Seguridad en octubre de 2026

11 enlaces

• Aviso de seguridad de PHP: actualiza ya a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 — El anuncio oficial de PHP2Shell: dos vulnerabilidades con CVSS 9.2 que permiten ejecutar código sin autenticarse. Si sigues en 8.1 o anterior, no hay parche. #154
• Volker Dusch explica cómo se encontraron, corrigieron y filtraron los fallos — La entrevista más completa de la semana sobre lo que pasó dentro de la PHP Foundation, incluido el embargo roto. #154
• La PHP Foundation cuenta qué va a cambiar en seguridad — Lecciones del incidente y las medidas que vienen para que la próxima vez el proceso aguante mejor. #154
• Millones de intentos de explotación para desplegar una variante de Mirai — De momento sin éxito, pero la ventana entre parche y ataque masivo se ha medido en horas, no en semanas. #154
• Alguien intentó explotar PHP2Shell cuatro días antes de que se publicara — Amazon detectó intentos contra sus honeypots el 17 de octubre: las vulnerabilidades circulaban antes del anuncio. #154
• Cloudflare desplegó reglas de WAF contra PHP2Shell antes del anuncio — Reglas activadas por defecto que usan señales de la petición y de la respuesta para cortar los intentos de explotación. #154
• Nuevos paquetes de PHP para Windows por el fallo de Brotli (HTTP2Shell) — 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1 incluyen Brotli 1.2.1, que corrige CVE-2026-111497. En Windows el descompresor vulnerable se alcanza a través de cURL si activas la descompresión automática de respuestas. #154
• Tu web de WordPress.com, protegida sin que tengas que hacer nada — Los sitios de WordPress.com ya estaban cubiertos antes de que el parche fuera público. #154
• El aviso de WordPress.org en español — Qué revisar en tu instalación y cómo comprobar la versión de PHP que ejecuta tu servidor. #154
• Brecha en TeamUpdraft: usan claves de UpdraftCentral para colar puertas traseras — Si usas UpdraftCentral, UpdraftVault o UpdraftClone, regenera las claves de conexión y revisa tus sitios. #154
• Freelandev #365: lidiando con PHP2Shell — Esther y Nahuai, en español, sobre una semana de revisar versiones, actualizar y migrar hostings de clientes. #154