En los últimos días de octubre de 2026 pasó algo que no se ve seguido. Entre el 12 y el 21 de octubre, cuatro de los componentes sobre los que corre buena parte de internet publicaron fallas críticas casi en simultáneo: PHP, GitLab, Node.js y Java. Varias de ellas, parchadas el mismo día. La prensa especializada ya lo bautizó: el octubre negro de la ciberseguridad.
No es una campaña coordinada ni un solo gran ataque. Es una concentración rara de vulnerabilidades graves, todas en la capa de infraestructura, esa que casi nadie ve pero que sostiene al sitio de arriba. Y detrás de la coincidencia hay una historia más de fondo: la inteligencia artificial cambió la velocidad del juego, para los dos bandos.
Cuatro fallas críticas en diez días
El tablero de este octubre, solo con lo más grave:
| Componente | Falla | Gravedad | Qué permite |
|---|---|---|---|
| PHP | PHP2Shell (CVE-2026-109618/109619) | CVSS 9,2 | Ejecutar código sin autenticación |
| GitLab | CVE-2026-110264 | CVSS 10,0 | Ejecutar código sin iniciar sesión |
| Node.js | Node2Shell (CVE-2026-111497) | Crítica | Ejecutar código al procesar datos comprimidos |
| Java | CVE-2026-91403 | CVSS 9,1 | Interceptar y alterar tráfico cifrado |
La de GitLab es de las que casi no se ven: puntuación 10,0, la máxima posible. Un error de cálculo en el motor de expresiones regulares deja a un atacante anónimo ejecutar código en el servidor, y arrastra versiones publicadas desde 2014. La de Node.js, apodada Node2Shell, vive en el decodificador Brotli que trae de fábrica: basta que el servidor procese datos comprimidos de un atacante. La de Oracle obligó a una alerta fuera del ciclo normal de parches. Y PHP2Shell, que ya analizamos por separado, remata el cuadro.
Lo preocupante no es cada falla por sí sola. Es que todas aparecieron con exploit casi al mismo tiempo que el parche. Eso no es casualidad, y tiene nombre.
La IA ya encuentra las fallas antes que los atacantes
Empecemos por la buena noticia. La defensa se está automatizando y está ganando terreno.
El caso más claro es Big Sleep, el cazador de vulnerabilidades de Google construido con su división de IA. En agosto de 2025 reportó 20 fallas desconocidas en software de uso masivo. Más llamativo todavía: Google contó que Big Sleep aisló una falla que un grupo atacante estaba preparando para usar, antes de que la usaran. Fue, según la empresa, la primera vez que un agente de IA frena una explotación en curso. En paralelo, Google corrige parte de esas fallas de forma automática con otra herramienta, y afirma que la IA ayudó a cerrar más de mil errores de seguridad en su navegador Chrome en apenas dos versiones.
No es magia ni reemplaza al experto. En todos estos casos hay una persona revisando antes de reportar. Pero el trabajo pesado, el de rastrear millones de líneas buscando el patrón de una falla, lo hace la máquina. Y lo hace rápido.
Y también fabrica el exploit en minutos
Ahora la mala. La misma velocidad está del otro lado.
Un investigador tomó hace poco un parche de seguridad ya publicado, se lo pasó a un modelo de lenguaje y tuvo un exploit funcional en unos 30 minutos. No partió de cero: partió del parche, que al corregir la falla también muestra dónde estaba. Una investigación de la Cloud Security Alliance va más allá y estima que un sistema de IA puede generar código de prueba para una vulnerabilidad publicada en 10 a 15 minutos, por alrededor de un dólar.
Traducido a lo que importa: la ventana entre que se publica una falla y cuando aparece el primer exploit se desplomó. En 2024 esa distancia se medía en semanas o meses. Hoy, según distintas mediciones, se cuenta en horas. Para dimensionarlo, el gusano WannaCry golpeó 59 días después de que saliera su parche, en 2017. Esa holgura ya no existe.
Esto es justamente lo que veníamos advirtiendo cuando explicamos por qué la ventana de explotación se venía cerrando y por qué cumplir con el scan trimestral dejó de alcanzar. Octubre lo dejó en evidencia.
La única defensa que corre a esa velocidad
Si el atacante arma el exploit en 15 minutos y lo lanza a escala, no hay equipo humano que gane esa carrera a mano. Nadie actualiza tres servidores, revisa la versión y reinicia servicios antes de que el bot ya pasó por tu puerta. La respuesta manual perdió por diseño.
Pero tampoco es cosa de dejar que un robot parche solo y rezar. Un parche mal aplicado a las tres de la mañana puede tumbarte el sitio igual que el ataque que querías evitar. El equilibrio está en el medio: procesos automatizados que apliquen el parche a la velocidad de la máquina, con un humano supervisando las decisiones que importan. La máquina para lo repetitivo y veloz. La persona para lo que requiere criterio: qué parchar primero, qué puede esperar, qué necesita una ventana de mantención.
Priorizar bien es clave, porque no todo es urgente al mismo nivel. Ahí entran dos señales que valen más que la puntuación teórica: el EPSS, que estima la probabilidad real de que una falla se explote, y el KEV de CISA, el catálogo de lo que ya se está explotando en ataques reales. Primero lo que de verdad te va a pegar, no lo que figura más alto en una tabla.
Lo que hicimos esta misma semana
No lo decimos de oídas. Octubre nos puso a prueba con nuestra propia infraestructura.
Cuando salió PHP2Shell, nuestros servidores corrían una versión vulnerable. Aplicamos de inmediato una mitigación temporal para cerrar la puerta más obvia, y dejamos un proceso automático vigilando: apenas el repositorio oficial publicó la versión corregida, el sistema instaló el parche solo y verificó que quedara aplicado de verdad, sin que nadie tuviera que estar despierto mirando la pantalla. En paralelo, cargamos el análisis de riesgo de esas fallas en RealRisk, nuestra herramienta de scoring, y sumamos su detección a FreeScan, nuestro escáner. Todo con una persona del equipo revisando y aprobando cada paso.
Eso es lo que repetimos a diario: automatizar la velocidad, reservar el criterio para el humano. No es una teoría de laboratorio. Es como operamos.
En resumen
El octubre negro no es un castigo del cielo ni una racha de mala suerte. Es la foto de un mundo donde la IA encuentra fallas, las corrige y también las convierte en armas, todo en cuestión de minutos. En ese escenario, la pregunta ya no es si tu software tiene una vulnerabilidad: casi siempre la tiene. La pregunta es cuánto demoras en enterarte y en cerrarla. Si la respuesta todavía se mide en semanas, estás jugando con las reglas de otra época.
¿Quieres saber en qué estado está hoy tu sitio? Nuestro diagnóstico gratuito con FreeScan revisa tu postura de seguridad y te entrega un informe claro con lo que conviene mejorar. Es el primer paso para dejar de correr detrás de los atacantes.
