{"id":4073,"date":"2026-10-22T14:01:51","date_gmt":"2026-10-22T12:01:51","guid":{"rendered":"https:\/\/jonatanrosales.com\/?p=4073"},"modified":"2026-10-22T14:01:51","modified_gmt":"2026-10-22T12:01:51","slug":"vulnerabilidad-de-seguridad-en-php","status":"publish","type":"post","link":"https:\/\/jonatanrosales.com\/es\/vulnerabilidad-de-seguridad-en-php\/","title":{"rendered":"Vulnerabilidad de seguridad en PHP: 7 pasos para proteger tu web"},"content":{"rendered":"<p><strong>Actualizado: 22 de octubre de 2026<\/strong><\/p>\n<p>La vulnerabilidad de seguridad en PHP anunciada el 21 de octubre es grave, pero el primer paso para quien administra una web es claro: preguntar al proveedor de hosting qu\u00e9 paquete de PHP ejecuta el sitio y confirmar que ya est\u00e1n activas las correcciones de los dos fallos. Las vulnerabilidades podr\u00edan permitir ejecuci\u00f3n remota de c\u00f3digo sin autenticaci\u00f3n en instalaciones afectadas. Esta gu\u00eda explica a qui\u00e9n puede afectar, c\u00f3mo comprobar el servidor, qu\u00e9 preguntar al proveedor y qu\u00e9 revisar despu\u00e9s de aplicar el parche.<\/p>\n<nav aria-label=\"Tabla de contenidos\"><strong>En esta gu\u00eda<\/strong><\/p>\n<ul>\n<li><a href=\"#que-ha-pasado\">Qu\u00e9 ha pasado<\/a><\/li>\n<li><a href=\"#php-wordpress\">Por qu\u00e9 PHP afecta a WordPress<\/a><\/li>\n<li><a href=\"#versiones\">Versiones de PHP afectadas y corregidas<\/a><\/li>\n<li><a href=\"#pasos\">Qu\u00e9 hacer paso a paso<\/a><\/li>\n<li><a href=\"#sin-parche\">Qu\u00e9 hacer si el proveedor no puede actualizar<\/a><\/li>\n<li><a href=\"#despues\">Qu\u00e9 revisar tras la actualizaci\u00f3n<\/a><\/li>\n<li><a href=\"#preguntas\">Preguntas frecuentes<\/a><\/li>\n<\/ul>\n<\/nav>\n<figure><img decoding=\"async\" src=\"https:\/\/jonatanrosales.com\/wp-content\/uploads\/2026\/10\/exec-f17aa379-0a8c-4b09-ae6a-d005be1294eb.png\" alt=\"Vulnerabilidad de seguridad en PHP: servidores en un centro de hosting moderno\" title=\"\"><figcaption>Imagen generada con IA para ilustrar un entorno de servidores.<\/figcaption><\/figure>\n<h2 id=\"que-ha-pasado\">Vulnerabilidad de seguridad en PHP: qu\u00e9 ha pasado<\/h2>\n<p>El 21 de octubre de 2026, el proyecto PHP public\u00f3 actualizaciones de seguridad para dos fallos: <strong>CVE-2026-109618<\/strong> y <strong>CVE-2026-109619<\/strong>. CERT-EU asigna a ambos una puntuaci\u00f3n CVSS 4.0 de 9,2 y se\u00f1ala que pueden permitir ejecuci\u00f3n remota de c\u00f3digo sin autenticaci\u00f3n. Uno est\u00e1 relacionado con corrupci\u00f3n de memoria durante la gesti\u00f3n de falta de memoria; el otro, con un estado interno obsoleto entre solicitudes. Quien administra una web no necesita diagnosticar esas causas t\u00e9cnicas. Lo relevante es que una petici\u00f3n a una instalaci\u00f3n vulnerable podr\u00eda hacer que el servidor ejecutase c\u00f3digo no autorizado.<\/p>\n<p>El anuncio recibi\u00f3 m\u00e1s atenci\u00f3n porque la inteligencia artificial ayud\u00f3 a identificar uno de los fallos. OpenAI explica que Calif utiliz\u00f3 GPT-5.6 Sol dentro de su iniciativa Patch the Planet para identificar una vulnerabilidad cr\u00edtica; la empresa de seguridad Wiz descubri\u00f3 y notific\u00f3 ambos fallos de forma independiente. El equipo de PHP coordin\u00f3 las correcciones y su publicaci\u00f3n. Esto no significa que la IA haya atacado webs: demuestra que un software muy extendido puede conservar errores graves hasta que se investigan.<\/p>\n<h2 id=\"php-wordpress\">Por qu\u00e9 una vulnerabilidad de PHP afecta a WordPress<\/h2>\n<p>PHP es el lenguaje del servidor que WordPress utiliza para generar p\u00e1ginas y procesar solicitudes. Por eso, una actualizaci\u00f3n de seguridad de PHP se aplica en el servidor de hosting, no desde la pantalla de actualizaciones de WordPress. Mantener al d\u00eda WordPress, el tema y los plugins es importante, pero no sustituye la actualizaci\u00f3n del entorno PHP.<\/p>\n<p>El aviso sobre la vulnerabilidad de seguridad en PHP tampoco demuestra que una web concreta haya sido comprometida. La exposici\u00f3n depende del paquete PHP y de la configuraci\u00f3n que sirven realmente el dominio, y de si el proveedor ha instalado la correcci\u00f3n o un parche retroportado por su distribuidor. Si necesitas ayuda para comprobar si la vulnerabilidad de seguridad en PHP afecta a tu web, consulta con tu <a href=\"https:\/\/jonatanrosales.com\/es\/\">desarrollador web o proveedor de hosting<\/a>.<\/p>\n<h2 id=\"versiones\">Versiones de PHP afectadas y corregidas<\/h2>\n<p>Para la vulnerabilidad de seguridad en PHP anunciada el 21 de octubre, el proyecto public\u00f3 versiones corregidas en estas ramas mantenidas:<\/p>\n<ul>\n<li><strong>PHP 8.5:<\/strong> 8.5.12 o una versi\u00f3n posterior de esa rama<\/li>\n<li><strong>PHP 8.4:<\/strong> 8.4.27 o posterior<\/li>\n<li><strong>PHP 8.3:<\/strong> 8.3.36 o posterior<\/li>\n<li><strong>PHP 8.2:<\/strong> 8.2.35 o posterior<\/li>\n<\/ul>\n<p>Las versiones anteriores de esas ramas est\u00e1n afectadas. PHP 8.1 y anteriores ya no reciben las actualizaciones de seguridad regulares del proyecto. Algunos proveedores de hosting y distribuidores de sistemas operativos mantienen sus propios paquetes y pueden incorporar la correcci\u00f3n sin cambiar el n\u00famero de versi\u00f3n para que coincida con el publicado por PHP. Pide al proveedor que confirme que el paquete que sirve tu dominio incluye las correcciones para <strong>los dos CVE<\/strong>; no te gu\u00edes solo por el n\u00famero de versi\u00f3n.<\/p>\n<figure><img decoding=\"async\" src=\"https:\/\/jonatanrosales.com\/wp-content\/uploads\/2026\/10\/exec-4bc17d0b-353f-4fa8-b01e-ba57df834ba8.png\" alt=\"Administradora web consultando informaci\u00f3n de seguridad del hosting PHP\" title=\"\"><figcaption>Imagen generada con IA que ilustra la revisi\u00f3n de la seguridad del hosting.<\/figcaption><\/figure>\n<h2 id=\"pasos\">Qu\u00e9 hacer ante la vulnerabilidad de seguridad en PHP<\/h2>\n<ol>\n<li><strong>Identifica el entorno activo.<\/strong> Revisa el panel de hosting o pregunta al soporte qu\u00e9 versi\u00f3n y paquete PHP sirven el dominio afectado. El panel de WordPress puede mostrar una versi\u00f3n, pero el proveedor puede confirmar el paquete activo del servidor.<\/li>\n<li><strong>Pregunta por las dos correcciones.<\/strong> Puedes enviar este mensaje: <em>\u00ab\u00bfEl entorno PHP que sirve mi dominio incluye las correcciones para CVE-2026-109618 y CVE-2026-109619? Si han aplicado un parche retroportado, \u00bfpueden confirmar el paquete y cu\u00e1ndo se activ\u00f3?\u00bb<\/em><\/li>\n<li><strong>Aplica la actualizaci\u00f3n.<\/strong> Si el proveedor administra el servidor, p\u00eddele que lo actualice y confirme cu\u00e1ndo estar\u00e1 activo. En servidores propios, el administrador debe instalar el paquete actualizado del distribuidor del sistema operativo o una versi\u00f3n corregida de PHP y comprobar que se ha reiniciado el servicio correcto.<\/li>\n<li><strong>Haz una copia y prueba.<\/strong> Conserva una copia restaurable. Si tienes un entorno de pruebas, \u00fasalo antes de cambiar de rama de PHP. Los temas o plugins antiguos pueden necesitar comprobaciones de compatibilidad.<\/li>\n<li><strong>Prueba los flujos importantes.<\/strong> Revisa la p\u00e1gina de inicio, formularios de contacto y consulta, acceso de usuarios, pagos o compra, reservas e integraciones que use tu organizaci\u00f3n. Comprueba tanto m\u00f3vil como escritorio.<\/li>\n<\/ol>\n<p>No hagas cambios improvisados en producci\u00f3n para igualar el n\u00famero de versi\u00f3n publicado por PHP. Un paquete mantenido por el proveedor puede incluir la correcci\u00f3n mediante un parche retroportado. Lo importante es que la actualizaci\u00f3n est\u00e9 activa en el entorno que sirve tu dominio.<\/p>\n<h2 id=\"sin-parche\">Qu\u00e9 hacer si el proveedor no puede actualizar de inmediato<\/h2>\n<p>CERT-EU recomienda que las organizaciones que no puedan instalar el parche enseguida consideren aislar las aplicaciones accesibles desde Internet hasta aplicar y verificar la correcci\u00f3n. En una web de negocio, decide esta medida con el proveedor o administrador del servidor, valorando el riesgo y el impacto de dejar el servicio temporalmente fuera de l\u00ednea.<\/p>\n<p>El proyecto PHP indica que la actualizaci\u00f3n es la soluci\u00f3n completa. Un plugin de WordPress, ocultar mensajes de error o cambiar una opci\u00f3n del escritorio no corrige un entorno PHP vulnerable. Algunos cambios temporales del servidor pueden reducir la exposici\u00f3n a ciertos vectores, pero no sustituyen el parche y pueden configurarse mal. Sigue el aviso t\u00e9cnico con ayuda de una persona cualificada.<\/p>\n<h2 id=\"despues\">Qu\u00e9 revisar despu\u00e9s de actualizar PHP<\/h2>\n<p>Cuando el proveedor confirme que la correcci\u00f3n est\u00e1 activa, prueba las p\u00e1ginas y funciones que utilizan tus clientes. Si algo deja de funcionar, anota qu\u00e9 p\u00e1gina falla y qu\u00e9 comportamiento observas; env\u00eda esa informaci\u00f3n al hosting o a tu desarrollador. No vuelvas a una versi\u00f3n vulnerable sin consultar antes el riesgo. Pregunta si el proveedor ha revisado los registros del servidor del periodo anterior a la actualizaci\u00f3n.<\/p>\n<p>El parche cierra la vulnerabilidad conocida en el entorno actualizado; no confirma si alguien accedi\u00f3 al servidor antes de instalarlo. Si encuentras cuentas de administrador desconocidas, redirecciones inesperadas, archivos que no reconoces o env\u00edos de correo inusuales, pide al proveedor que investigue el posible incidente por separado y conserve los registros pertinentes.<\/p>\n<h2 id=\"preguntas\">Preguntas frecuentes sobre la vulnerabilidad de seguridad en PHP<\/h2>\n<h3>\u00bfLa vulnerabilidad de seguridad en PHP afecta a todas las webs WordPress?<\/h3>\n<p>No. Afecta a instalaciones PHP vulnerables que procesan solicitudes web; no significa que todos los sitios WordPress est\u00e9n afectados autom\u00e1ticamente. Pide al proveedor que compruebe el paquete que sirve tu dominio y confirme si incluye las dos correcciones.<\/p>\n<h3>\u00bfPuedo actualizar PHP desde el escritorio de WordPress?<\/h3>\n<p>Normalmente, no. WordPress puede mostrar qu\u00e9 versi\u00f3n de PHP utiliza el sitio, pero el entorno del servidor se cambia desde el panel de hosting o mediante el proveedor o administrador del servidor.<\/p>\n<h3>\u00bfQu\u00e9 versi\u00f3n de PHP deber\u00eda usar mi web?<\/h3>\n<p>Una rama con soporte vigente, compatible con el sitio y que incluya las correcciones. Las versiones corregidas anunciadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Confirma con tu proveedor la disponibilidad y compatibilidad antes de cambiar.<\/p>\n<h3>El hosting dice que aplic\u00f3 un parche retroportado. \u00bfEs suficiente?<\/h3>\n<p>Un parche retroportado puede incluir la correcci\u00f3n sin mostrar el mismo n\u00famero que la versi\u00f3n publicada por PHP. Pide al proveedor que confirme que el paquete incluye las soluciones para CVE-2026-109618 y CVE-2026-109619.<\/p>\n<h3>\u00bfQue mi web usara una versi\u00f3n vulnerable significa que la hackearon?<\/h3>\n<p>No necesariamente. La exposici\u00f3n no demuestra que hubiera un acceso. Aplica el parche y pide al proveedor que revise los registros y te indique si recomienda una investigaci\u00f3n adicional.<\/p>\n<h3>\u00bfTengo que desconectar la web?<\/h3>\n<p>Primero pide al proveedor que compruebe el servidor. Si no puede aplicar la actualizaci\u00f3n enseguida, consulta con el administrador si conviene aislar temporalmente el servicio o tomar otra medida.<\/p>\n<h2>Fuentes oficiales y lecturas recomendadas<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php\" target=\"_blank\" rel=\"noopener\">Proyecto PHP: avisos de seguridad y versiones publicadas<\/a><\/li>\n<li><a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\" target=\"_blank\" rel=\"noopener\">CERT-EU: vulnerabilidades cr\u00edticas en PHP, aviso 2026-018<\/a><\/li>\n<li><a href=\"https:\/\/openai.com\/index\/coordinated-disclosure-of-critical-vulnerabilities\/\" target=\"_blank\" rel=\"noopener\">OpenAI: Patch the Planet y respuesta coordinada<\/a><\/li>\n<\/ul>\n<p><em>Esta gu\u00eda ofrece informaci\u00f3n general para propietarios de webs; no es una auditor\u00eda de un servidor concreto. El proyecto PHP y el proveedor de hosting son las fuentes de referencia para conocer el paquete instalado en cada sitio.<\/em><\/p>\n<p><small>Nota: La inteligencia artificial ha ayudado en la investigaci\u00f3n y redacci\u00f3n de este art\u00edculo. La informaci\u00f3n se ha contrastado con las fuentes oficiales enlazadas.<\/small><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Dos vulnerabilidades cr\u00edticas de PHP pueden permitir ejecuci\u00f3n remota de c\u00f3digo sin autenticaci\u00f3n. Versiones afectadas y pasos para proteger una web WordPress.<\/p>\n","protected":false},"author":4,"featured_media":4070,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"wpai_generated_summary":"","footnotes":"","_wp_rev_ctl_limit":""},"categories":[593,344,345],"tags":[594,596,595],"class_list":["post-4073","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-2","category-desarrollo-web","category-webmaster-es","tag-seguridad-de-php","tag-seguridad-de-wordpress","tag-vulnerabilidades-php"],"_links":{"self":[{"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/posts\/4073","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/comments?post=4073"}],"version-history":[{"count":6,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/posts\/4073\/revisions"}],"predecessor-version":[{"id":4082,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/posts\/4073\/revisions\/4082"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/media\/4070"}],"wp:attachment":[{"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/media?parent=4073"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/categories?post=4073"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jonatanrosales.com\/es\/wp-json\/wp\/v2\/tags?post=4073"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}