Revisa tus claves y tus versiones después del 21 de octubre
Un prompt para que Claude Code te diga qué claves cambiar primero y si tu proyecto corre una versión vulnerable de Node o PHP, sin tocar nada ni mostrar tus secretos.
En esta página · 4 partes
El 21 de octubre pasaron tres cosas el mismo día. Que se sepa, no están conectadas: ninguna de las tres fuentes dice estar relacionada con las otras. Pero si construyes con IA, es probable que nadie te haya preguntado dónde viven tus claves ni qué versión corre tu app, y hoy importa saberlo.
Qué pasó, en una tabla
| Qué dice la fuente | A quién le toca | Qué haces | |
|---|---|---|---|
| Railway | Detectó actividad anómala en los sistemas que guardan las variables de entorno. Un tercero pudo acceder a variables cifradas y, de algunas, obtener su contenido. Pausó los deploys. | Si tu app o tu base viven allí. | Cambia todas las variables de entorno (claves de API, credenciales de registros privados) y revisa tus logs. |
| Node | Parches para las líneas 26, 24 y 22. Cuatro fallas de severidad alta; una permite ejecución remota de código por el decodificador Brotli (CVE-2026-111497). | Si tu app o tu computador usa Node. | Actualiza a la última de tu línea: 26.12.1, 24.22.1 o 22.23.4. |
| PHP | Dos fallas críticas (CVSS 9.2) que permiten ejecución remota de código sin autenticación. El proyecto considera el riesgo más alto con mod_php (CVE-2026-109618 y CVE-2026-109619). | Si tu sitio corre en PHP. | Actualiza a 8.5.12, 8.4.27, 8.3.36 u 8.2.35. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. |
Railway dice que el impacto podría limitarse a un subconjunto de usuarios, pero recomienda cambiar todo por precaución. Esta página refleja lo publicado hasta el 22 de octubre de 2026, y Railway sigue actualizando su estado.
El prompt
Abre Claude Code en la carpeta del proyecto y pega esto:
Revisa este proyecto después del incidente de seguridad de Railway y los parches de Node y PHP del 21 de octubre de 2026. No cambies ni borres nada: solo investiga y dame un informe. Nunca me muestres el valor de una clave, solo su nombre. No ejecutes railway variables ni imprimas el contenido de ningún archivo .env.
- Variables de entorno. Busca en el código y en archivos como .env.example, Dockerfile o la configuración de despliegue los nombres de las variables que usa el proyecto. Lístalas y marca cuáles parecen secretos: claves de API, contraseñas, tokens y URLs de base de datos.
- Para cada secreto, dime qué servicio lo emite (por ejemplo OpenAI, Anthropic, Stripe, GitHub o la base de datos) y en qué panel se genera uno nuevo.
- Versiones. Dime qué versión de Node usa el proyecto (package.json en "engines", .nvmrc, Dockerfile o la configuración de despliegue) y, si hay PHP, cuál. Compáralas con las versiones corregidas: Node 22.23.4, 24.22.1 o 26.12.1; PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Dime si estoy por debajo.
- Entrégame una checklist en este orden: primero lo que me podría costar dinero si alguien lo usa (claves de IA y de pagos), después las bases de datos, después el resto. Para cada ítem: qué cambiar, dónde y qué redeploy hace falta.
- Termina con lo que tengo que mirar yo a mano en los paneles de cada servicio, por ejemplo consumo inesperado en la factura.
Claude te devuelve un informe, no cambia nada. Los cambios los haces tú, en este orden:
- Crea la clave nueva en el panel del servicio.
- Pégala en Railway y haz el redeploy para que tu app la tome.
- Comprueba que todo funciona y recién entonces revoca la clave vieja. Si la revocas antes, tu app se cae.
Lo que te recomienda Railway para cada servicio
Railway publicó una guía por servicio. Estas son las que más se repiten:
- Rotar credenciales de PostgreSQL
- Revisar uso inesperado de OpenAI
- Revisar uso inesperado de Anthropic
- Revisar uso inesperado en Stripe
- Revisar accesos anómalos a GitHub
Fuentes
- Aviso de seguridad de Railway, 21 de octubre y su página de estado.
- Lanzamientos de seguridad de Node.js, 21 de octubre.
- Aviso de seguridad de PHP, publicado en la portada de php.net el 21 de octubre.