Cuando el parche no puede esperar: hacer horas extra y luego recuperarlas
Temas: Salud mentalHoras y sueldo6 min de lecturaPor David Lawrence
El miércoles 21 de octubre, mucha gente que se ocupa de servidores se encontró con la tarde ya planificada. PHP y Node.js publicaron ese mismo día parches de seguridad, y los dos corregían fallos que podían permitir a un atacante ejecutar código en un servidor desde fuera. Si tu trabajo es mantener webs o API en marcha, no era un día para irse a las cinco.
Hasta ahora casi todos nuestros artículos han tratado de proteger tus tardes y el descanso entre dos jornadas. Este va de las ocasiones en que quedarse hasta tarde es de verdad lo correcto, y de lo que viene después.
Qué pasó el 21 de octubre
PHP. El proyecto PHP publicó dos avisos en GitHub, CVE-2026-109618 (opens in a new tab) y CVE-2026-109619 (opens in a new tab), ambos calificados como críticos con una puntuación de 9,2. El primero viene de cómo gestiona PHP quedarse sin memoria en mitad de una petición. El segundo deja restos de una petición ya terminada en memoria liberada, donde la siguiente petición atendida por el mismo proceso puede recogerlos. En los dos casos, los avisos dicen que un atacante podría acabar ejecutando código con los permisos del servidor web, sin iniciar sesión. Las correcciones están en PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
El análisis de Google Cloud (opens in a new tab) resume la magnitud en una línea: todas las versiones de PHP desde la 5.4 hasta la 8.5.11 están afectadas, y la 8.1 y anteriores, que ya llegaron al final de su vida útil, no van a recibir parche. También recuerda que actualizar el paquete no basta. Los procesos de PHP que ya están en marcha conservan el código antiguo en memoria hasta que los reinicias.
Node.js. Ese mismo día, Node.js publicó versiones de seguridad que corregían diez vulnerabilidades (opens in a new tab), cuatro de ellas de gravedad alta. La más seria, CVE-2026-111497, está en el descompresor Brotli que incluye Node.js. Unos datos comprimidos mal formados pueden hacer que escriba más allá del final de un búfer interno, y un atacante que consiga que una aplicación descomprima sus datos con node:zlib podría tumbarla, leer su memoria o ejecutar código. Afecta a Node.js 22, 24 y 26, y las versiones corregidas son la 22.23.4, la 24.22.1 y la 26.12.1.
Así que, en un solo miércoles, buena parte de los servidores de la web había que actualizarlos, probarlos y reiniciarlos, muchos lo antes posible. Alguien tenía que hacerlo, y para mucha gente eso supuso una jornada larga, una noche tardía o las dos cosas.
Algunas horas extra merecen la pena
En este blog solemos advertir contra las jornadas largas, así que conviene decirlo claro: un día así es un buen motivo para quedarse hasta tarde. Un fallo conocido que deja a desconocidos ejecutar código en tus servidores no espera tranquilamente al lunes. Corregirlo rápido protege a tus usuarios, a tus compañeros y, muy probablemente, tu propio fin de semana.
Lo que hace razonables esas horas extra es que son excepcionales y sirven para algo concreto. Una publicación de seguridad es un acontecimiento con principio y final. Sabes por qué te quedas, sabes más o menos cuándo terminarás y después puedes explicar el motivo.
El problema empieza cuando el acontecimiento ha terminado pero las horas siguen. Los servidores parcheados funcionan, y a la mañana siguiente hay un informe que redactar, el trabajo que esperó un día y algunos sistemas de los que alguien se olvidó. Luego anuncian un tercer fallo, o llega la siguiente publicación. Una noche tardía se convierte en una semana tardía, y esa semana pasa a ser lo normal sin que nadie lo haya decidido.
Lo que cuesta la racha larga
Ya hemos repasado los estudios en artículos anteriores, así que aquí va la versión corta. Las semanas largas van unidas a más desgaste profesional y a más conflicto entre el trabajo y la vida personal, como encontró el estudio noruego que citamos en dónde termina el trabajo. Los descansos cortos entre jornadas van unidos a dormir menos y a más bajas por enfermedad, como vimos en las 11 horas entre dos jornadas.
También hay una parte práctica. Aplicar parches con prisa es un trabajo minucioso: leer los avisos, comprobar versiones, acordarse de reiniciar los procesos. Es justo el tipo de tarea que se hace mal con cansancio, y un reinicio olvidado deja un servidor que parece actualizado mientras sigue ejecutando el código antiguo.
Cómo saber que toca recuperar las horas
- Ponle nombre al acontecimiento. Apunta por qué te quedas hasta tarde y qué significa «terminado»: «PHP actualizado y procesos reiniciados en todos los servidores». Cuando eso se cumpla, se acaban las horas extra.
- Registra las horas, incluso las que nadie te pidió. Ficha la entrada cuando empiezas y la salida cuando paras, incluida la media hora en el sofá mirando los registros. No puedes recuperar un tiempo que nunca apuntaste.
- Recupera algo en la semana o las dos semanas siguientes. Entrar más tarde al día siguiente, salir antes el viernes, o un día entero si la noche fue larga. Cuanto más esperes, más fácil es olvidar que te lo deben.
- Protege la noche siguiente. Si terminaste a medianoche, no estés en tu mesa a las ocho. En España, el Estatuto de los Trabajadores (opens in a new tab) (artículo 34.3) exige un mínimo de doce horas entre el final de una jornada y el comienzo de la siguiente.
- Mira el saldo, no el día. Una noche tardía es normal. Si tus horas extra siguen subiendo un mes después de cerrar el incidente, ya no es el incidente lo que te retiene por la tarde.
- Prepara la próxima vez. Apunta lo que te frenó: un servidor que nadie sabía que existía, una versión antigua que no se podía actualizar. Con esa lista, la próxima publicación de seguridad te llevará una tarde en lugar de un fin de semana.
Si tu empresa compensa las horas extra con descanso, la guía sobre tiempo libre compensatorio y horario flexible explica cómo suelen acumularse y disfrutarse esas horas, y por qué conviene tener las reglas por escrito.
Dónde encaja Clockflux
La vista Salud de Clockflux lleva un saldo acumulado de horas extra: las horas de cada semana completa menos su objetivo, sumadas. Un gráfico muestra cómo ha evolucionado ese saldo, junto con el desglose de tus horas frente al objetivo en cada semana reciente.
Si pasaste la noche del miércoles aplicando parches, esta semana aparecerá en ese gráfico como un salto cuando termine. Lo que importa es lo que hace la línea después. Si baja en las semanas siguientes porque empezaste más tarde y terminaste antes, has recuperado tu tiempo. Si sigue subiendo, es la señal para parar y cogerte un día.
Para recuperar un día, déjalo como una jornada normal y no fiches. El objetivo de ese día se descuenta de tu saldo y el gráfico baja con él. No lo marques como día libre en el calendario: un día libre sale del objetivo y el saldo se queda donde estaba. El estado de arriba de la vista Salud también ayuda: una racha más ligera que gasta horas extra acumuladas sigue contando como en el objetivo.
En el plan gratuito, las estadísticas de la vista Salud cubren el año en curso, y Clockflux Pro cubre todo tu historial. Para una sola semana, la calculadora de horas extra suma tus horas frente a tu objetivo.
Por si te lo preguntas, la API de Clockflux está escrita en Go y nuestras webs se sirven como archivos estáticos, así que esta vez lo vimos desde la barrera.
Si la presión de las guardias, o ser siempre quien lo arregla todo, está afectando a tu sueño o a tu salud, habla con alguien: tu médico, un profesional de la salud mental o el programa de ayuda al empleado si tu empresa lo ofrece. Registrar tus horas puede mostrarte un patrón. No sustituye a ese apoyo.