El ecosistema PHP afronta una alerta de seguridad de máxima relevancia. El equipo de desarrollo publicó el 21 de octubre de 2026 una actualización extraordinaria para corregir dos vulnerabilidades críticas que pueden permitir a un atacante ejecutar código de forma remota en determinados servidores sin disponer de credenciales.
Los fallos están identificados como CVE-2026-109618 y CVE-2026-109619, y han recibido una puntuación de 9,2 sobre 10 en la escala CVSS 4.0. La alerta afecta especialmente a sitios web, tiendas online, aplicaciones corporativas y servicios desarrollados con PHP que reciben peticiones desde Internet.
Qué ha ocurrido y por qué es importante
Según el aviso oficial publicado en PHP.net, las vulnerabilidades están relacionadas con la gestión de memoria y del estado interno de las solicitudes procesadas por PHP. La primera, CVE-2026-109618, se vincula a una corrupción provocada durante situaciones de falta de memoria. La segunda, CVE-2026-109619, permite que determinados datos internos asociados a una solicitud permanezcan disponibles después de liberar la memoria correspondiente.
En determinadas configuraciones, un atacante podría aprovechar estas condiciones para ejecutar instrucciones en el servidor con los permisos del proceso web. El riesgo es especialmente relevante en instalaciones que utilizan PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed, tecnologías mencionadas por el propio equipo de PHP.
La Agencia de la Unión Europea para la Ciberseguridad, ENISA, junto con otras instituciones europeas, recomendó identificar las aplicaciones basadas en PHP, coordinar la respuesta con los proveedores de alojamiento y priorizar los sistemas expuestos directamente a Internet.
Versiones corregidas y sistemas afectados
PHP ha publicado versiones corregidas para las cuatro ramas con soporte oficial:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las versiones anteriores a estas revisiones están afectadas. PHP 8.1 y las versiones anteriores ya no reciben soporte del proyecto principal, aunque algunos distribuidores de Linux y proveedores con soporte extendido pueden ofrecer correcciones específicas. En cualquier caso, la recomendación prioritaria es migrar a una rama compatible y mantenida.
El aviso de PHP subraya que las medidas de mitigación solo reducen determinadas vías de ataque y no sustituyen a la actualización. Por ello, cambiar algunos parámetros de configuración, limitar las cargas de archivos o reiniciar procesos debe considerarse una acción temporal mientras se instala la versión corregida.
Qué deben hacer las pymes y los comercios online
Las pequeñas empresas no deberían asumir que el problema solo afecta a grandes plataformas. WordPress, gestores de contenidos, tiendas online, intranets y aplicaciones a medida pueden utilizar PHP aunque el propietario no conozca la versión instalada.
- Comprueba la versión de PHP desde el panel del alojamiento, la consola del servidor o la información técnica de tu proveedor.
- Identifica todas las webs y aplicaciones que dependan de PHP, incluidos entornos de pruebas y subdominios.
- Actualiza a una versión corregida y reinicia PHP-FPM, Apache u otros servicios relacionados cuando sea necesario.
- Revisa WordPress, plugins, temas y extensiones después de actualizar el lenguaje del servidor.
- Comprueba los registros del servidor, PHP, firewall y CDN en busca de errores anómalos, peticiones sospechosas o cambios no autorizados.
- Realiza una copia de seguridad verificada antes de intervenir y confirma posteriormente que puede restaurarse.
Si no es posible aplicar el parche de inmediato, ENISA recomienda aislar las aplicaciones expuestas de las redes públicas hasta completar la corrección. Esta medida puede implicar restricciones temporales de acceso, pero reduce el riesgo mientras se prepara la actualización.
La actualización debe integrarse en el mantenimiento habitual
Las vulnerabilidades de PHP demuestran que la seguridad de una web no depende únicamente de tener un certificado SSL o contraseñas robustas. También exige mantener actualizado el servidor, revisar componentes, supervisar registros, controlar permisos y disponer de copias de seguridad operativas.
Para una pyme o un autónomo, el primer paso es solicitar al proveedor de hosting o al responsable técnico una confirmación por escrito de la versión instalada, la aplicación del parche y la revisión básica de la integridad del sitio. Si la web gestiona pagos, datos personales o pedidos, conviene tratar la actualización como una actuación prioritaria.
Preguntas frecuentes
¿Qué versiones de PHP están afectadas?
Están afectadas las versiones anteriores a PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y anteriores no tienen soporte oficial, por lo que se recomienda actualizar a una rama mantenida o consultar si el proveedor ofrece un parche retroportado.
¿Basta con actualizar WordPress o el plugin de la tienda?
No necesariamente. El problema se encuentra en el propio entorno PHP, por lo que también debe actualizarse la versión del lenguaje en el servidor. Después conviene revisar el CMS, los plugins, los temas y las extensiones para mantener toda la plataforma compatible y segura.
¿Qué ocurre si no puedo actualizar hoy?
Contacta con tu proveedor de alojamiento o equipo técnico para aplicar medidas temporales, limitar la exposición pública y revisar los registros. Estas acciones reducen el riesgo, pero la solución completa consiste en instalar una versión de PHP corregida y comprobar posteriormente el funcionamiento de la web.
Si necesitas comprobar el estado de tu web, actualizar sus componentes y mantenerla protegida frente a nuevas incidencias, consulta el servicio de mantenimiento web de Hostiberi.
