RCE críticos en PHP y GitLab, además de la vulneración de la CA eMudhra

La semana del 20 de octubre de 2026 trajo consigo una oleada de incidentes de seguridad críticos que afectaron a componentes de software ampliamente utilizados. La Fundación PHP y GitLab lanzaron parches urgentes para vulnerabilidades que permitían la ejecución remota de código sin autenticación, mientras que la autoridad de certificación india eMudhra cesó sus operaciones después de que se comprometieran sus claves privadas. Estos eventos ponen de manifiesto la fragilidad tanto del código de las aplicaciones como de la infraestructura de confianza que asegura las comunicaciones web.

Qué ocurrió

Dos vulnerabilidades graves en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, fueron divulgadas bajo el nombre PHP2Shell. Estos fallos permiten a los atacantes ejecutar código arbitrario en servidores sin necesidad de autenticación. Tras la divulgación pública, Cloudflare informó haber detectado millones de intentos de escaneo dirigidos a estas debilidades. Aunque aún no se ha confirmado ninguna explotación exitosa, el gran volumen de sondeos y la ubicuidad de PHP llevaron a algunos operadores de sitios web a tomar sus servicios fuera de línea temporalmente como medida de precaución.

Simultáneamente, el modelo de confianza para los certificados HTTPS sufrió un golpe significativo. Se descubrió que ocho certificados de CA intermedios de eMudhra utilizaban claves privadas críticamente débiles, lo que los hacía susceptibles a la falsificación. Esta vulneración significaba que los atacantes podrían emitir potencialmente certificados válidos para cualquier dominio, habilitando ataques de intermediario (man-in-the-middle). En respuesta, navegadores importantes como Safari de Apple comenzaron a bloquear automáticamente los certificados afectados. Python también actualizó varios paquetes, incluidos certifi y pip, para eliminar la raíz emSign comprometida de eMudhra de sus conjuntos de confianza. Como consecuencia, eMudhra anunció su salida del negocio de emisión de certificados.

Otros incidentes notables incluyeron el descubrimiento de Plex2Shell, una cadena de cuatro vulnerabilidades en Plex Media Server explotada activamente para desplegar mineros de criptomonedas. GitLab parcheó un fallo crítico de desbordamiento de enteros, CVE-2026-110264, con una puntuación CVSS perfecta de 10.0, que podría permitir la ejecución de código sin autenticación. Además, un ataque a la cadena de suministro contra LiteLLM fue rastreado hasta una clave maestra filtrada en GitHub, resultando en una versión maliciosa del paquete que robaba credenciales e instalaba puertas traseras.

Detalles clave

• Las vulnerabilidades PHP2Shell (CVE-2026-109618, CVE-2026-109619) provocaron millones de escaneos, pero aún no hay exploits exitosos confirmados.
• eMudhra salió del mercado de certificados TLS después de que claves privadas débiles permitieran la posible falsificación de certificados de confianza.
• Apple y Python actualizaron sus sistemas para bloquear o eliminar los certificados raíz emSign comprometidos de eMudhra.
• GitLab corrigió CVE-2026-110264, un fallo crítico de ejecución remota de código con una puntuación CVSS de 10.0, en varias versiones recientes.
• Las vulnerabilidades de Plex Media Server están siendo explotadas activamente en la naturaleza para instalar mineros y software proxy.
• Una fuga de la clave maestra de LiteLLM condujo a un ataque a la cadena de suministro donde el código malicioso se ejecutaba automáticamente al iniciar Python.

Contexto

La Ejecución Remota de Código (RCE) es uno de los tipos más peligrosos de vulnerabilidades de seguridad. Permite a un atacante ejecutar comandos arbitrarios en un servidor, dándole efectivamente control total sobre el sistema. Cuando una RCE es sin autenticación, significa que el atacante no necesita un nombre de usuario ni una contraseña para explotarla, lo que la hace particularmente grave. Por esta razón, fallos como PHP2Shell y el desbordamiento de enteros de GitLab se tratan con extrema urgencia.

Las Autoridades de Certificación (CA) son entidades de confianza que emiten certificados digitales para verificar la identidad de los sitios web. Los navegadores y sistemas operativos mantienen una lista de CAs raíz de confianza. Si la clave privada de una CA es débil o está comprometida, los atacantes pueden crear certificados falsos que los navegadores aceptarán como válidos. Esto rompe el modelo de cifrado y confianza de HTTPS, permitiendo a los atacantes interceptar y modificar el tráfico entre usuarios y sitios web sin desencadenar advertencias de seguridad.

Por qué importa

Para los equipos que ejecutan software autoalojado, las vulnerabilidades de PHP y GitLab representan riesgos operacionales inmediatos. Muchas herramientas internas, paneles de control y pipelines de desarrollo dependen de estas plataformas. Una RCE sin autenticación significa que si tu servidor está expuesto a internet, aunque sea brevemente, podría verse comprometido antes de que tengas la oportunidad de parchearlo. El alto volumen de actividad de escaneo indica que los bots automatizados ya están buscando instancias vulnerables, reduciendo la ventana de seguridad para los sistemas sin parchear.

La vulneración de eMudhra destaca un riesgo de dependencia que a menudo se pasa por alto. Incluso si tu propia infraestructura es segura, dependes de CAs de terceros para obtener certificados TLS válidos. Cuando una CA importante es comprometida, puede interrumpir servicios si los navegadores bloquean sus certificados, o peor aún, exponer a los usuarios a sofisticados ataques de interceptación. Para los gerentes de TI, esto subraya la necesidad de monitorear no solo tus propios certificados, sino también el estado de confianza de los emisores mismos.

Los ataques a la cadena de suministro, como el que afectó a LiteLLM, demuestran que las vulnerabilidades pueden entrar en tu entorno a través de dependencias que no escribiste directamente. Una sola clave filtrada puede comprometer a miles de usuarios downstream. Esto hace esencial verificar la integridad de los paquetes y gestionar los secretos rigurosamente, especialmente en herramientas de IA y desarrollo donde las claves API son comunes.

Qué puedes hacer

• Actualiza PHP a la última versión parcheada inmediatamente para mitigar las vulnerabilidades PHP2Shell.
• Actualiza GitLab a una de las versiones corregidas (por ejemplo, 19.5.1, 19.4.3) para abordar el fallo crítico de RCE.
• Comprueba si tus sistemas confían en los certificados de eMudhra o emSign y elimínalos de tus almacenes de confianza si están presentes.
• Audita tus instalaciones de Plex Media Server y aplica parches para prevenir la explotación activa mediante Plex2Shell.
• Rota cualquier clave API o secreto almacenado en LiteLLM o plataformas similares si eran accesibles antes del 21 de octubre de 2026.
• Monitorea tu tráfico de red saliente en busca de conexiones inusuales que puedan indicar un servidor comprometido enviando datos hacia afuera.