Vulnerabilidad de seguridad en PHP: 7 pasos para proteger tu web

Actualizado: 22 de octubre de 2026

La vulnerabilidad de seguridad en PHP anunciada el 21 de octubre es grave, pero el primer paso para quien administra una web es claro: preguntar al proveedor de hosting qué paquete de PHP ejecuta el sitio y confirmar que ya están activas las correcciones de los dos fallos. Las vulnerabilidades podrían permitir ejecución remota de código sin autenticación en instalaciones afectadas. Esta guía explica a quién puede afectar, cómo comprobar el servidor, qué preguntar al proveedor y qué revisar después de aplicar el parche.

Vulnerabilidad de seguridad en PHP: qué ha pasado

El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para dos fallos: CVE-2026-109618 y CVE-2026-109619. CERT-EU asigna a ambos una puntuación CVSS 4.0 de 9,2 y señala que pueden permitir ejecución remota de código sin autenticación. Uno está relacionado con corrupción de memoria durante la gestión de falta de memoria; el otro, con un estado interno obsoleto entre solicitudes. Quien administra una web no necesita diagnosticar esas causas técnicas. Lo relevante es que una petición a una instalación vulnerable podría hacer que el servidor ejecutase código no autorizado.

El anuncio recibió más atención porque la inteligencia artificial ayudó a identificar uno de los fallos. OpenAI explica que Calif utilizó GPT-5.6 Sol dentro de su iniciativa Patch the Planet para identificar una vulnerabilidad crítica; la empresa de seguridad Wiz descubrió y notificó ambos fallos de forma independiente. El equipo de PHP coordinó las correcciones y su publicación. Esto no significa que la IA haya atacado webs: demuestra que un software muy extendido puede conservar errores graves hasta que se investigan.

Por qué una vulnerabilidad de PHP afecta a WordPress

PHP es el lenguaje del servidor que WordPress utiliza para generar páginas y procesar solicitudes. Por eso, una actualización de seguridad de PHP se aplica en el servidor de hosting, no desde la pantalla de actualizaciones de WordPress. Mantener al día WordPress, el tema y los plugins es importante, pero no sustituye la actualización del entorno PHP.

El aviso sobre la vulnerabilidad de seguridad en PHP tampoco demuestra que una web concreta haya sido comprometida. La exposición depende del paquete PHP y de la configuración que sirven realmente el dominio, y de si el proveedor ha instalado la corrección o un parche retroportado por su distribuidor. Si necesitas ayuda para comprobar si la vulnerabilidad de seguridad en PHP afecta a tu web, consulta con tu desarrollador web o proveedor de hosting.

Versiones de PHP afectadas y corregidas

Para la vulnerabilidad de seguridad en PHP anunciada el 21 de octubre, el proyecto publicó versiones corregidas en estas ramas mantenidas:

• PHP 8.5: 8.5.12 o una versión posterior de esa rama
• PHP 8.4: 8.4.27 o posterior
• PHP 8.3: 8.3.36 o posterior
• PHP 8.2: 8.2.35 o posterior

Las versiones anteriores de esas ramas están afectadas. PHP 8.1 y anteriores ya no reciben las actualizaciones de seguridad regulares del proyecto. Algunos proveedores de hosting y distribuidores de sistemas operativos mantienen sus propios paquetes y pueden incorporar la corrección sin cambiar el número de versión para que coincida con el publicado por PHP. Pide al proveedor que confirme que el paquete que sirve tu dominio incluye las correcciones para los dos CVE; no te guíes solo por el número de versión.

Qué hacer ante la vulnerabilidad de seguridad en PHP

1. Identifica el entorno activo. Revisa el panel de hosting o pregunta al soporte qué versión y paquete PHP sirven el dominio afectado. El panel de WordPress puede mostrar una versión, pero el proveedor puede confirmar el paquete activo del servidor.
2. Pregunta por las dos correcciones. Puedes enviar este mensaje: «¿El entorno PHP que sirve mi dominio incluye las correcciones para CVE-2026-109618 y CVE-2026-109619? Si han aplicado un parche retroportado, ¿pueden confirmar el paquete y cuándo se activó?»
3. Aplica la actualización. Si el proveedor administra el servidor, pídele que lo actualice y confirme cuándo estará activo. En servidores propios, el administrador debe instalar el paquete actualizado del distribuidor del sistema operativo o una versión corregida de PHP y comprobar que se ha reiniciado el servicio correcto.
4. Haz una copia y prueba. Conserva una copia restaurable. Si tienes un entorno de pruebas, úsalo antes de cambiar de rama de PHP. Los temas o plugins antiguos pueden necesitar comprobaciones de compatibilidad.
5. Prueba los flujos importantes. Revisa la página de inicio, formularios de contacto y consulta, acceso de usuarios, pagos o compra, reservas e integraciones que use tu organización. Comprueba tanto móvil como escritorio.

No hagas cambios improvisados en producción para igualar el número de versión publicado por PHP. Un paquete mantenido por el proveedor puede incluir la corrección mediante un parche retroportado. Lo importante es que la actualización esté activa en el entorno que sirve tu dominio.

Qué hacer si el proveedor no puede actualizar de inmediato

CERT-EU recomienda que las organizaciones que no puedan instalar el parche enseguida consideren aislar las aplicaciones accesibles desde Internet hasta aplicar y verificar la corrección. En una web de negocio, decide esta medida con el proveedor o administrador del servidor, valorando el riesgo y el impacto de dejar el servicio temporalmente fuera de línea.

El proyecto PHP indica que la actualización es la solución completa. Un plugin de WordPress, ocultar mensajes de error o cambiar una opción del escritorio no corrige un entorno PHP vulnerable. Algunos cambios temporales del servidor pueden reducir la exposición a ciertos vectores, pero no sustituyen el parche y pueden configurarse mal. Sigue el aviso técnico con ayuda de una persona cualificada.

Qué revisar después de actualizar PHP

Cuando el proveedor confirme que la corrección está activa, prueba las páginas y funciones que utilizan tus clientes. Si algo deja de funcionar, anota qué página falla y qué comportamiento observas; envía esa información al hosting o a tu desarrollador. No vuelvas a una versión vulnerable sin consultar antes el riesgo. Pregunta si el proveedor ha revisado los registros del servidor del periodo anterior a la actualización.

El parche cierra la vulnerabilidad conocida en el entorno actualizado; no confirma si alguien accedió al servidor antes de instalarlo. Si encuentras cuentas de administrador desconocidas, redirecciones inesperadas, archivos que no reconoces o envíos de correo inusuales, pide al proveedor que investigue el posible incidente por separado y conserve los registros pertinentes.

Preguntas frecuentes sobre la vulnerabilidad de seguridad en PHP

¿La vulnerabilidad de seguridad en PHP afecta a todas las webs WordPress?

No. Afecta a instalaciones PHP vulnerables que procesan solicitudes web; no significa que todos los sitios WordPress estén afectados automáticamente. Pide al proveedor que compruebe el paquete que sirve tu dominio y confirme si incluye las dos correcciones.

¿Puedo actualizar PHP desde el escritorio de WordPress?

Normalmente, no. WordPress puede mostrar qué versión de PHP utiliza el sitio, pero el entorno del servidor se cambia desde el panel de hosting o mediante el proveedor o administrador del servidor.

¿Qué versión de PHP debería usar mi web?

Una rama con soporte vigente, compatible con el sitio y que incluya las correcciones. Las versiones corregidas anunciadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Confirma con tu proveedor la disponibilidad y compatibilidad antes de cambiar.

El hosting dice que aplicó un parche retroportado. ¿Es suficiente?

Un parche retroportado puede incluir la corrección sin mostrar el mismo número que la versión publicada por PHP. Pide al proveedor que confirme que el paquete incluye las soluciones para CVE-2026-109618 y CVE-2026-109619.

¿Que mi web usara una versión vulnerable significa que la hackearon?

No necesariamente. La exposición no demuestra que hubiera un acceso. Aplica el parche y pide al proveedor que revise los registros y te indique si recomienda una investigación adicional.

¿Tengo que desconectar la web?

Primero pide al proveedor que compruebe el servidor. Si no puede aplicar la actualización enseguida, consulta con el administrador si conviene aislar temporalmente el servicio o tomar otra medida.

Fuentes oficiales y lecturas recomendadas

• Proyecto PHP: avisos de seguridad y versiones publicadas
• CERT-EU: vulnerabilidades críticas en PHP, aviso 2026-018
• OpenAI: Patch the Planet y respuesta coordinada

Esta guía ofrece información general para propietarios de webs; no es una auditoría de un servidor concreto. El proyecto PHP y el proveedor de hosting son las fuentes de referencia para conocer el paquete instalado en cada sitio.

Nota: La inteligencia artificial ha ayudado en la investigación y redacción de este artículo. La información se ha contrastado con las fuentes oficiales enlazadas.

This post is also available in: