[{"data":1,"prerenderedAt":383},["ShallowReactive",2],{"blog-2026-10-26-octubre-negro":3,"blog-surrounding-2026-10-26-octubre-negro":374},{"id":4,"title":5,"body":6,"created":354,"date":355,"description":356,"draft":357,"extension":358,"image":359,"meta":362,"modified":354,"navigation":363,"path":364,"seo":365,"stem":366,"tags":367,"__hash__":373},"blog\u002Fblog\u002F2026-10-26-octubre-negro.md","Octubre Negro: la semana en que se rompió la confianza en internet",{"type":7,"value":8,"toc":344},"minimark",[9,14,18,29,47,50,61,67,74,78,81,90,93,96,102,108,121,124,130,136,140,143,146,173,176,180,249,253,270,273,277],[10,11,13],"h2",{"id":12},"_1-el-candado-del-https-el-caso-emudhra","1. El candado del HTTPS: el caso eMudhra",[15,16,17],"p",{},"Cuando entras a un sitio con \"https\" y ves el candado, tu navegador confía en que el sitio es quien dice ser. Esa confianza la dan las autoridades certificadoras: empresas que funcionan como notarios de internet y firman un \"certificado\" para cada sitio.",[15,19,20,21,28],{},"eMudhra es una de esas autoridades, con sede en India. El 17 de octubre un investigador ",[22,23,27],"a",{"href":24,"rel":25},"https:\u002F\u002Fthehackernews.com\u002F2026\u002F10\u002Femudhra-to-exit-global-ssltls-business.html",[26],"nofollow","reportó"," que las claves privadas de 8 de sus certificados intermedios eran absurdamente débiles. Debían ser números gigantes y aleatorios; las ocho eran menores a 256. Adivinarlas tomaba segundos.",[15,30,31,35,36,41,42,46],{},[32,33,34],"strong",{},"Por qué importa."," Con esas claves, ",[22,37,40],{"href":38,"rel":39},"https:\u002F\u002Fblog.cloudflare.com\u002Femudhra-certificate-compromise\u002F",[26],"explica Cloudflare",", un atacante puede fabricar un certificado falso para cualquier dominio. Así puede hacerse pasar por un sitio legítimo y leer o alterar lo que viaja entre tú y él. A esto se le llama ataque de intermediario (",[43,44,45],"em",{},"man-in-the-middle","): alguien se mete en medio de la conversación sin que lo notes.",[15,48,49],{},"Piénsalo así: es como si alguien se robara el sello de un notario. Con él puede \"certificar\" cualquier documento falso.",[15,51,52,55,56,60],{},[32,53,54],{},"Lo que ya se hizo."," Mozilla dejó de confiar en esa raíz de eMudhra en Firefox el 20 de octubre. Chrome bloqueó los certificados en horas y retirará la raíz completa a partir del 27 de octubre. Google dice que no había certificados de sitios emitidos con esas claves en los registros públicos. eMudhra anunció el 22 de octubre que ",[22,57,59],{"href":24,"rel":58},[26],"saldrá del negocio global de certificados web",".",[15,62,63,66],{},[32,64,65],{},"Nuestra lectura (interpretación, no dato):"," los navegadores se arreglan con una actualización automática. El riesgo que queda está en lo que casi nadie actualiza: módems, routers, cámaras de vigilancia, terminales punto de venta y otros aparatos conectados. Muchos llevan años sin recibir una actualización y conservan su lista de \"notarios confiables\" tal como salió de fábrica.",[15,68,69],{},[70,71],"img",{"alt":72,"src":73},"Diagrama de la cadena de confianza del HTTPS en tres niveles: autoridad raíz, certificado intermedio y certificado del sitio. El nivel intermedio está marcado como comprometido y de él cuelga también un certificado falso. Abajo: el navegador actualizado lo bloquea; el router sin actualizar confía en él","\u002Fimages\u002Fblog\u002F2026-10-26-octubre-negro-cadena-https.webp",[10,75,77],{"id":76},"_2-php2shell-la-falla-que-está-debajo-de-tu-wordpress","2. PHP2Shell: la falla que está debajo de tu WordPress",[15,79,80],{},"PHP es el lenguaje de programación en el que funcionan WordPress, WooCommerce, Joomla, Magento y PrestaShop. Si tu página usa alguno, usa PHP.",[15,82,83,84,89],{},"El 21 de octubre PHP publicó ",[22,85,88],{"href":86,"rel":87},"https:\u002F\u002Fthehackernews.com\u002F2026\u002F10\u002Fphp-issues-emergency-patches-for-two.html",[26],"parches de emergencia"," para dos fallas críticas, calificadas con 9.2 de 10. Juntas se conocen como PHP2Shell. Permiten ejecución remota de código: que alguien desde fuera dé órdenes a tu servidor como si estuviera sentado frente a él, sin usuario ni contraseña.",[15,91,92],{},"Lo grave es dónde está la falla: en PHP mismo, no en tu sitio. Aunque tu página esté bien hecha, es vulnerable si el PHP de tu servidor no está actualizado. Afecta casi todas las versiones desde PHP 5.4.",[15,94,95],{},"Un atacante también podría leer la memoria del servidor, donde a veces quedan contraseñas, llaves de acceso a otros servicios y certificados.",[15,97,98,101],{},[32,99,100],{},"¿Ya están atacando?"," Cloudflare y la firma watchTowr reportaron intentos de explotación el mismo 21 de octubre. Hasta la última actualización de esa nota no había ningún robo confirmado. Aun así, en Países Bajos varios sitios del gobierno y de educación se desconectaron por precaución.",[15,103,104,107],{},[32,105,106],{},"Un ejemplo para aterrizarlo (escenario hipotético)."," Imagina un hospital o consultorio privado con página en WordPress y un formulario de contacto. Si su PHP no está actualizado, alguien podría:",[109,110,111,115,118],"ol",{},[112,113,114],"li",{},"Copiar todos los datos que la gente dejó en el formulario: nombres, teléfonos, correos, motivos de consulta.",[112,116,117],{},"Si los expedientes de pacientes viven en el mismo servidor, intentar llegar a ellos.",[112,119,120],{},"Modificar la página para anunciar productos o servicios ilegales con el nombre del hospital.",[15,122,123],{},"Cambia \"hospital\" por \"despacho contable\" o \"tienda en línea\" y el riesgo es el mismo: los datos de tus clientes y tu reputación.",[15,125,126,129],{},[32,127,128],{},"El malentendido más común:"," actualizar WordPress o sus plugins NO actualiza PHP. PHP lo actualiza quien administra el servidor: tu proveedor de hosting o tu equipo técnico. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu sitio usa PHP 8.1 o anterior, ya no recibe parches oficiales.",[15,131,132],{},[70,133],{"alt":134,"src":135},"Diagrama de una página web como un edificio de tres pisos: arriba el contenido, en medio WordPress y plugins (los actualizas tú), abajo PHP y el servidor (los actualiza tu hosting). La falla está en el piso de abajo: pintar las paredes no arregla los cimientos","\u002Fimages\u002Fblog\u002F2026-10-26-octubre-negro-edificio-php.webp",[10,137,139],{"id":138},"_3-nodejs-y-nextjs-el-mismo-patrón-en-otro-motor","3. Node.js y Next.js: el mismo patrón en otro motor",[15,141,142],{},"No todas las páginas usan PHP. Muchas tiendas y aplicaciones modernas funcionan con Node.js o con Next.js, un marco de trabajo construido encima de él.",[15,144,145],{},"El patrón se repitió: fallas en piezas internas que todo el sitio usa, aunque el código propio esté bien.",[147,148,149,161],"ul",{},[112,150,151,154,155,160],{},[32,152,153],{},"Node.js"," corrigió el 21 de octubre una falla en su descompresor de datos (el que \"desempaca\" archivos comprimidos). Investigadores de Imperva ",[22,156,159],{"href":157,"rel":158},"https:\u002F\u002Fthehackernews.com\u002F2026\u002F10\u002Fresearchers-demonstrate-node2shell-rce.html",[26],"demostraron"," que con datos manipulados se puede ejecutar código en el servidor. Afecta las versiones 22, 24 y 26. No hay ataques reales reportados hasta el 22 de octubre.",[112,162,163,166,167,172],{},[32,164,165],{},"Next.js"," publicó el 14 de octubre ",[22,168,171],{"href":169,"rel":170},"https:\u002F\u002Fwww.netlify.com\u002Fchangelog\u002F2026-10-14-nextjs-react-security-vulnerabilities\u002F",[26],"parches para dos fallas críticas"," (9.5 de 10) que permitían ejecutar código sin iniciar sesión. Una de ellas, al procesar imágenes SVG. Las versiones corregidas son 15.5.28 y 16.4.1.",[15,174,175],{},"La diferencia con PHP es técnica (otro mecanismo de falla). Para el dueño del negocio, la pregunta es la misma: ¿quién actualiza esto y cuándo lo hizo?",[10,177,179],{"id":178},"_4-lo-demás-de-la-semana","4. Lo demás de la semana",[181,182,183,199],"table",{},[184,185,186],"thead",{},[187,188,189,193,196],"tr",{},[190,191,192],"th",{},"Qué",[190,194,195],{},"Qué pasó",[190,197,198],{},"A quién le importa",[200,201,202,219,234],"tbody",{},[187,203,204,213,216],{},[205,206,207,212],"td",{},[22,208,211],{"href":209,"rel":210},"https:\u002F\u002Fthehackernews.com\u002F2026\u002F10\u002Fcritical-gitlab-flaw-cvss-100-could.html",[26],"GitLab"," (CVE-2026-110264)",[205,214,215],{},"Falla de 10 de 10, corregida el 21 de octubre. Permite ejecutar código sin iniciar sesión y alcanza versiones desde 2014. Sin ataques reportados al 22 de octubre.",[205,217,218],{},"Empresas que guardan su código en un GitLab propio. GitLab.com ya está corregido.",[187,220,221,228,231],{},[205,222,223],{},[22,224,227],{"href":225,"rel":226},"https:\u002F\u002Fsecuritylabs.datadoghq.com\u002Farticles\u002Flitellm-compromised-pypi-docker\u002F",[26],"LiteLLM",[205,229,230],{},"El 21 de octubre se publicó una versión con código malicioso (1.107.0) usando credenciales robadas de tres ingenieros. Es su segundo incidente de 2026.",[205,232,233],{},"Empresas que conectan sus sistemas con modelos de IA. Esa herramienta concentra llaves de acceso muy valiosas.",[187,235,236,243,246],{},[205,237,238],{},[22,239,242],{"href":240,"rel":241},"https:\u002F\u002Fthehackernews.com\u002F2026\u002F10\u002Fhackers-exploit-plex2shell-flaws-to.html",[26],"Plex2Shell",[205,244,245],{},"Atacantes aprovechan fallas en servidores Plex para instalar mineros de criptomonedas y puertas traseras.",[205,247,248],{},"Quien use Plex para compartir video, incluso en la oficina.",[10,250,252],{"id":251},"qué-hacer-esta-semana","Qué hacer esta semana",[147,254,255,258,261,264,267],{},[112,256,257],{},"Pregunta a tu hosting: \"¿Qué versión de PHP usa mi sitio y ya aplicaron el parche del 21 de octubre?\"",[112,259,260],{},"Si tu sitio usa Node.js o Next.js, pide a tu desarrollador que confirme que ya actualizó.",[112,262,263],{},"Revisa si tu módem, router y cámaras tienen actualizaciones pendientes. Si el módem es de tu proveedor de internet, pregúntale a él.",[112,265,266],{},"Haz una lista de qué datos recibe tu página (formularios, pedidos, citas) y dónde se guardan.",[112,268,269],{},"Si algún sistema te marca errores de certificado después de actualizar, no los \"desactives\": reporta el error a quien te da soporte.",[15,271,272],{},"Ninguna de estas fallas era culpa del dueño del negocio. Pero la responsabilidad de preguntar sí es suya. Si no sabes con qué tecnología está hecha tu página ni quién la actualiza, ese es el primer riesgo que hay que cerrar.",[10,274,276],{"id":275},"fuentes","Fuentes",[147,278,279,287,295,302,310,317,325,331,338],{},[112,280,281,282,286],{},"Cloudflare: ",[22,283,285],{"href":38,"rel":284},[26],"8 eMudhra certificates are compromised. Here's what you need to know"," (20 oct. 2026)",[112,288,289,290,294],{},"The Hacker News: ",[22,291,293],{"href":24,"rel":292},[26],"eMudhra to Exit Global SSL\u002FTLS Business After 8 Intermediate CA Keys Found Easily Guessable"," (22 oct. 2026)",[112,296,289,297,301],{},[22,298,300],{"href":86,"rel":299},[26],"PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge"," (21 oct. 2026)",[112,303,304,305,301],{},"PHP: ",[22,306,309],{"href":307,"rel":308},"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php#2026-10-21-5",[26],"Aviso de seguridad oficial",[112,311,289,312,316],{},[22,313,315],{"href":157,"rel":314},[26],"Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data"," (23 oct. 2026)",[112,318,319,320,324],{},"Netlify: ",[22,321,323],{"href":169,"rel":322},[26],"Next.js & React security release (Oct 2026)"," (14 oct. 2026)",[112,326,289,327,301],{},[22,328,330],{"href":209,"rel":329},[26],"Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases",[112,332,333,334,301],{},"Datadog Security Labs: ",[22,335,337],{"href":225,"rel":336},[26],"LiteLLM supply chain compromise: What you need to know",[112,339,289,340],{},[22,341,343],{"href":240,"rel":342},[26],"Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor",{"title":345,"searchDepth":346,"depth":346,"links":347},"",2,[348,349,350,351,352,353],{"id":12,"depth":346,"text":13},{"id":76,"depth":346,"text":77},{"id":138,"depth":346,"text":139},{"id":178,"depth":346,"text":179},{"id":251,"depth":346,"text":252},{"id":275,"depth":346,"text":276},null,"2026-10-26","Entre el 14 y el 23 de octubre de 2026 se publicaron fallas críticas en piezas que sostienen buena parte de internet: el candado del HTTPS, PHP, Node.js, Next.js y GitLab. Te explicamos qué pasó, a quién afecta y qué preguntas hacerle hoy a tu proveedor.",false,"md",{"src":360,"alt":361},"\u002Fimages\u002Fblog\u002F2026-10-26-octubre-negro.webp","Recepción de un consultorio de noche, vacía: sobre el escritorio una laptop, carpetas, un módem viejo y un router con luces encendidas; arriba, un vitral con un sol que entra desde la esquina superior izquierda",{},true,"\u002Fblog\u002F2026-10-26-octubre-negro",{"title":5,"description":356},"blog\u002F2026-10-26-octubre-negro",[368,369,370,371,372],"ciberseguridad","pymes","wordpress","php","https","IYChOkhP3EJl2TPjNzQIjDHJV-CuHtffNdLjiM4R1t0",[375,354],{"title":376,"path":377,"stem":378,"description":379,"image":380,"children":-1},"La IA más potente del mundo se apagó a los tres días de nacer. Tu negocio debe aprender de eso","\u002Fblog\u002F2026-07-09","blog\u002F2026-07-09","El modelo estrella de Anthropic fue suspendido por el gobierno de EE. UU. a los tres días de su lanzamiento, volvió tres semanas después y ahora cambia de esquema de cobro. Para una PyME que ya usa IA, la lección no es técnica: es de continuidad de negocio.",{"src":381,"alt":382},"\u002Fimages\u002Fblog\u002F2026-07-09.webp","Taller mecánico de noche: un motor cuelga de una grúa sobre el cofre abierto de un auto, otro motor de repuesto espera en su soporte junto a una laptop; arriba, un vitral con un sol que entra desde la esquina superior izquierda",1793035491105]