La idea clave
Una web puede verse bien y necesitar una actualización urgente. Confirma con tu proveedor que PHP tiene las correcciones, comprueba las funciones del sitio y define quién se ocupa del mantenimiento.
Revisado el 25 de octubre de 2026. Incluye el aviso adicional publicado por PHP el 23 de octubre.
Tu página abre, el logo está en su sitio y el formulario parece funcionar. A simple vista, todo sigue igual. Sin embargo, una parte del software que la hace funcionar puede necesitar una corrección urgente.
Eso explica por qué las vulnerabilidades de PHP también les importan a quienes dirigen un negocio, aunque nunca hayan escrito una línea de código. El 21 de octubre de 2026, PHP publicó actualizaciones para corregir dos fallas críticas que, bajo determinadas condiciones, pueden permitir a un atacante ejecutar instrucciones en el servidor sin iniciar sesión. Aviso oficial de PHP.
Si tu empresa tiene una web en WordPress o una aplicación desarrollada con PHP, conviene confirmar con su responsable que la corrección está aplicada. Entender qué pasó te ayudará a pedir una respuesta concreta y decidir el siguiente paso.
Aviso adicional de PHP del 23 de octubre: qué revisar
El proyecto PHP comunicó otro riesgo, identificado como CVE-2026-115560, ligado a una combinación poco habitual de configuración y código de la aplicación. Anunció que publicaría los detalles completos con la siguiente versión ordinaria.
Pide a tu proveedor que revise si esa condición se presenta en tu sitio y siga las medidas indicadas en el aviso. Esta comprobación se suma a los parches del 21 de octubre. Aviso adicional del proyecto PHP · Actualización de CERT-EU.
Qué es PHP y qué tiene que ver con tu página web
PHP es uno de los lenguajes que permiten que una web haga cosas: procesar información, generar páginas o conectar funciones con una base de datos. En WordPress forma parte de la tecnología que sostiene el sitio.
Puedes imaginar tu web como un local. El diseño es lo que ve el visitante; detrás hay instalaciones que permiten que todo funcione. Puedes renovar la fachada y seguir teniendo una instalación pendiente de mantenimiento.
También hay distintos responsables. WordPress administra el contenido, los plugins añaden funciones y el hosting aloja la web. La versión de PHP se gestiona en el servidor, por lo que actualizar WordPress y actualizar PHP son tareas distintas. Documentación de WordPress sobre PHP.
Qué pasó con las vulnerabilidades de PHP en octubre de 2026
Las dos fallas se identifican como CVE-2026-109618 y CVE-2026-109619. Los códigos permiten que tu proveedor reconozca exactamente qué debe revisar.
El aviso abarca instalaciones de PHP que atienden solicitudes web y señala un riesgo especialmente alto en una configuración de Apache. La recomendación es actualizar inmediatamente: las medidas temporales reducen algunos riesgos, pero no sustituyen la corrección. Alcance del aviso de CERT-EU.
Estas son las versiones publicadas el 21 de octubre:
- PHP 8.2: versión corregida 8.2.35.
- PHP 8.3: versión corregida 8.3.36.
- PHP 8.4: versión corregida 8.4.27.
- PHP 8.5: versión corregida 8.5.12.
Algunos proveedores incorporan las correcciones a sus propios paquetes sin mostrar exactamente esos números. Pide confirmación del parche aplicado, además de la versión. Estas versiones corresponden al aviso del 21 de octubre; para actualizaciones posteriores, consulta las publicaciones del proyecto y de tu proveedor. Correcciones e instrucciones oficiales.
La historia detrás de la actualización urgente
La PHP Foundation explicó que los primeros indicios de uno de los problemas aparecieron durante trabajos derivados de una auditoría de 2024. Resolverlo resultó complejo por sus efectos sobre compatibilidad y funcionamiento. La Fundación reconoció dificultades de proceso y recursos; después, nuevas investigaciones demostraron el alcance del riesgo.
Una filtración alteró la publicación coordinada y adelantó el lanzamiento del 22 al 21 de octubre de 2026. El caso muestra cuánto trabajo puede haber detrás de una actualización que, para el propietario de una web, llega como un simple aviso. Relato de la PHP Foundation.
Ya existían antecedentes con otro alcance. En junio de 2024, la vulnerabilidad CVE-2024-4577 afectó determinadas instalaciones de PHP en Windows con Apache y PHP-CGI. CERT-EU informó entonces de explotación activa. Cada aviso tiene condiciones propias: aquel caso no afectaba de la misma manera a todas las webs. Aviso de CERT-EU de 2024.
Qué puede significar una falla de seguridad para tu negocio
Una vulnerabilidad es una falla que alguien podría aprovechar para alterar un sistema o acceder a información sin autorización. Que exista no demuestra que alguien haya entrado a tu web. Si un atacante consigue aprovecharla, las consecuencias pueden incluir cambios no autorizados, exposición de información accesible desde el sistema o interrupciones del servicio.
Piensa en una empresa que paga anuncios para recibir solicitudes. Si el formulario deja de funcionar, sigue llegando tráfico, pero se pierden oportunidades. En una tienda en línea, una interrupción puede afectar las compras y generar trabajo adicional de atención al cliente.
La confianza también entra en juego. Google explica que los sitios con determinados problemas de seguridad pueden mostrar advertencias en los resultados o al intentar visitarlos. Eso puede dificultar que una persona llegue a tu negocio. Informe de problemas de seguridad de Search Console.
Conviene distinguir ese riesgo de una promesa SEO: actualizar PHP resuelve problemas técnicos concretos; por sí solo, no garantiza mejores posiciones en Google.
Cómo saber si tu página web necesita actualizar PHP
El punto de partida es conseguir cuatro respuestas de quien administra tu sitio:
- Qué versión de PHP está usando la web que reciben los visitantes. Si tienes varios sitios o subdominios, pide revisarlos por separado.
- Si están aplicadas las correcciones de octubre. Una respuesta como “usamos PHP 8” no identifica el parche.
- Hasta cuándo recibe soporte esa serie de versiones, como PHP 8.2. Una versión puede seguir funcionando después de terminar su mantenimiento oficial.
- Quién verifica el resultado. Hace falta comprobar las funciones importantes después de actualizar.
Al 22 de octubre de 2026, PHP 8.2 tiene soporte oficial de seguridad hasta el 31 de diciembre de 2026. PHP 8.1 y versiones anteriores ya terminaron su soporte oficial ordinario. Algunos proveedores ofrecen mantenimiento adicional; confirma qué cubre y qué correcciones entrega. Calendario oficial de PHP.
Puedes enviar este mensaje a tu hosting o responsable web:
Necesito confirmar si mi sitio tiene aplicadas las correcciones para CVE-2026-109618 y CVE-2026-109619. Por favor, indíquenme la versión de PHP que atiende la web, el parche aplicado, la fecha de actualización y quién comprobará los formularios y las demás funciones importantes.
Cómo actualizar PHP y comprobar que la web sigue funcionando
Ante este aviso crítico, contacta al responsable cuanto antes para aplicar y verificar la corrección. La preparación debe acompañar esa respuesta urgente.
Para organizar el trabajo, pide un alcance que incluya:
- Una copia recuperable de archivos y base de datos. Debe estar claro cómo se restauraría si hiciera falta.
- Revisión de compatibilidad. Especialmente si hay plugins antiguos, una plantilla sin mantenimiento o desarrollo a medida.
- Aplicación de la corrección. El proveedor debe confirmar qué cambió y dónde.
- Pruebas de las funciones del negocio. Enviar un formulario y comprobar que llega; revisar accesos, reservas o compras según el sitio. Los pagos deben comprobarse con un procedimiento de prueba acordado.
- Comprobación posterior. Revisar errores y confirmar que la web está utilizando la versión corregida.
WordPress recomienda preparar copias y revisar la compatibilidad antes de cambiar PHP. Instalar una corrección dentro de PHP 8.2 y pasar de PHP 8.2 a PHP 8.4 pueden requerir trabajos distintos; el presupuesto debe explicar cuál necesitas. Preparación de la actualización en WordPress.
Si ya hay cambios extraños, usuarios desconocidos o redirecciones inesperadas, comunica esos indicios desde el principio. Aplicar el parche no elimina por sí mismo los cambios que un intruso pudiera haber dejado.
Más allá de PHP: qué debe cubrir el mantenimiento web
La seguridad de WordPress y de una página empresarial depende de varias piezas. Además de PHP, conviene revisar:
- El gestor de contenidos, las extensiones y la plantilla. Mantenerlos actualizados y retirar componentes innecesarios reduce puntos de entrada.
- Los accesos. Cada persona debe tener los permisos que necesita, con contraseñas sólidas y verificación adicional cuando esté disponible.
- El hosting. Debe quedar claro qué mantiene el proveedor y qué corresponde al administrador de la web.
- Las copias y la recuperación. Guardarlas sirve cuando también existe una forma comprobada de recuperarlas.
- Los avisos y registros. Alguien debe recibirlos y saber cuándo actuar.
Estas medidas forman parte de la reducción de riesgos que describe la guía de seguridad de WordPress. Al contratar mantenimiento de una página web, pide entregables concretos: qué revisan, qué actualizan, cómo comprueban el resultado y cómo responden ante una incidencia.
Preguntas frecuentes sobre PHP desactualizado y seguridad web
¿Mi página está hackeada porque usa una versión vulnerable?
La versión indica exposición a un problema conocido. Confirmar una intrusión requiere investigar el sitio y sus registros. Atiende la actualización aunque todavía no haya señales visibles.
¿Actualizar WordPress también actualiza PHP?
Son componentes distintos. PHP se gestiona en el servidor y suele requerir la intervención del hosting o de quien administra ese entorno.
¿Un plugin de seguridad puede reemplazar el parche?
Para las dos fallas del 21 de octubre de 2026, PHP indica que actualizar es la solución completa. Pide que se aplique la corrección aunque el sitio tenga otras protecciones.
¿Cuánto cuesta actualizar PHP o reparar una web vulnerable?
Depende de si basta con aplicar un parche o si hay que adaptar funciones antiguas, cambiar extensiones o investigar una intrusión. Solicita un diagnóstico y un presupuesto que distinga esos trabajos, las pruebas y el mantenimiento posterior.
¿Tengo que cambiar toda mi página web?
Una vulnerabilidad no basta para decidir una reconstrucción. Primero hay que conocer el estado del sitio. Si depende de componentes abandonados o acumula incompatibilidades, compara el alcance de actualizarlo con el de renovarlo.
El siguiente paso para la web de tu empresa
Empieza por conseguir la confirmación del parche y comprobar que las funciones importantes siguen operativas. Después, define quién mantendrá el sitio y cómo te informará del trabajo.
Si la revisión revela incompatibilidades o la necesidad de renovar tu sitio, cuéntanos qué ocurre con tu página. Podemos ayudarte a definir el trabajo de diseño y desarrollo que necesita tu negocio. También puedes conocer nuestro trabajo de sitios web y landing pages.
