La misma semana que PHP2Shell, Node.js corrigió diez vulnerabilidades, una de ellas en el descompresor Brotli que permite ejecutar código, y Oracle sacó su parche trimestral con más de 1.200 fallos, 55 de ellos en Java. Te resumo qué versiones de Node necesitas, por qué hay que reconstruir los snapshots y no solo actualizar, qué pasa con Node 20 y qué mirar en Java, para que no te quedes solo con el parche de PHP.
PHP ha corregido dos fallos críticos que permiten ejecutar código en tu servidor sin iniciar sesión, y hay ataques desde antes de que saliera el parche. Te cuento qué son CVE-2026-109618 y CVE-2026-109619 sin tecnicismos, a quién afectan (Apache con mod_php, PHP-FPM, FrankenPHP...), qué versión necesitas en cada rama, cómo comprobar la tuya aunque estés en un hosting compartido y qué hacer si no puedes actualizar todavía.
El 11 de mayo de 2026, un atacante publicó 84 versiones maliciosas en 42 paquetes de TanStack usando una cadena de vulnerabilidades en GitHub Actions. Este incidente, documentado como CVE-2026-45321, nos recuerda por qué la seguridad en la cadena de suministro de npm no debería ser opcional.