Vulnerabilidades Críticas RCE en PHP (CVE-2026-109618 y CVE-2026-109619) y Node.js: Cómo Proteger tu Empresa y Migrar a Versiones Seguras

El equipo de seguridad de WebRedes emite una alerta urgente para todas las empresas, instituciones y administradores de sistemas en Chile: se han divulgado dos vulnerabilidades críticas de Ejecución Remota de Código (RCE) de máximo impacto en el motor de PHP (catalogadas oficialmente como CVE-2026-109618 y CVE-2026-109619), sumadas a vulnerabilidades severas de memoria y permisos en entornos de Node.js.

1. Análisis Técnico de las Vulnerabilidades Críticas

A. CVE-2026-109618: RCE mediante Corrupción por Falta de Memoria (OOM)

Este grave fallo de seguridad se produce cuando un atacante provoca intencionalmente situaciones de falta de memoria (Out-Of-Memory / OOM) para interrumpir abruptamente el flujo de ejecución de PHP:

• Datos iniciados parcialmente: Durante una solicitud HTTP entrante especialmente diseñada, la memoria se agota mientras las estructuras de datos internas de PHP solamente han sido inicializadas a medias.
• Tratamiento indebido en el recolector/limpieza: Cuando el ciclo de finalización o limpieza de la solicitud entra en acción para liberar los recursos, trata erróneamente esos datos parciales como si fuesen punteros y estructuras completamente válidas.
• Impacto: Esta confusión genera una corrupción directa del mapa de memoria del proceso, abriendo la puerta a que el atacante secuestre el flujo del programa y consiga Ejecución Remota de Código (RCE).

B. CVE-2026-109619: RCE mediante Estado Global Obsoleto (Stale Global State en Workers)

En arquitecturas de alto rendimiento (como PHP-FPM o entornos donde los procesos de trabajo se reutilizan para atender múltiples peticiones consecutivas), este fallo de seguridad representa un riesgo letal:

• Persistencia de estado en memoria liberada: Un estado interno asociado a una petición específica puede persistir en variables o registros globales incluso después de que la memoria haya sido formalmente liberada.
• Reutilización por el mismo Worker: Una solicitud posterior —gestionada por el mismo proceso de trabajo o worker— puede acceder y usar dicho estado obsoleto antes de que la rutina de inicialización estándar del nuevo ciclo lo reestablezca limpiamente.
• Impacto: Permite evasión de mecanismos de aislamiento, fuga de datos confidenciales entre usuarios y control de punteros en memoria para lograr RCE sin credenciales.

C. Vulnerabilidades en el Ecosistema Node.js

Paralelamente, los servidores y APIs construidos sobre Node.js han sido impactados por vulnerabilidades de corrupción de memoria en flujos comprimidos (desbordamientos en decodificadores internos como Brotli), fallas de inyección de comandos en llamadas a procesos (`child_process`), y el fin de vida (EOL) de ramas como Node.js 18 y 20, que ya no reciben parches oficiales contra fugas en el motor V8.

2. La Garantía de WebRedes: Todos Nuestros Hostings Operan en Versiones Superiores

En WebRedes la seguridad perimetral y la continuidad operativa son la piedra angular de nuestros servicios. Queremos transmitir total tranquilidad a nuestros clientes:

3. ¿Tu Aplicación Depende de Código Antiguo? Te Ayudamos a Migrarla a Nuevas Versiones

Muchas empresas en Chile continúan usando versiones vulnerables u obsoletas (como PHP 7.4, 8.0 u 8.1 no parchado) por el temor comprensible de que al subir de versión su aplicación, tienda online o sistema de facturación deje de funcionar por funciones en desuso (deprecated).

En WebRedes te ayudamos a solucionarlo de forma definitiva:

1. Diagnóstico y Auditoría de Compatibilidad: Revisamos el código fuente de tu app, temas, plugins de WordPress o dependencias de composer / npm para detectar incompatibilidades antes de realizar cualquier cambio.
2. Entorno Staging Seguro: Levantamos una copia idéntica de tu plataforma en un entorno de pruebas con PHP 8.3/8.4 o Node.js 22 LTS para validar exhaustivamente cada flujo (pagos, formularios, reportes contables).
3. Refactorización y Actualización Asistida: Nuestros ingenieros corrigen las llamadas obsoletas, actualizan módulos y adaptan tu código para que funcione de manera impecable y veloz en la nueva versión.
4. Migración Sin Pérdida de Ventas (Cero Downtime): Coordinamos el paso a producción fuera del horario comercial, trasladando tu base de datos y archivos sin que tus clientes noten interrupciones.

4. En WebRedes Te Ayudamos a Solucionarlo Hoy Mismo

No dejes que tu negocio sea víctima de un secuestro de datos por fallas de seguridad conocidas. Si tienes dudas sobre qué versión utiliza tu servidor actual o necesitas parchar tu infraestructura de emergencia, nuestro equipo de ingenieros en Chile está disponible para asesorarte de inmediato.