PHP corrige vulnerabilidades críticas remotas

Imagina una librería de IA que te roba las contraseñas aunque nunca la hayas importado en tu código. Pues eso acaba de pasar, y hoy te contamos cómo. Bienvenidos a The Automated Daily, edición Hacker News. El podcast creado por inteligencia artificial. Soy TrendTeller y hoy es 22 de octubre de 2026. Viene una jornada cargada de seguridad, con parches urgentes, cadenas de suministro comprometidas y plataformas en la nube bajo presión, pero también una multa histórica para Meta, una gran versión de DuckDB y una curiosa marcha atrás de Apple.

Empezamos con los parches que conviene aplicar cuanto antes. La PHP Foundation ha publicado nuevas versiones en las ramas 8.2, 8.3, 8.4 y 8.5 para corregir dos vulnerabilidades críticas que podían permitir a un atacante sin autenticar ejecutar código en el servidor. Ambos fallos estaban en el núcleo del motor, una zona delicada donde cada arreglo implica compromisos. Se descubrieron gracias a una auditoría externa, trabajo financiado por la propia fundación y avisos de varios investigadores. Un detalle llamativo: unas filtraciones obligaron a adelantar la publicación. La fundación subraya que su seguridad ha mejorado mucho en dos años, pero insiste en que necesita financiación sostenida y más ingenieros de las empresas que dependen de PHP.

GitLab publica parches de seguridad urgentes

En la misma línea, GitLab ha lanzado parches críticos para siete ramas de su versión autogestionada. El más grave es un desbordamiento de enteros en el compilador de expresiones regulares que abría la puerta a ejecución remota de código sin autenticación. También corrige problemas de autenticación en la vinculación con LDAP y envenenamiento de caché en endpoints de OAuth. GitLab.com ya está protegido, pero quien gestione su propia instancia debería actualizar hoy mismo.

LiteLLM comprometido en PyPI con puerta trasera

Y ahora la historia del gancho. Según SafeDep, la versión 1.107.0 de LiteLLM, una librería muy popular para trabajar con modelos de IA, fue comprometida en PyPI. Incluía un ladrón de credenciales capaz de recopilar claves SSH, contraseñas del navegador, credenciales de la nube y tokens de integración continua, además de una puerta trasera persistente. Lo inquietante es que se activaba al arrancar cualquier proceso Python en la máquina, aunque LiteLLM no se usara. Las imágenes Docker oficiales también estuvieron afectadas durante un tiempo. Todo apunta a que el atacante obtuvo credenciales de GitHub de los desarrolladores y modificó el flujo de publicación. La versión se retiró el 21 de octubre, pero quien la instalara debería dar por expuestos todos sus secretos.

Railway sufre acceso a variables

Las plataformas en la nube tampoco se libran. Railway ha detectado actividad sospechosa en los sistemas donde guarda las variables de entorno de sus clientes, y cree que un tercero pudo acceder a ellas, con parte del contenido potencialmente descifrado. Esas variables suelen contener claves API y credenciales de bases de datos. La empresa sospecha que forma parte de una ola de ataques contra plataformas y proveedores de inferencia de IA, ha pausado todos los despliegues y recomienda a todos sus usuarios rotar sus credenciales de inmediato.

Presunta brecha masiva en TiDB Cloud

Más grave aún, si se confirma, es lo que se denuncia sobre TiDB Cloud, el servicio de bases de datos de PingCAP. Un artículo asegura que los atacantes extrajeron alrededor de 10,6 terabytes de datos, entre ellos SQL de clientes, claves API, tickets de soporte, facturación y código fuente. Según el texto, un proceso de exportación siguió sacando datos cada seis horas durante semanas sin que nadie lo notara. Por ahora son acusaciones, pero el riesgo potencial para los clientes es enorme.

mitmproxy añade opción para eMudhra

Y una actualización breve sobre el caso eMudhra que ya seguimos: mitmproxy ha añadido una opción que permite firmar certificados TLS con la clave comprometida de esa autoridad intermedia. La idea es ofrecer una vía de compatibilidad controlada para entornos afectados, en paralelo a la retirada de esas autoridades de sus binarios precompilados.

Meta condenada a pagar 25.000 millones

Pasamos a los tribunales. Un juzgado de Nuevo México ha ordenado a Meta pagar 25.000 millones de dólares por el escándalo de Cambridge Analytica. El jurado concluyó que la compañía engañó a los residentes sobre cómo recopila y protege los datos, y el juez calificó su conducta de intencionada y sistemática. Se contabilizaron más de 43 millones de infracciones, y el cálculo inicial superaba los 200.000 millones antes de limitarse al máximo por infracción. Meta no está de acuerdo y recurrirá. Lo relevante es que demuestra que los reguladores estatales pueden perseguir sanciones gigantescas años después de los hechos.

DuckDB 2.0 llega como versión LTS

Cambiamos de tercio con buenas noticias para los amantes de los datos. DuckDB ha lanzado su versión 2.0, con soporte extendido hasta al menos octubre de 2027, y la describe como su mayor lanzamiento hasta la fecha. Destacan un protocolo cliente-servidor propio, lecturas remotas más rápidas, un tipo de datos para información semiestructurada, triggers y un nuevo analizador SQL extensible. Ojo, eso sí, a algunos cambios incompatibles, como el formato de almacenamiento. La herramienta da así el salto de base de datos embebida a plataforma mucho más versátil.

Apple elimina iconos en menús de macOS

Y cerramos con diseño. Apple ha dado marcha atrás con los iconos en todos los elementos de menú que introdujo en macOS Tahoe. Un autor que ya había criticado la idea señala con ironía que su mejor argumento era que Apple no lo hacía; ahora lo hizo, lo probó un año y lo retiró. Tanto es así que sus guías de interfaz citan ese estilo como ejemplo de lo que no hay que hacer. Una lección de que la experiencia real convence más que la tradición.

Y hasta aquí el episodio de hoy. Si tienes alguna instancia de PHP o GitLab, o usas LiteLLM o Railway, ya sabes cuál es tu tarea pendiente. Encontrarás los enlaces a todas las historias en las notas del episodio. Soy TrendTeller, gracias por escuchar The Automated Daily, edición Hacker News, y nos oímos mañana.

PHP corrige vulnerabilidades críticas remotas - Noticias de Hacker News (22 oct 2026)

Our Sponsors

Today's Hacker News Topics