Octubre negro 2026: qué pasó y qué tienes que actualizar

PHP, GitLab, Node.js, LiteLLM y una autoridad de certificados: en octubre se juntaron fallas críticas y ataques, varios con IA de por medio. Qué pasó, qué no fue y qué conviene actualizar ya.

«Octubre negro» es el nombre que se hizo popular en redes para una seguidilla de fallas de seguridad graves y ataques informáticos que se conocieron, casi todos, entre el 14 y el 23 de octubre de 2026. En pocos días aparecieron fallas críticas en PHP, GitLab y Node.js (tres piezas de software sobre las que funciona buena parte de internet), una versión con malware de LiteLLM (una herramienta muy usada para conectar aplicaciones con modelos de IA) y claves robables en una autoridad que emite certificados de seguridad para sitios web.

No es un nombre oficial ni hubo un único atacante detrás. Aquí tienes qué pasó en cada caso, qué tiene que ver la inteligencia artificial y qué conviene actualizar si trabajas en IT.

De dónde sale el nombre

Según CYFIRMA, la etiqueta salió de una publicación viral en redes del 22 de octubre, no de un organismo de ciberseguridad. OpenSecurity lo dice sin vueltas: «no es un nombre oficial ni responde a una campaña concreta». Otras empresas, como ScruteX, usan el nombre para su propio conteo de casos del mes.

Ojo: en 2026 «octubre negro» también se usa para una caída de las acciones tecnológicas en el Nasdaq y es el nombre de un festival de música gótica en México. Esta nota trata solo de la ola de fallas y ataques informáticos.

Los casos que más importan

1. PHP2Shell, la falla de PHP. El 21 de octubre, PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos fallas críticas (CVE-2026-109618 y CVE-2026-109619) con una gravedad de 9,2 sobre 10. Permiten ejecutar código en un servidor sin iniciar sesión. Según Wiz, una de las empresas que las encontró, afectan a las versiones de PHP de la última década, desde la 5.4, y PHP mueve el 70 % de los sitios web del mundo.

• La encontraron con IA: la reportaron por separado Calif (11 de agosto), Wiz (24 de agosto) y OpenAI. Wiz dice que usó modelos de IA de Google y OpenAI para hallarla y armar el ataque de prueba.
• El arreglo tardó: la PHP Foundation reconoce que la corrección se demoró meses y lo llama una «falla estructural» de su proceso. Además, el secreto se rompió antes de tiempo: los números de las fallas se filtraron el 20 de octubre y Chainguard publicó detalles más de seis horas antes del parche.
• ¿Hubo ataques? La PHP Foundation dice que, al publicar, no había visto ataques que funcionaran. Gobiernos de al menos diez países bajaron sitios por precaución, según CYFIRMA, que aclara que ninguno confirmó una intrusión real.
• Un aviso extra (23 de octubre): php.net recomienda poner session.upload_progress.enabled=0 hasta la próxima versión, por otra falla de las sesiones.

2. GitLab, gravedad máxima. El 21 de octubre, GitLab corrigió la falla CVE-2026-110264, con la nota más alta posible: 10,0. Permitía que alguien sin usuario ejecutara código en el servidor. Afecta a todas las versiones desde la 7.0, de 2014. GitLab.com ya está corregido; quien tiene su propio servidor de GitLab debe pasar a la 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13.

3. Node.js. El mismo 21 de octubre, Node.js corrigió 10 fallas. La más seria (CVE-2026-111497, gravedad alta) estaba en el código que descomprime datos en formato Brotli y la reportó OpenAI Codex Security, una herramienta de IA. Las versiones corregidas son la 22.23.4, la 24.22.1 y la 26.12.1.

4. LiteLLM con malware. El 21 de octubre se publicó la versión 1.107.0 de LiteLLM con un programa que roba contraseñas y claves. Estuvo disponible en PyPI cerca de dos horas, y también en sus imágenes de Docker. Según el propio proyecto, todo empezó con una clave de administrador que alguien subió por error a un repositorio público el 27 de mayo y que seguía funcionando más de cuatro meses después. Con ella, los atacantes consiguieron los accesos de tres personas del equipo y publicaron la versión falsa.

5. eMudhra, los certificados. El 17 de octubre, Mozilla y Google recibieron el aviso de que las claves privadas de 8 certificados intermedios de eMudhra, una autoridad de certificados de la India, estaban comprometidas. Con esas claves se podían crear certificados falsos para sitios que no son tuyos. Los dos navegadores las bloquearon ese mismo día y Mozilla quitó el certificado raíz de eMudhra el 20 de octubre. Según CYFIRMA, fue un error de un programa al crear las claves, sin atacante, y hay que reemplazar unos 30.000 certificados.

Otros casos del mes

• Microsoft y Storm-0940: un grupo alineado con el Estado chino usó ARTEX, un programa de código abierto que coordina agentes de IA para atacar. Intentó entrar a más de 2.250 cuentas de empresas en la nube de Microsoft a través de una aplicación de ConnectWise y, en algunos casos, llegó a permisos de administrador en menos de tres horas (Microsoft, 21 de octubre).
• Cairn: la empresa NorForge encontró paneles expuestos de esta plataforma de agentes de IA usados para atacar tiendas en línea. Un solo grupo tenía más de 1.100 proyectos de ataque, con un éxito cercano al 10 % y un costo estimado de unos US$5 por intento (19 de octubre).
• Plataformas en la nube: Railway y Zeabur informaron accesos a datos de sus clientes, como las variables de entorno donde se guardan claves.
• Cripto: el 29 de octubre llegó el hackeo a Binance, el mayor robo cripto registrado, y el 30, el ataque con agentes de IA a Chainalysis.

Qué tiene que ver la IA

Mucho, y de los dos lados. Del lado de la defensa, la IA está encontrando fallas como nunca: PHP2Shell y la falla de Node.js las encontraron equipos que usan IA. Según OpenSecurity, con datos de la base pública de vulnerabilidades de EE. UU. (la NVD), al 24 de octubre ya había 88.602 fallas registradas en 2026, contra 49.972 en todo 2025. Solo septiembre sumó 15.074, un récord.

Eso obliga a las empresas a publicar más parches que nunca. CYFIRMA calcula que Microsoft pasó de unas 590 correcciones en julio a unas 1.410 en octubre, y concluye que hoy el mayor efecto de la IA está en los proveedores de software, que tienen que arreglar más rápido.

Del lado del ataque, ARTEX y Cairn muestran que los delincuentes ya usan agentes de IA para buscar fallas y probar contraseñas a gran escala. Pero CYFIRMA lo describe como un cambio «real pero evolutivo»: los agentes hacen más rápido lo mismo de siempre, no inventan ataques nuevos. Para entender cómo funcionan, puedes leer qué es un agente de IA y el caso de los agentes de OpenAI que hackearon Hugging Face.

Qué conviene actualizar ya

Si trabajas en IT o tienes un sitio propio, esta es la lista mínima:

• PHP: pasar a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y reiniciar PHP-FPM o los procesos de PHP, porque si no siguen usando el código viejo. Si tienes un WordPress en un hosting compartido, revisa que tu proveedor ya lo haya hecho.
• GitLab propio: actualizar a una de las versiones corregidas.
• Node.js: pasar a 22.23.4, 24.22.1 o 26.12.1.
• LiteLLM: si instalaste la 1.107.0, volver a la 1.106.2, reconstruir el entorno y cambiar todas las claves que pasaban por ahí (proveedores de IA, base de datos y nube).
• Certificados: si tu sitio usa un certificado de eMudhra, pedir uno nuevo a otra autoridad.
• Cuentas en la nube: revisar qué aplicaciones de terceros tienen permisos en tu Microsoft 365 y activar la verificación en dos pasos en todo.

Si te interesa trabajar en esto, octubre mostró por qué faltan personas que sepan responder rápido a estos avisos: puedes empezar por la guía de carrera en ciberseguridad.

Lo que todavía no se sabe

• Quién atacó LiteLLM: el proyecto no nombra a ningún grupo.
• Si PHP2Shell se usó para entrar a algún sistema: hay intentos registrados, pero ningún gobierno confirmó una intrusión.
• Cuántos casos fueron: cada empresa cuenta distinto. ScruteX contó 28 casos en octubre; CYFIRMA analizó 42 entre noviembre de 2025 y octubre de 2026.