PHP, GitLab (gravedad 10), LiteLLM envenenado, Railway con secretos descifrados, certificados con clave 4 y…
Semáforo de la peor semana de la web: qué se ha resuelto, qué sigue abierto y qué ha empeorado, frente a frente
Parte de situación · Jueves 23 de octubre de 2026 · Datos a mediodía
Ha sido la peor semana de seguridad que se recuerda en la web, y todavía es jueves. En siete días han coincidido dos fallos críticos en PHP, un tercero sin parche anunciado esta mañana, un agujero de gravedad máxima en GitLab con doce años de antigüedad, una librería de IA envenenada, una plataforma de despliegue con los secretos de sus clientes al aire, una autoridad de certificación que cierra el negocio, 400.000 WordPress expuestos, 27.000 servidores japoneses apagados y un banco con 80 millones de clientes medio día sin tarjetas por un apagón en Londres. Este artículo no cuenta qué pasó, eso ya lo hicimos. Cuenta cómo está cada cosa ahora mismo, qué se ha resuelto, qué sigue abierto y qué ha empeorado desde que lo contamos.
Diez frentes, un semáforo
Tres en verde, cuatro en ámbar, tres en rojo. Y una fecha marcada: el lunes 27, Chrome deja de confiar en eMudhra.
El semáforo de la semana
| Frente | Estado | Qué ha cambiado desde que lo contamos | Qué falta |
|---|---|---|---|
| Google Cloud / Revolut | 🟢 Resuelto | Google cifra el incidente en 7 horas y 52 minutos; servicios restablecidos el martes por la tarde | El informe post-incidente de Google y la respuesta a los reguladores europeos |
| Railway | 🟢 Operativo, con reservas | Despliegues reanudados hoy en todos los planes; los tokens antiguos siguen invalidados | Cifra de afectados, causa raíz y reapertura de registros |
| eMudhra | 🟢 Cerrado, literalmente | La empresa abandona el negocio de certificados TLS; Mozilla ya no confía en su raíz | Chrome retira la confianza el lunes 27; quien tenga sus certificados debe sustituirlos antes |
| PHP (php2shell) | 🟡 En curso | Millones de intentos, botnet Mirai “Potassium” intentando colarse, código que esquiva ASLR; cero brechas confirmadas | 758.000 servidores sin parche posible; CISA aún no lo lista como explotado |
| GitLab | 🟡 Sin explotación conocida | Parche disponible desde el martes; un supuesto exploit público resultó ser del fallo anterior | Los analistas esperan escaneos masivos en días |
| UpdraftCentral | 🟡 Ataques activos | Versión corregida 1.26.13 que revoca las claves; 99 plugins maliciosos catalogados | Ninguna cifra de sitios realmente comprometidos; los ya infectados siguen en riesgo tras revocar |
| LiteLLM | 🟡 Rotación en marcha | Paquete e imágenes retirados; el proyecto revoca “cada token de la organización” | “No sabemos cómo se comprometió el entorno de build”, dice el propio proyecto |
| PHP (CVE-2026-115560) | 🔴 Nuevo y sin parche | Tercer fallo en la misma función, anunciado hoy; se corregirá en el ciclo normal | Versiones afectadas, gravedad y ficha completa |
| Onamae Desktop Cloud | 🔴 Apagado | Nada: 26.739 servidores siguen parados desde la madrugada del martes | Fecha de restauración y explicación de cómo entraron |
| Plex2Shell | 🔴 Plazo vencido hoy | CISA exigía parche o mitigación a las agencias federales antes de hoy; mineros ya desplegados | Que los servidores domésticos expuestos hagan lo mismo que las agencias |
En verde: lo que se ha cerrado
Google Cloud y Revolut: el banco volvió, las preguntas no
Google ha fijado la duración oficial del incidente de su zona londinense europe-west2-b en 7 horas y 52 minutos, desde las 07:08 hora británica del martes 20, con recuperación efectiva a las seis horas. Revolut restableció los más de treinta servicios caídos a lo largo de la tarde. Lo que no se ha cerrado es la parte regulatoria: los supervisores financieros europeos han pedido explicaciones a Google, y conviene recordar que Reino Unido designó a Google Cloud como “tercero crítico” del sector financiero en julio, bajo supervisión del Banco de Inglaterra y la FCA. Google ha prometido un análisis en su panel de estado. A día de hoy, la explicación oficial sigue siendo tres palabras: “un evento de energía”.
Railway: despliegues en marcha, cifras en blanco
La plataforma ha reanudado hoy los despliegues en todos sus planes, de Enterprise a Free, tras dos días parada. Los tokens creados antes del incidente siguen invalidados y hay que generarlos de nuevo; las tareas programadas que no se ejecutaron correrán en su siguiente turno. Los registros de nuevos usuarios siguen suspendidos. Railway no ha dicho cuántos clientes se vieron afectados, qué credenciales exactas se descifraron ni cómo entró el intruso. Mantiene el consejo de rotar todos los secretos sin esperar al correo de confirmación. El robo de criptomonedas asociado, unos 371.000 dólares en 19 redes, sigue sin desmentir.
eMudhra: la autoridad de certificación que cierra la persiana
El consejo de eMudhra decidió ayer, de forma “voluntaria”, abandonar el negocio global de certificados SSL/TLS, cinco días después de que un investigador recuperara las claves privadas de ocho de sus certificados intermedios probando 256 números. Mozilla ya ha retirado la raíz afectada de Firefox. Chrome dejará de confiar en la raíz emSign ECC G3 el lunes 27 de octubre por la mañana, hora del Pacífico, y Google ha dicho a los operadores que “deben adquirir e instalar de inmediato un certificado de otra jerarquía”. Las raíces RSA G1 de eMudhra siguen siendo de confianza de momento. Si alguna web tuya tiene un certificado de eMudhra, tiene cuatro días.
En ámbar: abierto, sin daño confirmado
php2shell: millones de intentos y una botnet llamando a la puerta
Cloudflare mantiene su cifra de millones de intentos de explotación acumulados desde el martes. Sophos ha detectado que los atacantes intentan usar php2shell para instalar Potassium, una variante de la botnet Mirai capaz de descargar más malware y lanzar ataques de denegación de servicio; los intentos, dice, han fracasado en su mayoría. Sophos llegó a afirmar que había visto una explotación exitosa en un cliente y luego lo retiró. Amazon sitúa los primeros intentos el 17 de octubre, cuatro días antes del parche. Ya circula código que esquiva la aleatorización de memoria. El consenso sigue siendo cero brechas confirmadas, y los dos CVE siguen fuera del catálogo de vulnerabilidades explotadas de CISA. Los 758.000 servidores en versiones sin soporte siguen exactamente donde estaban.
GitLab: el fallo de gravedad 10 espera a los escáneres
El parche para CVE-2026-110264 lleva disponible desde el martes en las versiones 19.5.1, 19.4.3, 19.3.6 y los retroportes a ramas anteriores. Ni GitLab ni CISA han registrado explotación en la naturaleza. Un repositorio de GitHub que se presentaba como exploit resultó, según su propio archivo de instrucciones, implementar el fallo anterior del 12 de octubre. La valoración de los analistas es unánime: es cuestión de días que empiecen los escaneos en busca de instancias autogestionadas sin actualizar, y el fallo afecta a todas las versiones desde 2014. Quien tenga un GitLab propio y no haya actualizado está jugando contra reloj con la ventaja de que, por ahora, nadie dispara.
UpdraftCentral: 400.000 expuestos, ninguno contado
TeamUpdraft publicó la versión 1.26.13 de UpdraftPlus (2.26.13 en la Premium), que revoca las claves de conexión comprometidas; la versión anterior tenía un error que impedía borrarlas. Patchstack mantiene su estimación de unas 400.000 webs con clave expuesta y 99 plugins maliciosos distintos, instalados sobre todo el 18 y el 19 de octubre con comandos correctamente cifrados y firmados con claves legítimas. Nadie ha publicado un recuento de sitios realmente comprometidos, y hay un matiz que conviene subrayar: revocar las claves corta la puerta de entrada, pero no expulsa a quien ya entró. Las webs que recibieron un administrador nuevo esa semana lo siguen teniendo hasta que alguien lo borre.
LiteLLM: rotando todo sin saber todavía cómo entraron
El paquete 1.107.0 fue retirado de PyPI y las imágenes maliciosas de Docker Hub; la última versión segura es la 1.106.2. El proyecto está identificando y revocando “cada token de autenticación de la organización”, trabajo en curso, no terminado. Lo más inquietante es una frase de su propio seguimiento público: “no sabemos cómo se comprometió el entorno de construcción ni la credencial de publicación”. Se sabe que los atacantes usaron las cuentas de GitHub de tres ingenieros, probablemente con tokens OAuth robados, y un repositorio clon con nombre casi idéntico. No hay recuento de víctimas. Para quien instaló esa versión, el consejo no ha cambiado: aislar, reconstruir y rotar, incluida la tabla de credenciales de la base de datos de LiteLLM.
En rojo: lo que está peor que hace tres días
PHP, tercer aviso: CVE-2026-115560, sin parche
Esta mañana PHP ha publicado un aviso informativo sobre un tercer fallo en la misma función que ya protagonizó php2shell, el progreso de subida de sesión. CVE-2026-115560 permite ejecución remota de código, pero solo bajo una combinación que el proyecto califica de “inusual e improbable en la práctica”: la configuración fija el manejador de serialización de sesión en php_binary o php_serialize, la aplicación lo cambia a php en tiempo de ejecución con ini_set() antes de iniciar la sesión, y el progreso de subida sigue activo. No hay parche de emergencia ni habrá: se corregirá en el ciclo normal, y la ficha completa, con versiones y gravedad, llegará entonces. Las versiones del martes no lo corrigen. La mitigación es la misma línea que ya se recomendó entonces, session.upload_progress.enabled=0, aplicada en php.ini o en la configuración del servidor, nunca vía ini_set(). CERT-EU ya ha actualizado su aviso. Traducido: la mitigación “provisional” del martes acaba de convertirse en la configuración por defecto recomendada hasta nuevo aviso.
Onamae Desktop Cloud: 26.739 servidores, tercer día apagados
Es el incidente más grave del que menos se habla. GMO Internet apagó progresivamente todos los servidores virtuales de su servicio Desktop Cloud desde las cuatro de la madrugada del martes, tras encontrar programas maliciosos instalados en entornos de clientes. Hoy jueves siguen apagados. No hay fecha de restauración, no se ha explicado cómo entraron los atacantes y no se ha confirmado ni descartado una fuga de datos. El servicio se usa sobre todo para trading automatizado de divisas, así que miles de operadores llevan tres días con sus robots de inversión parados. La única buena noticia oficial es que los datos de pago viven en otra infraestructura.
Plex2Shell: hoy vencía el plazo de CISA
La agencia estadounidense dio a las agencias federales hasta hoy, 23 de octubre, para parchear o mitigar la cadena de cuatro fallos en Plex Media Server. El exploit es público desde el 19, los mineros de criptomonedas llevan en servidores Plex desde el 17, y la versión corregida existe desde agosto. El plazo federal no aplica al Plex de tu salón, pero el exploit sí. Si está expuesto a internet y no se ha actualizado desde el verano, no hay nada que esperar: ya es tarde.
Lo que se ha resuelto esta semana son los servicios. Lo que sigue abierto son las preguntas: cómo entraron, a cuántos afectó y por qué nadie lo vio antes.
Balance provisional, jueves 23 de octubre
Y lo nuevo de hoy, por si faltaba algo
La semana no ha terminado de añadir frentes. Solo en las últimas 24 horas: Arista ha avisado de un zero-day explotado activamente en su orquestador VeloCloud, una inyección SQL de gravedad 9,9 que convierte a un usuario de solo lectura en operador. Se han publicado en listas de correo dos fallos de ejecución remota de gravedad 9 en el servidor SMB del núcleo de Linux, sin parche todavía en la rama principal. Group-IB documenta una campaña contra cortafuegos y VPN corporativas de Fortinet y Palo Alto que ha expuesto más de 70.000 credenciales. La librería Pillow de Python, la de procesar imágenes, tiene un fallo crítico que ejecuta comandos a partir de una imagen EPS manipulada, corregido en la versión 13.0.0. Y los investigadores de Imperva han demostrado Node2Shell, ejecución de código en una imagen oficial de Node.js mediante datos Brotli, corregido en la 24.22.1. Ninguno de ellos tiene aún la escala de php2shell. Todos tienen el mismo patrón: software base, enorme superficie, parche disponible y una ventana de días para aplicarlo.
Qué hacer con este parte
- Hoy: comprobar la versión de PHP y aplicar la línea del progreso de subida aunque hayas parcheado el martes. Actualizar GitLab si es autogestionado. Sustituir cualquier certificado de eMudhra antes del lunes.
- Esta semana: auditar los WordPress con UpdraftPlus en busca de administradores y plugins nuevos desde el 18 de octubre, no solo actualizar. Rotar secretos en Railway y en cualquier canalización que haya tocado LiteLLM el martes. Actualizar o desconectar Plex.
- Mientras tanto: no fiarse de “resuelto”. Revolut funciona, Railway despliega y eMudhra cierra, pero ninguno de los tres ha explicado todavía qué falló. La semana que viene volveremos a mirar el semáforo.
