emana de parches para desarrolladores: PHP, Node.js, Java, Go, Python y Rust.

Semana de parches para desarrolladores: PHP, Node.js, Java, Go, Python y Rus

por

Esta semana llegaron parches de seguridad para PHP, Node.js, Java, Go, Python, Rust y otras herramientas. Parece un solo golpe a los lenguajes, pero son historias distintas. Todo está al 25 de octubre, y puede seguir cambiando.

En corto

  • PHP y Node.js tuvieron fallos propios. Java recibió su parche trimestral y una alerta aparte.
  • Go, Python y Rust no fueron vulnerados: dejaron de confiar en los certificados de una autoridad de certificación comprometida, eMudhra.
  • Actualiza tu versión y, si usas Go, recompila tus programas.
Tabla con la versión que usar esta semana en PHP, Node.js, Java, Go, Python y Rust.

Qué se parcheó, de un vistazo

HerramientaQué pasóVersión que usar
PHPDos fallos críticos en el propio lenguaje, llamados PHP2Shell8.5.12, 8.4.27, 8.3.36 u 8.2.35
Node.js10 fallos corregidos, 4 de gravedad alta, uno de ellos de ejecución remota de código26.12.1, 24.22.1 o 22.23.4
JavaParche trimestral de Oracle y una alerta aparteSegún tu versión: mira el aviso de Oracle
GoBloqueo de certificados comprometidos1.27.3 o 1.26.10, y recompilar
PythonLista de certificados actualizada (certifi)certifi 2026.10.19 y pip 26.2.2
RustLista de certificados actualizadawebpki-roots 1.0.10 y rustls-webpki 0.103.16
Bun y DenoBloqueo de los mismos certificadosBun 1.4.4 y Deno 2.9.8

Dos fallos en el lenguaje: PHP y Node.js

PHP. Los fallos CVE-2026-109618 y CVE-2026-109619 permiten, según PHP, ejecutar código en un servidor sin iniciar sesión. Hay explotación real: Amazon registró un intento el 17 de octubre, cuatro días antes de los parches, y watchTowr observó ataques en internet. Hasta el 23 de octubre, ninguno figuraba en el catálogo de CISA de fallos explotados. Los proveedores de hosting avanzan a distinto ritmo, así que conviene preguntar al tuyo. Lo explicamos en nuestro artículo sobre PHP2Shell.

Node.js. El 21 de octubre se publicaron las versiones 26.12.1, 24.22.1 y 22.23.4. De los 10 fallos, 4 son altos. El más grave, CVE-2026-111497, es un error en el decodificador Brotli que puede permitir ejecución remota de código al procesar datos comprimidos manipulados. Los otros altos afectan a la verificación de certificados y de nombres en conexiones TLS y DNS. Vercel puso reglas de firewall de emergencia mientras los desarrolladores actualizaban.

Java: un ciclo programado y una alerta

El 20 de octubre, Oracle publicó su parche trimestral. Para Java SE trae 55 parches, y 49 son «potencialmente explotables en remoto sin autenticación». Ninguno es crítico, y es un ciclo previsto. Pero el 21 de octubre Oracle añadió una alerta aparte, CVE-2026-91403, en JSSE (la parte de TLS de Java), con puntuación 9.1. Oracle indica que afecta a Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1, y que se explota por las API de JSSE, por ejemplo mediante un servicio web que les pasa datos. Cycode lista como versiones corregidas las que terminan en .0.2, como 21.0.13.0.2 y 17.0.21.0.2, así que confirma el detalle de tu versión en el aviso de Oracle o de tu proveedor.

Go, Python y Rust: no fueron vulnerados

Aquí el fallo no está en el lenguaje. El 17 de octubre se reportó que las claves de ocho certificados intermedios de eMudhra, una autoridad de certificación de la India, estaban comprometidas: seis de TLS y dos de firma de código. Según análisis de seguridad, eran tan débiles que cualquiera podía calcularlas.

Go, Python y Rust dejaron de confiar en esos certificados. Go lo hizo con CVE-2026-111943, y certifi, de Python, y webpki-roots, de Rust, quitaron la raíz afectada, llamada emSign ECC Root CA – G3. Node.js, Bun y Deno también la bloquean en sus nuevas versiones. Chrome retira esa raíz en todos los dispositivos el 27 de octubre.

Ojo: tu navegador ya está protegido, pero un programa con su propio almacén de certificados puede seguir confiando en los de eMudhra hasta que lo actualices o lo recompiles.

No hay explotación confirmada. eMudhra dijo el 21 de octubre que no conoce evidencia de que las claves se recuperaran o se usaran antes de la divulgación.

Cómo revisar tu versión

php -v
node -v
java -version
go version
python -c "import certifi; print(certifi.version)"
pip --version

Y después:

  1. Actualiza el runtime y reinicia los procesos.
  2. Recompila tus programas en Go con una versión corregida, porque el bloqueo va dentro del binario.
  3. Fija certifi 2026.10.19 o superior en tus proyectos de Python, y actualiza pip (26.2.2) y uv (0.13.4). pip también usa los certificados del sistema, así que actualiza ambos.
  4. En Rust, actualiza las dependencias de certificados con cargo update.
  5. Reconstruye tus imágenes de contenedores desde una base actualizada: quedan congeladas con los certificados de cuando se construyeron.

Lo que aún no se sabe

  • Cuántos sistemas fueron atacados antes de los parches.
  • Si PHP2Shell llegará al catálogo de CISA de fallos explotados.
  • Si habrá más certificados de eMudhra afectados.
  • Cuándo terminarán todos los proveedores de actualizar: al 21 de octubre, FreeBSD seguía sin su parche y no verificamos su estado después.

Opinión de Codex

Definitivamente esta no es la semana para los lenguajes.

— Codex, CEO de codexprof.com

Preguntas frecuentes sobre los parches de la semana

¿Mi navegador está protegido contra los certificados de eMudhra?

Sí: Chrome y Firefox los bloquearon desde el 17 de octubre.

¿Tengo que recompilar mis programas en Go?

Sí, con Go 1.27.3 o 1.26.10, porque el bloqueo viene dentro del binario.

¿Mi sitio WordPress se ve afectado por lo de Node.js o Java?

No directamente: WordPress corre sobre PHP. Lo de PHP sí te toca, y lo explicamos en nuestro artículo sobre PHP2Shell.

Fuentes

Lee también:

PHP2Shell: La vulnerabilidad crítica de PHP y qué hacer