Checklist de seguridad para tu servidor y tus dependencias

Para revisar tu proyecto después de los ataques recientes basta con cuatro pasos: actualiza el lenguaje de tu servidor, fija tus dependencias, rota las llaves que pudieron filtrarse y revisa cada paquete nuevo antes de instalarlo. Esta guía te da los comandos y las versiones exactas de cada paso, tomados de los avisos oficiales de PHP, Oracle, LiteLLM, Railway y pnpm.

1. 1ServidorActualiza PHP y Java a las versiones que corrigen los fallos.
2. 2DependenciasFija versiones con un lockfile y retrasa las recién publicadas.
3. 3LlavesRota las llaves que un paquete o un proveedor comprometido pudo leer.
4. 4Paquetes nuevosRevisa cada dependencia antes de agregarla.

1. Actualiza PHP y Java en tu servidor

Empieza por el lenguaje que ejecuta tu sitio, porque es lo que un atacante puede alcanzar sin iniciar sesión.

PHP. Los fallos conocidos como PHP2Shell permiten ejecutar código en el servidor sin autenticación y afectan a toda instalación de PHP que sirve páginas web, incluido WordPress. Revisa tu versión:

php -v

Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu hosting no te deja actualizar, pídeselo a tu proveedor. Contamos el incidente completo en el octubre negro de PHP2Shell.

Java. Oracle publicó la alerta CVE-2026-91403 para JSSE, la parte de Java que maneja las conexiones TLS. Tiene una puntuación de 9.1, se explota por red y sin credenciales. Revisa tu versión:

java -version

2. Fija tus dependencias y retrasa las versiones nuevas

Este año, varios paquetes populares de npm salieron con versiones maliciosas publicadas desde cuentas o flujos de publicación comprometidos: axios en marzo, TanStack y node-ipc en mayo, y el gusano ChainDrop en agosto, que se copió en más de 400 paquetes. En Python pasó lo mismo con LiteLLM 1.107.0, publicada con un ladrón de credenciales en PyPI y Docker Hub.

Dos medidas reducen el riesgo:

• Usa siempre un lockfile y no despliegues versiones latest a producción. Si usas LiteLLM, fija la versión 1.106.2, la última segura según su aviso.
• Retrasa las versiones recién publicadas. pnpm tiene la opción minimumReleaseAge, en minutos, que no instala una versión hasta que pase ese tiempo desde su publicación. En pnpm 11 ya viene en un día; en pnpm 10 actívala en pnpm-workspace.yaml:

minimumReleaseAge: 1440

pnpm 10 además bloquea por defecto los scripts postinstall de las dependencias. Permite solo los de paquetes en los que confías con allowBuilds, en lugar de activarlos todos.

• LockfileInstala siempre la misma versión revisada, no la última publicada.
• minimumReleaseAgeDa tiempo a que se detecte y retire una versión maliciosa antes de que llegue a ti.
• Scripts bloqueadosEvita que una dependencia ejecute código al instalarse.

3. Rota las llaves que pudieron filtrarse

Si instalaste una versión comprometida o tu proveedor reportó un acceso, da por filtradas las llaves que esa máquina o ese servicio podía leer.

LiteLLM 1.107.0. Su aviso pide no ejecutar pip primero en el entorno afectado, porque Python vuelve a cargar el archivo malicioso al arrancar. Borra los archivos cook.pth, cook.py y sitecustomize.py de cada carpeta site-packages afectada, reinstala la versión 1.106.2 o reconstruye el entorno, y rota las llaves de proveedores, las de la base de datos y los secretos del proceso.

Railway. Railway reportó un acceso al sistema donde guarda las variables de entorno de sus clientes, en algunos casos con los valores descifrados. Pidió rotar todas las variables, invalidó todos los tokens de su API y recomienda revisar consumos inesperados en OpenAI, Anthropic y Stripe.

4. Revisa cada paquete nuevo antes de agregarlo

Antes de instalar una dependencia, revisa quién la publica, cuándo salió su última versión y si ejecuta scripts al instalarse. Para saber por qué un paquete está en tu proyecto, pregúntale a pnpm:

pnpm why <paquete>

Si no reconoces el paquete ni a quien lo pide, no lo instales hasta entender para qué está. Si prefieres que revisemos tu proyecto contigo, mira nuestro servicio de desarrollo web.

Fuentes

• Aviso de seguridad sobre las fallas críticas de ejecución remota de código, PHP
• Oracle Security Alert Advisory CVE-2026-91403, Oracle
• Contained: LiteLLM release v1.107.0 Compromised, LiteLLM
• Railway Platform Outage, Railway Status
• Mitigating supply chain attacks, pnpm
• ChainDrop supply chain compromise, Microsoft Security
• TanStack npm packages compromised, Snyk
• TensorLake npm SDK compromised, Socket