitio. Si tu sitio lo cuidamos nosotros, ya está actualizado. Si no, más abajo está lo que tienes que preguntarle a tu proveedor.

Octubre es temporada de sustos, y este año los de verdad no vinieron disfrazados. En una sola semana, las tres tecnologías sobre las que funciona la mayoría de los sitios de PyMEs publicaron parches de seguridad. No hace falta entender cada falla, pero sí saber si alguien actualizó tu sitio.

Toca una sección para abrirla

¿Qué se corrigió en octubre y a quién le afecta?

QuéCuándoLo más graveVersión corregidaAfecta a
Node.js21 de octubre10 fallas; la del descompresor Brotli puede permitir ejecutar código22.23.4, 24.22.1 o 26.12.1Sitios y apps que corren sobre Node.js, incluido Next.js. Node.js 20 ya no recibe el parche
Next.js14 de octubre2 fallas críticas de ejecución remota y 1 que puede botar el sitio16.4.1 o 15.5.28Sitios en Next.js 15 y 16, sobre todo los que corren en servidores propios con Linux
PHP ("php2shell")21 de octubreEjecución remota sin iniciar sesión8.2.35, 8.3.36, 8.4.27 o 8.5.12Todo sitio en PHP: WordPress, WooCommerce y la mayoría de los hostings compartidos

Si tu sitio está hecho con alguna de estas tres tecnologías, y la gran mayoría lo está, alguien tendría que haberlo actualizado durante la semana pasada.

¿Qué es la falla de Node.js y por qué es la más comentada?

Node.js es el motor que hace funcionar muchos sitios modernos: Next.js, por ejemplo, corre sobre él. El 21 de octubre corrigió diez fallas en sus versiones 22, 24 y 26. La que más atención recibió está en el descompresor Brotli, un formato que se usa para enviar datos comprimidos por internet.

Si un sitio descomprime datos Brotli armados por un atacante, Node.js escribe fuera de la memoria que le corresponde. Según el aviso oficial, eso puede botar el proceso, filtrar datos de la memoria o permitir que el atacante ejecute código en el servidor. Las otras fallas tocan la verificación de certificados al conectarse a direcciones IP, la resolución de nombres de dominio y la aleatoriedad de algunos identificadores.

Si tu sitio está en Vercel
Vercel puso reglas en su firewall el mismo 21 de octubre para bloquear la vía de ataque en todos sus proyectos, y aplica el parche en su propio Node.js 22 y 24. Los proyectos que siguen en Node.js 20 tienen que pasar a 22 o 24 y volver a publicarse.
Si tu sitio corre en un servidor propio
hay que instalar Node.js 22.23.4, 24.22.1 o 26.12.1. El firewall de Vercel no protege lo que no pasa por Vercel.
Si usa Node.js 20 o anterior
esas versiones dejaron de recibir parches. Hay que subirla a una versión con soporte.

Node.js está debajo de muchos sitios aunque nunca lo veas. Por eso conviene saber en qué versión corre el tuyo.

¿Qué corrigió Next.js el 14 de octubre?

Next.js publicó una actualización de seguridad fuera de calendario con tres arreglos, en las versiones 16.4.1 y 15.5.28:

Ejecución remota en funciones use cache
(crítica) — afecta a sitios en Next.js 16 que usan Cache Components. No hay forma de mitigarla sin actualizar, y Next.js pide actualizar aunque el sitio no use esa función.
Ejecución remota al optimizar imágenes SVG
(crítica, CVE-2026-96889) — viene de una librería de imágenes y afecta cuando Next.js corre en Linux con glibc. Alcanza desde la versión 10 hasta la 15.5.27, y la línea 16 hasta la 16.4.0. Además de Next.js, la librería sharp tiene que quedar en 0.35.5 o superior.
Caída por saturación con Server Actions
(alta) — una petición armada puede dejar el procesador al 100% y el sitio sin responder. Solo afecta a sitios que usan Server Actions.

⚠️ Advertencia

Next.js mantiene cada versión mayor durante dos años. La 15 salió el 21 de octubre de 2024, así que su ciclo de soporte terminó el 21 de octubre de 2026: la 15.5.28 trae estos parches, pero los próximos no están garantizados. Si tu sitio usa Next.js 15, planifica el paso a la 16.

Un sitio en Next.js no se actualiza solo: alguien tiene que cambiar la versión en el código y volver a publicarlo.

¿Y si mi sitio es WordPress? La falla de PHP

El mismo 21 de octubre, PHP corrigió dos fallas bautizadas php2shell (CVE-2026-109618 y CVE-2026-109619). Permiten ejecutar código en el servidor sin iniciar sesión y afectan a PHP mismo, no a un plugin. Por eso alcanzan a cualquier sitio en WordPress o WooCommerce, por bien que tenga sus plugins al día.

La CISA, la agencia de ciberseguridad de Estados Unidos, pidió parchar de inmediato. Para servidores con PHP 8.1 o anterior, que ya no recibe parches, recomendó desconectarlos hasta actualizarlos. Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12.

En un hosting compartido, PHP lo actualiza el proveedor, no tú. Para ver qué versión tiene tu WordPress, entra a Herramientas → Salud del sitio → Información → Servidor.

Esta falla no depende de lo que hiciste o dejaste de hacer: depende de tu hosting. Por eso hay que preguntar.

¿Qué hicimos con los sitios que cuidamos?

Los sitios que hacemos y cuidamos están en Next.js y se alojan en Vercel. Esto es lo que hicimos:

  1. Next.js al día — entre el 15 y el 22 de octubre los pasamos a 16.4.2 los que van en la línea 16 y a 15.5.28 los que van en la 15. Las dos versiones incluyen los arreglos del 14 de octubre.
  2. La librería de imágenes — todos quedaron con sharp 0.35.5, la versión que corrige la falla de las imágenes SVG.
  3. Node.js — corren en el Node.js que administra Vercel, que recibe el parche sin cambios del lado del sitio y tiene el firewall con las reglas del 21 de octubre. La máquina con la que compilamos y publicamos ya usa Node.js 24.22.1.
  4. PHP — nuestros sitios están hechos en Next.js y no usan PHP, así que php2shell no los alcanza.

Esto es parte del cuidado mensual: cuando sale un parche crítico, la actualización la hacemos nosotros y tú no tienes que pedirla.

Si tu sitio no lo cuidamos nosotros: qué preguntarle a tu proveedor

Pongamos el caso de una botillería de Concepción con su tienda en WooCommerce, en un hosting compartido. Sus plugins están al día porque el dueño los actualiza cada mes, pero el PHP del servidor depende del hosting. Con un correo de cinco líneas sale de dudas. Estas son las preguntas:

  1. ¿En qué está hecho mi sitio? WordPress o WooCommerce (PHP), Next.js (Node.js) u otra plataforma.
  2. Si es WordPress: ¿qué versión de PHP tiene el servidor? Tiene que ser 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior. Si es 8.1 o anterior, hay que subirla.
  3. Si es Next.js: ¿qué versión usa, y qué versión de sharp? Next.js 15.5.28 o 16.4.1 en adelante, y sharp 0.35.5 o posterior.
  4. Si corre en un servidor propio: ¿qué versión de Node.js? 22.23.4, 24.22.1 o 26.12.1. Si sigue en Node.js 20, hay que migrarla.
  5. Pide la respuesta por escrito y con fecha. Si nadie sabe contestar, ese es el dato más importante de todos.

Si no recibes respuesta, o tu sitio ya muestra algo raro, revisa la limpieza de sitios hackeados o la auditoría de seguridad.

¿Qué hacer ahora?

No necesitas aprenderte los números de cada falla. Necesitas saber quién actualiza tu sitio y cuándo lo hizo por última vez. Si la respuesta es "nadie" o "no sé", ese es el riesgo real de esta semana.

Si tu sitio está en WordPress y nadie lo mantiene, podemos hacerte uno nuevo en Next.js e incluir los parches en el cuidado mensual. Si quieres comparar las dos opciones, lee WordPress vs Next.js para una PyME en Chile o escríbenos.

Fuentes

Comparte:

Preguntas frecuentes

¿Mi sitio en WordPress está afectado por php2shell?

Depende de la versión de PHP del servidor, no de tus plugins. Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. En un hosting compartido la actualiza el proveedor: pregúntale y pide que te lo confirme por escrito. Si tu sitio usa PHP 8.1 o anterior, esa versión ya no recibe parches y hay que subirla.

¿Tengo que hacer algo si mi sitio está en Vercel?

Si el proyecto usa Node.js 22 o 24, Vercel aplica el parche de Node en su entorno y desde el 21 de octubre bloquea la vía de ataque en su firewall. Si usa Node.js 20, hay que cambiarlo a 22 o 24 y volver a publicar. La versión de Next.js, en cambio, la tiene que actualizar quien mantiene el código.

¿Qué pasa con Next.js 15 después del 21 de octubre de 2026?

Next.js mantiene cada versión mayor dos años. La 15 salió el 21 de octubre de 2024, así que ese ciclo terminó: la 15.5.28 trae los parches de octubre, pero los próximos no están garantizados. Conviene planificar el paso a Next.js 16.

¿Qué significa «ejecución remota de código»?

Que alguien, desde internet y sin acceso a tu sitio, puede hacer que el servidor ejecute instrucciones suyas. Es el peor tipo de falla: con ella se puede cambiar el sitio, robar datos o usar el servidor para atacar a otros.

¿Los sitios de chingue code ya están actualizados?

Sí. Los sitios que hacemos y cuidamos quedaron en Next.js 16.4.2 o 15.5.28, con la librería de imágenes sharp 0.35.5, y corren en el Node.js que administra Vercel. Como están hechos en Next.js, no usan PHP.

¿Te fue útil este artículo?

Si necesitas ayuda con desarrollo web, ciberseguridad o SEO para tu negocio en Chile, estamos aquí para ayudarte.

Cuéntanos tu proyectoVer más artículos

Sigue leyendo