Dos vulnerabilidades críticas en PHP pueden permitir que los atacantes ejecuten código en servidores sin necesidad de autenticarse. Los desarrolladores ya publicaron actualizaciones de emergencia y recomiendan instalarlas de inmediato para evitar que los sitios web queden expuestos.
La alerta de ciberseguridad encendió las alarmas entre administradores de páginas web, empresas y proveedores de alojamiento. El problema afecta al lenguaje de programación PHP, utilizado para ejecutar funciones esenciales de numerosos sitios, incluidos los que trabajan con WordPress.
La recomendación es actuar cuanto antes: comprobar la versión de PHP del servidor, instalar la actualización de seguridad correspondiente y verificar que los servicios estén protegidos. Si no es posible aplicar una solución inmediata, las autoridades de ciberseguridad recomiendan considerar la desconexión temporal de los sistemas expuestos.
¿Qué vulnerabilidades se detectaron en PHP?
El equipo de desarrollo de PHP confirmó el 21 de octubre la publicación de parches para dos fallos de seguridad identificados como CVE-2026-109618 y CVE-2026-109619. Ambos recibieron una puntuación de gravedad de 9,2 sobre 10, considerada crítica.
Las vulnerabilidades pueden abrir la puerta a la ejecución remota de código (RCE), una técnica que permite a un atacante ejecutar instrucciones en un servidor afectado sin contar con una sesión autenticada.
Si un ataque logra comprometer el sistema, las consecuencias podrían incluir el acceso no autorizado a información, la alteración de archivos, el control de procesos del servidor y otros daños, dependiendo de los permisos y las medidas de protección implementadas.
El problema no se limita a WordPress. También puede afectar a otras aplicaciones y servicios web que utilizan PHP para procesar solicitudes.
¿Qué versiones de PHP deben actualizarse?
Los desarrolladores publicaron versiones corregidas para las ramas compatibles de PHP. Los administradores deben comprobar cuál utiliza su alojamiento y aplicar el parche correspondiente.
| Versión de PHP | Actualización de seguridad |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Fuente: avisos oficiales del proyecto PHP, publicados el 21 de octubre de 2026.
Las versiones PHP 8.1 y anteriores ya no reciben actualizaciones directamente del proyecto principal. Algunos proveedores pueden ofrecer correcciones adaptadas, por lo que es necesario consultar al servicio de alojamiento. Si el servidor utiliza una versión sin soporte ni parche disponible, se debe planificar la migración a una versión compatible y corregida.
¿Qué deben hacer los propietarios de páginas web?
La recomendación para quienes administran sitios web es revisar la configuración del servidor y confirmar que la protección esté aplicada. En el caso de WordPress, no basta con actualizar los temas o los plugins, porque el fallo se encuentra en PHP, la tecnología que procesa las instrucciones del sitio.
Estas son las principales medidas que deben tomar los administradores:
- Comprobar la versión de PHP: en WordPress, ingresar a Herramientas, Estado del sitio, Información y Servidor.
- Actualizar PHP: solicitar al proveedor de hosting la versión corregida o instalarla desde el panel de administración, si se cuenta con los permisos necesarios.
- Consultar al alojamiento web: confirmar si el servidor recibió el parche y si las medidas de protección adicionales están activas.
- Revisar posibles incidentes: examinar los registros del servidor, los accesos inusuales y cualquier modificación sospechosa de archivos.
- Mantener copias de seguridad: contar con respaldos recientes facilita la recuperación si se detecta una intrusión.
WordPress confirmó que no es necesaria una actualización específica del CMS para corregir estas vulnerabilidades, ya que la solución debe aplicarse en el entorno PHP del servidor.
¿Por qué algunos sitios web podrían quedar fuera de servicio?
La gravedad de los fallos llevó a organismos de ciberseguridad a recomendar que los sistemas expuestos que no puedan corregirse de inmediato consideren desconectarse temporalmente de internet hasta implementar una solución segura.
La medida busca reducir la exposición mientras se instala el parche. Sin embargo, no significa que todos los sitios web estén infectados ni que todos los servidores vulnerables hayan sido comprometidos.
Reuters informó el 21 de octubre que distintas instituciones y organismos europeos retiraron temporalmente algunos servicios de internet como medida preventiva ante los fallos detectados. También se reportaron advertencias sobre intentos tempranos de explotación, aunque la situación y el alcance de los ataques pueden variar entre sistemas.
Para los administradores, la prioridad es comprobar el estado real de su infraestructura, aplicar la actualización correspondiente y verificar que los servicios funcionen correctamente después del cambio.
¿Los sitios de WordPress están en peligro?
Sí, pueden estar expuestos si funcionan con una instalación vulnerable de PHP. No obstante, utilizar WordPress no implica por sí solo que una página haya sido atacada o que sus datos estén comprometidos.
La exposición depende de la versión de PHP, de cómo está configurado el servidor y de las protecciones disponibles. Por eso, los propietarios de blogs, tiendas virtuales, portales informativos y páginas corporativas deben comprobar su configuración, incluso si mantienen actualizado WordPress.
La advertencia también es relevante para las empresas de hosting, ya que una misma infraestructura puede alojar numerosos sitios web. Actualizar únicamente los plugins o cambiar la contraseña del administrador no corrige el fallo en el motor PHP.
Una actualización que no conviene dejar para después
La publicación de los parches permite actuar frente a las dos vulnerabilidades críticas, pero los administradores todavía deben verificar que la corrección se haya aplicado efectivamente a sus servidores y procesos.
Quienes no tengan acceso a la configuración técnica deben comunicarse con su proveedor de alojamiento y solicitar confirmación de la versión instalada. Si existe sospecha de intrusión, además de actualizar PHP, será necesario investigar los accesos y evaluar la integridad de los archivos y las bases de datos.
La prioridad es clara: actualizar PHP cuanto antes y no asumir que el sitio está protegido sin comprobarlo.
