La semana en que crujió el stack: PHP2Shell y tres RCE críticos en PHP, Node.js y Next.js
En siete días de octubre de 2026 cayeron tres vulnerabilidades críticas de ejecución remota de código, una por cada capa del stack web: Next.js (CVE-2026-96889, CVSS 9.5, RCE vía la librería de imágenes sharp), PHP2Shell (CVE-2026-109618/109619, CVSS 9.2, use-after-free en el intérprete que afecta a PHP 5.4 → 8.5 y a casi toda la web) y Node.js (CVE-2026-111497, CVSS 9.8, escritura fuera de límites en el decodificador Brotli). El protagonista es PHP2Shell: te explico en cristiano qué es, cómo funciona la cadena de ataque (reciclar el worker, filtrar memoria por la cookie PHPSESSID para derrotar ASLR, abusar de session.upload_progress), por qué la mayoría de servidores NO es explotable por los exploits públicos, y cómo blindar tu sitio con un laboratorio en Docker y defensa en profundidad. Pero las tres comparten ADN —fallos de memoria en código nativo— y la misma cura: actualizar.



