Hostinger informó a sus clientes que la reciente vulnerabilidad de PHP no permite tomar el control de los sitios web alojados en su infraestructura, según las pruebas realizadas por la compañía en sus servidores de producción. El proveedor también anunció que está aplicando una corrección de seguridad de manera automática como medida preventiva adicional.
El aviso resulta relevante para los propietarios de páginas web que utilizan WordPress, blogs, tiendas virtuales y otros servicios que dependen de PHP. En su comunicación, la empresa sostiene que sus sistemas cuentan con mecanismos que impiden que el ataque funcione en su alojamiento compartido y que limitan el alcance de un eventual incidente.
Hostinger asegura que sus clientes no necesitan realizar ninguna acción manual para esta actualización, aunque advierte que deben contactar con su equipo de soporte si detectan cambios en el funcionamiento de sus sitios después de que finalice el proceso.
¿Por qué Hostinger afirma que sus sitios están protegidos?
En el mensaje enviado a sus usuarios, la compañía explica que su infraestructura incorpora tres medidas que, según sus pruebas, impiden que el ataque aproveche las vulnerabilidades descritas.
- LiteSpeed: Hostinger sostiene que su sistema de alojamiento compartido procesa las solicitudes de una manera que impide activar el mecanismo malicioso descrito en el aviso.
- Función vulnerable desactivada: en su nueva plataforma, la empresa afirma que la función afectada de PHP está deshabilitada.
- Aislamiento de cuentas: cada sitio web funciona con una cuenta de privilegios limitados, lo que reduce la posibilidad de que un incidente se extienda al servidor o a las páginas de otros clientes.
La compañía también señala que está instalando la corrección de seguridad en todos sus servicios de alojamiento, incluso aquellos que considera no afectados, como una capa adicional de protección.
Estas explicaciones corresponden a lo comunicado por Hostinger. No constituyen una garantía universal de que cualquier configuración o sitio alojado en su plataforma esté libre de riesgos.
PHP publicó parches de emergencia el 21 de octubre
La actualización anunciada por Hostinger llega en medio de una alerta internacional. El equipo oficial de PHP publicó el 21 de octubre de 2026 correcciones para dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10.
Las versiones corregidas son:
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, afectan a mecanismos internos de gestión de memoria y estado de las solicitudes. En determinadas configuraciones, un atacante podría aprovecharlos para ejecutar instrucciones en el servidor.
La alerta ha tenido repercusiones fuera del sector del alojamiento web. Reuters informó que distintas instituciones europeas desconectaron temporalmente algunos servicios como precaución mientras evaluaban o aplicaban las actualizaciones.
¿Qué deben hacer los usuarios de Hostinger que tienen WordPress?
De acuerdo con el aviso compartido por la compañía, sus clientes no necesitan instalar manualmente el parche anunciado por Hostinger, ya que la actualización se está aplicando automáticamente en sus servicios.
Sin embargo, quienes administran una web deberían tomar estas precauciones:
- Revisar el estado del alojamiento. Consultar las comunicaciones del proveedor y confirmar que la actualización de seguridad ya se aplicó.
- Mantener WordPress actualizado. Instalar las versiones recientes del CMS, los temas y los plugins. Aunque estas actualizaciones no sustituyen el parche de PHP, forman parte de la protección general.
- Comprobar el funcionamiento del sitio. Verificar que las páginas, formularios, publicaciones y funciones esenciales operen correctamente después del mantenimiento.
- Contactar con soporte si aparece un problema. Hostinger pide a sus clientes que avisen si algo funciona de forma diferente tras completar la actualización.
- Conservar copias de seguridad. Los respaldos permiten recuperar información si se produce una incidencia, aunque no sustituyen las medidas de seguridad.
Para quienes utilizan un plan de alojamiento compartido, también es importante distinguir entre actualizar el PHP del servidor y cambiar la versión desde el panel de administración. La forma de aplicar la corrección depende de la infraestructura y de las opciones que ofrezca cada plan.
¿Es necesario apagar una web alojada en Hostinger?
Según el comunicado proporcionado por Hostinger, la empresa considera que sus protecciones impiden explotar las vulnerabilidades en los servidores que probó y que está desplegando los parches de forma preventiva. Por tanto, no hay motivo para afirmar que todos sus clientes deban apagar sus páginas.
La recomendación general de los organismos de ciberseguridad es más cautelosa: cuando un servidor vulnerable no puede actualizarse de inmediato, conviene evaluar su aislamiento temporal para reducir la exposición. El equipo de PHP advierte que las mitigaciones parciales no sustituyen la instalación de las versiones corregidas.
En consecuencia, los propietarios de sitios web deben seguir las instrucciones específicas de su proveedor y confirmar que la protección esté aplicada. Si una página presenta indicios de intrusión, el problema requiere una investigación adicional y no se resuelve únicamente con una actualización automática.
Qué significa esta alerta para los propietarios de páginas web
El mensaje de Hostinger busca tranquilizar a sus clientes y explicar por qué considera protegida su infraestructura. Al mismo tiempo, la actualización de emergencia de PHP recuerda que la seguridad de un sitio depende tanto de las medidas del proveedor como del mantenimiento de las aplicaciones y de la configuración del servidor.
Para los usuarios de WordPress, la conclusión es práctica: revisar las notificaciones del hosting, mantener el sitio actualizado y comprobar su funcionamiento. En este caso, Hostinger afirma que se encargará de aplicar la corrección automáticamente y que sus clientes solo deberán contactar con soporte si detectan cambios después del proceso.
