PHP corrige dos fallos críticos: qué debes comprobar si tienes una web

Qué ha pasado

El 21 de octubre, el proyecto PHP publicó una actualización de seguridad para corregir dos vulnerabilidades críticas identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas permiten, en determinadas condiciones, que un atacante ejecute código en el servidor donde corre PHP. La puntuación de gravedad indicada por la propia PHP Foundation es de 9,2 sobre 10. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

La historia tiene una parte incómoda. Según relata la fundación, el día antes de la publicación aparecieron en foros y redes los identificadores de las vulnerabilidades, con una hora de lanzamiento y una puntuación equivocadas. El equipo adelantó entonces el lanzamiento un día, del 22 al 21 de octubre. Además, una empresa de seguridad publicó por error un vídeo con su prueba de concepto y un proveedor sacó imágenes con el parche antes de lo acordado, rompiendo el embargo pactado. Cuando se publicó el parche, el equipo de PHP decía no haber visto todavía ningún ataque que funcionase, aunque seguía vigilando las pruebas de concepto que circulaban.

Sobre si ya se estaban explotando, hay un dato que merece cautela. Según BleepingComputer (se abre en otra pestaña), el equipo de inteligencia de amenazas de Amazon afirma haber visto los primeros intentos el 17 de octubre, cuatro días antes de los parches, y que ya se intentaba aprovecharlas de forma amplia. No está claro cuántos ataques tuvieron éxito. El Centro Nacional de Ciberseguridad británico (NCSC) pidió a las organizaciones actualizar de inmediato, o desconectar los servidores que no pudieran parchearse todavía.

Por qué importa

PHP es el lenguaje que hay detrás de una parte enorme de internet, incluido WordPress, que es el gestor de contenidos más usado. Si tu web, tu tienda online o tu blog están hechos con PHP, tu sitio podría estar afectado aunque tú nunca hayas tocado una línea de código. Como el fallo es de los que permiten tomar el control de un servidor, el riesgo no es solo que se estropee tu web: puede usarse para robar datos de clientes, colocar publicidad fraudulenta o atacar a terceros desde tu dominio.

La buena noticia es que la solución existe y suele ser rápida, y en muchos casos la hace tu proveedor de alojamiento. La mala es que, si nadie se ocupa, nadie lo hace.

Qué puedes hacer

• Pregunta a tu hosting o a quien mantiene tu web qué versión de PHP usan y si ya han aplicado la actualización de seguridad. Si te dicen que usas una versión antigua que ya no recibe soporte, es el momento de planificar el cambio.
• Haz una copia de seguridad antes de tocar nada y actualiza también WordPress, el tema y los plugins. Un PHP nuevo con un plugin abandonado puede dar problemas, así que mejor probarlo con calma.
• Vigila señales raras: archivos que no reconoces en tu servidor, la web redirigiendo a otros sitios, usuarios nuevos en el panel o un consumo de recursos que se dispara. Si ves algo así, cambia contraseñas y pide ayuda profesional.

La recomendación oficial es la que menos gusta, pero la más eficaz: actualizar cuanto antes.