Hub editorial · Actualizado
Octubre Negro: qué deben revisar las empresas en Chile
Entre el 12 y el 21 de octubre de 2026 se publicaron fallas críticas en PHP, Node.js y Java, además de cinco en nginx. Esta guía reúne qué es cada una, a quién afecta y qué hacer, con enlace a la fuente primaria en cada dato.
¿Qué significa «octubre negro»?
Es la etiqueta de la prensa para la seguidilla de fallas críticas publicadas en pocos días de octubre de 2026. La de mayor alcance es PHP2Shell, que permite ejecutar código sin iniciar sesión en servidores con PHP sin parchar.
¿Es verdad que afecta al 70% de internet?
No exactamente. Esa cifra se refiere a PHP: según W3Techs está en el 69,3% de los sitios cuyo lenguaje de servidor se puede identificar. Usar PHP no significa que tu sitio esté comprometido ni que sea explotable, y hasta el 23 de octubre las fuentes públicas no confirmaban una ola de ataques exitosos comparable al volumen de intentos. Node.js, nginx y Java tienen fallas serias, pero con alcance distinto.
La serie
Cinco artículos técnicos y un checklist
Cada artículo sigue el mismo orden: respuesta corta, a quién afecta, cómo comprobar, cómo corregir y qué hacer si no puedes actualizar.
PHP2Shell y WordPress: qué revisar en tu sitio
Dos fallas críticas de PHP permiten ejecutar código sin autenticación. Qué significa para tu WordPress y cómo comprobar el servidor.
- PHP
- WordPress
- CVE-2026-109618
- CVE-2026-109619
Node.js Brotli (Node2Shell): cómo saber si te afecta
Falla en el decodificador Brotli de Node.js 22, 24 y 26. Versiones corregidas y cómo comprobar servidores, contenedores e imágenes base.
- Node.js
- Brotli
- CVE-2026-111497
- Contenedores
nginx: cinco fallas de octubre y cómo parchar
nginx 1.31.7 y 1.30.6 corrigen cinco fallas, tres de ellas críticas. Cómo saber si tu configuración queda expuesta y qué actualizar primero.
- nginx
- CVE-2026-15176
- Hardening
Java CVE-2026-91403: alerta de Oracle y cómo actualizar
Oracle publicó una alerta fuera de ciclo por una falla crítica en JSSE. Versiones afectadas de Java y qué revisar en tu servidor.
- Java
- Oracle
- CVE-2026-91403
- TLS
Riesgo de no parchar: con IA el ataque llega en horas
Los ataques a servidores sin parchar ahora se miden en horas. Qué muestran PHP2Shell y el ransomware de 2026, y cómo reducir el riesgo en una pyme.
- Ransomware
- Parches
- Agentes de IA
- Pymes
Checklist de seguridad web
Ocho tareas para cerrar la semana: inventario, versiones con soporte, parches con respaldo, cuentas, respaldos probados y registro de cada acción.
- Inventario
- Parches
- Accesos
- Respaldos
Línea de tiempo
Qué pasó y en qué orden
- 14 octnginx publica 1.31.7 y 1.30.6 con cinco correcciones de seguridad.
- 17 octAWS detecta intentos de explotación de PHP2Shell, cuatro días antes del parche.
- 20 octSe filtran detalles de PHP2Shell; Oracle publica su actualización trimestral con 1.295 parches.
- 21 octPHP publica 8.5.12, 8.4.27, 8.3.36 y 8.2.35; Node.js publica 22.23.4, 24.22.1 y 26.12.1; Oracle emite alerta para Java.
- 22 octAparece una prueba de concepto pública contra Node.js; solo logró ejecución de código en una compilación debilitada.
- 23 octPHP avisa de una tercera falla, CVE-2026-115560, con mitigación temporal; no se reportó explotación.
Cómo mantenemos esta guía
Esta guía se mantiene como contenido vivo. Antes de publicar cada alerta:
- Verificamos con el aviso oficial del fabricante o autoridad competente.
- Registramos fecha de publicación y fecha de revisión.
- Identificamos versiones afectadas y corregidas desde la fuente primaria.
- Explicamos si afecta PHP, WordPress, un plugin o un producto distinto.
- Añadimos acciones defensivas proporcionadas.
- Atribuimos un compromiso sólo cuando hay evidencia, nunca por usar una tecnología afectada.
Cada artículo muestra su fecha real de última revisión y enlaces a las fuentes utilizadas. La fecha corresponde a la última verificación efectiva del dato.
Siguiente paso
¿Revisamos si estás expuesto?
Podemos revisar la versión de PHP, nginx, Node.js y Java de tus servidores, y priorizar los parches por exposición real.