Una web puede funcionar perfectamente, cargar rápido y tener un diseño impecable. Sin embargo, eso no significa que esté protegida. Las vulnerabilidades críticas de PHP que han provocado una alerta de seguridad este 21 de octubre nos recuerdan algo que a veces se pasa por alto: una página web necesita mantenimiento incluso cuando parece que todo funciona bien.
El equipo de desarrollo de PHP ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades graves que podrían permitir la ejecución remota de código en servidores afectados sin necesidad de autenticación. La recomendación es clara: revisar las instalaciones y aplicar las actualizaciones cuanto antes.
Si tienes una web corporativa, una tienda online o una página creada con WordPress, esto te interesa.
¿Qué ha pasado con las vulnerabilidades críticas de PHP?
El 21 de octubre de 2026, el equipo de PHP publicó parches para corregir dos fallos de seguridad identificados como CVE-2026-109618 y CVE-2026-109619. Ambos han recibido una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS v4.0.
Las actualizaciones se publicaron durante la tarde en horario peninsular español, alrededor de las cuatro. La alerta afecta al entorno de ejecución de PHP, un lenguaje utilizado para desarrollar y mantener una gran cantidad de páginas web y aplicaciones.
¿Por qué es tan importante? Porque PHP no es una herramienta aislada. Está presente en plataformas como WordPress y en muchos sistemas que gestionan contenidos, usuarios, formularios, tiendas y bases de datos.
Según el aviso oficial del equipo de PHP, las vulnerabilidades pueden permitir ejecutar código de forma remota sin autenticación. Esto significa que, bajo las condiciones necesarias para explotar los fallos, un atacante podría llegar a ejecutar instrucciones en un servidor vulnerable.
La gravedad concreta para cada instalación depende de su versión, configuración y entorno de ejecución. Aun así, el aviso oficial recomienda actualizar de inmediato.
¿Qué riesgos tienen estos fallos de seguridad?
Para entender el alcance del problema, conviene distinguir entre una web que presenta un error visible y un servidor que tiene una vulnerabilidad explotable.
Un fallo de diseño puede hacer que un botón no se vea bien en el móvil. Una vulnerabilidad como las publicadas hoy puede comprometer la seguridad de la infraestructura que hace funcionar una web.
Los riesgos potenciales incluyen:
- Ejecución remota de código: un atacante podría conseguir que el servidor ejecutase instrucciones no autorizadas.
- Acceso a información sensible: dependiendo del nivel de compromiso, podrían quedar expuestos datos accesibles desde el servidor.
- Manipulación de la web: una intrusión podría facilitar cambios no autorizados en páginas, contenidos o archivos.
- Compromiso de otros recursos: si el servidor tiene acceso a otros sistemas, la intrusión podría ampliar su alcance.
Estos son riesgos potenciales, no una afirmación de que todas las webs que utilizan PHP hayan sido atacadas. Tener una versión vulnerable tampoco demuestra por sí solo que exista una intrusión.
Lo importante es que el fallo puede afectar a una capa que muchas personas no ven cuando visitan una página. El navegador muestra el resultado; PHP y el servidor trabajan detrás.
¿Qué versiones de PHP tienen el parche de seguridad?
El equipo oficial de PHP ha publicado versiones corregidas para varias ramas del lenguaje. Las versiones indicadas en su aviso de seguridad son:
- PHP 8.2: versión 8.2.35.
- PHP 8.3: versión 8.3.36.
- PHP 8.4: versión 8.4.27.
- PHP 8.5: versión 8.5.12.
Si utilizas alguna de estas ramas, debes comprobar que tienes instalada la versión corregida correspondiente o una actualización posterior que incluya las mismas correcciones.
¿Y qué ocurre si tu web utiliza PHP 8.1 o una versión anterior? El proyecto PHP ya no publica actualizaciones ordinarias para esas versiones antiguas. Algunos proveedores de sistemas y servicios de soporte ampliado pueden ofrecer correcciones adaptadas, por lo que conviene consultar su documentación.
No actualices el servidor a ciegas sin comprobar la compatibilidad con tu aplicación. Una actualización bien planificada debe tener en cuenta el CMS, los plugins, el tema y las dependencias. La solución adecuada es instalar una versión corregida compatible y verificar que la web sigue funcionando.
Puedes consultar los detalles y las versiones afectadas en el aviso oficial de seguridad de PHP.
¿Qué debes hacer si tienes una web en WordPress?
Si tu página está hecha con WordPress, hay una distinción importante: actualizar WordPress no significa necesariamente actualizar PHP.
WordPress es el sistema que gestiona los contenidos y muchas de las funciones de la página. PHP es el lenguaje que ejecuta buena parte de ese sistema en el servidor. Son componentes relacionados, pero las actualizaciones se gestionan de manera diferente.
Para revisar la situación de tu web, puedes seguir estos pasos.
1. Comprueba qué versión de PHP utiliza tu web
En muchos alojamientos puedes consultar la versión de PHP desde el panel de control. Si no encuentras esa opción, solicita la información al proveedor del hosting o a la persona responsable del mantenimiento.
No des por hecho que todas las páginas alojadas en una misma empresa utilizan la misma versión. Incluso dentro de una misma cuenta puede haber diferencias según la configuración.
2. Confirma que la actualización está aplicada
Pregunta a tu proveedor qué versión exacta está ejecutando el sitio y si ha instalado las correcciones para CVE-2026-109618 y CVE-2026-109619.
En algunos alojamientos, el proveedor gestiona las actualizaciones del sistema. En otros, el administrador de la web tiene que solicitar el cambio o realizarlo desde su panel. Que el hosting anuncie una actualización disponible no siempre significa que tu instalación ya esté corregida.
3. Comprueba la compatibilidad antes de cambiar de versión
Si administras directamente el servidor, revisa las dependencias, los plugins y el tema de WordPress antes de actualizar. Siempre que sea posible, realiza una copia de seguridad y prueba los cambios en un entorno de pruebas.
Si no tienes experiencia administrando PHP, es preferible que la actualización la gestione el proveedor de alojamiento o un profesional técnico. Una configuración incorrecta puede dejar una web temporalmente fuera de servicio.
4. Verifica que la página sigue funcionando
Después de actualizar, comprueba el acceso a la web, el formulario de contacto, el inicio de sesión, las compras si tienes una tienda online y las funciones más importantes. También conviene revisar los registros del servidor para detectar errores inesperados.
Si sospechas que alguien ha explotado la vulnerabilidad, actualizar es necesario, pero puede no ser suficiente para resolver el incidente. En ese caso, conviene investigar los registros, comprobar la integridad de los archivos y revisar posibles accesos no autorizados.
Una web no está terminada el día que se publica
En diseño web solemos dedicar mucho tiempo a lo que el usuario va a ver: la estructura, los colores, la tipografía, las imágenes, la navegación y los contenidos. Todo eso importa, y mucho.
Pero una web también depende de elementos que no aparecen en una captura de pantalla. El servidor, la versión de PHP, las actualizaciones del CMS, las extensiones y las copias de seguridad forman parte de su funcionamiento.
En Lumazaki trabajamos con la parte visual y comunicativa de las marcas, y noticias como esta sirven para recordar que una página web no debería tratarse como un proyecto que se entrega y se olvida.
Una empresa puede invertir en su identidad visual y en una web que represente bien su trabajo. Si después nadie se ocupa de mantenerla, existe el riesgo de que esa inversión quede expuesta a problemas evitables.
Esto no significa que todo negocio tenga que convertirse en experto en ciberseguridad. Significa que debe saber quién se ocupa de la parte técnica y qué incluye realmente ese servicio.
La pregunta que conviene hacer hoy
Las vulnerabilidades críticas de PHP publicadas este 21 de octubre tienen una solución en forma de actualizaciones, pero cada instalación necesita comprobar su situación concreta.
Si tienes una web, contacta con tu proveedor de hosting o mantenimiento y pregunta dos cosas: qué versión de PHP está utilizando y si ya ha aplicado las correcciones de seguridad publicadas hoy.
Es una consulta sencilla que puede ayudarte a detectar un problema antes de que tenga consecuencias.
Y si no sabes quién se encarga de mantener tu web, quizá esa sea la primera cuestión que necesitas resolver.