Black October: el mes que cambió el ritmo de la ciberseguridad

¿De dónde sale «Black October»?

La denominación Black October empezó a ganar visibilidad después del 21 de octubre. Ese miércoles el equipo de PHP publicó parches de emergencia para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619 (CVSS 9.2), bautizadas como PHP2Shell. Permiten ejecutar código en el servidor sin autenticarse y afectan a prácticamente todas las ramas de PHP de la última década. Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12.

PHP mueve en torno al 70 % de los sitios web, así que el impacto fue inmediato. Varias agencias pidieron parchear de inmediato o desconectar los sitios hasta poder hacerlo, y administraciones de distintos países dejaron webs fuera de línea como precaución. En las mismas horas se acumularon otros avisos graves (GitLab, Node.js, LiteLLM, eMudhra), y la suma de todo ello dio nombre al episodio.

Según varias crónicas, la etiqueta nació en una publicación en X de madrugada del 22 de octubre que describía las 48 horas anteriores como las peores que se recordaban en seguridad. El medio Forkast advierte que no logró localizar ese mensaje original, así que conviene tomar el origen exacto con cautela. Lo que sí está documentado es su difusión: Axios lo usaba el 22, CNBC y The Guardian el 23, y hoy ya existe una entrada en Wikipedia con ese nombre.

¿Y en España? Según Escudo Digital, no hubo un apagón masivo de portales ministeriales, pero INCIBE elevó a crítico su aviso y, siguiendo sus pautas y las del CCN-CERT, muchas administraciones locales, universidades y centros de investigación abrieron ventanas de mantenimiento para parchear.

Lo que pasó en octubre

Black October no fue un ataque, sino una concentración de incidentes y avisos críticos, sobre todo entre el 17 y el 22 de octubre. Estas son las noticias que lo definieron:

Un dato inquietante: Amazon detectó intentos de explotar PHP2Shell ya el 17 de octubre, cuatro días antes de los parches oficiales.

Tres lecturas de Black October

1. La IA ya juega en los dos equipos

Los fallos de PHP2Shell llevaban más de una década ahí. Los encontraron investigadores de Wiz y Calif en agosto, con ayuda de modelos avanzados de IA. En paralelo, Microsoft documentó cómo Storm-0940 usaba un framework de pentesting con IA agéntica para automatizar el reconocimiento y el acceso. La misma tecnología que acelera la defensa acelera el ataque.

2. Una ola de divulgación, no de ataques

Forkast lo resumió bien: la etiqueta esconde el reloj. Muchas de las brechas reveladas esa semana empezaron semanas o meses antes; en algunos casos, en mayo o septiembre. Parchear PHP2Shell no expulsa a un intruso que ya está dentro. Para un SOC, Black October fue primero un problema de investigación y después uno de parcheo.

3. La cadena de suministro es el nuevo perímetro

LiteLLM, el CLI de OVHcloud, ConnectWise o UpdraftCentral tienen algo en común: el atacante no entró por la puerta de la víctima, sino a través de una herramienta de confianza. Una actualización legítima, un paquete o una clave de gestión remota bastan para llegar a cientos de organizaciones a la vez.

Qué debería revisar tu empresa ahora

Si tienes una web, una intranet o cualquier aplicación en PHP, la pregunta no es si te afecta, sino si ya estás protegido y cómo lo demuestras.

• Versión de PHP del servidor. Confirma con tu hosting que corre 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior. Actualizar plugins de WordPress no corrige el intérprete.
• Configuración complementaria. PHP recomendó el 23 de octubre desactivar session.upload_progress.enabled hasta la siguiente versión de corrección.
• Sistemas heredados. Lo que no se pueda actualizar, se aísla o se desconecta. Es lo que pidió el exdirector de CISA Chris Krebs a las empresas pequeñas.
• Herramientas de desarrollo y gestión. Revisa GitLab autogestionado, Node.js, LiteLLM y cualquier herramienta de gestión remota de webs.
• Secretos y credenciales. Rota claves de API, tokens y contraseñas que pudieran haber estado expuestos.
• Mirar hacia atrás. Revisa logs de los últimos meses, no solo de esta semana. Si tu retención de registros es corta, ese es el primer punto a mejorar.
• Inventario. No se puede parchear lo que no se sabe que existe: qué sistemas tienes, qué versiones y quién tiene acceso.

Reflexión: cómo va a evolucionar la ciberseguridad

Black October no será una excepción, sino un anticipo. Si la IA es capaz de encontrar en semanas fallos que llevaban diez años ocultos en código revisado por miles de personas, lo lógico es esperar más olas como esta. Hay mucho código antiguo sosteniendo Internet, y ahora hay herramientas capaces de leerlo a escala.

El tiempo de reacción se mide en horas. En el caso de PHP2Shell, la explotación se reportó antes incluso de que llegaran los parches. El ciclo de parchear una vez al mes deja de ser suficiente para los sistemas expuestos a Internet. Ganará quien sepa qué tiene, dónde y cómo actualizarlo rápido.

La defensa también se automatiza, pero con criterio humano. Los SOC van a apoyarse cada vez más en IA para acotar la exposición, correlacionar eventos y priorizar. Pero decidir qué se desconecta, a quién se avisa y qué riesgo se asume seguirá siendo trabajo de personas.

Nuestros propios agentes de IA son una nueva superficie de ataque. Las empresas empiezan a dar a herramientas autónomas acceso a código, credenciales y producción. Eso exige permisos mínimos, registro de cada acción y entornos aislados, igual que con cualquier usuario privilegiado.

Y, sobre todo, lo básico vuelve a importar. Inventario, actualizaciones, autenticación multifactor, copias de seguridad probadas y logs que se conserven el tiempo suficiente. No es lo más vistoso, pero es lo que separa a quien sale de un Black October con un susto de quien aparece en la siguiente lista de brechas.

En Infordisa existimos para ayudar. Si no tienes claro cómo ha quedado tu infraestructura tras este octubre, nuestro SOC puede ayudarte a revisarla.

Fuentes

• Black October (information security) – Wikipedia
• AI’s ‘Black October’: Critical PHP flaws set off global security scramble – CNBC