Vulnerabilidad crítica de PHP

Respuesta corta: el 21 de octubre de 2026, el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas que permiten ejecutar código en un servidor sin necesidad de contraseña. Si tu página funciona con WordPress, WooCommerce o cualquier sistema hecho en PHP, tu servidor debe actualizarse ya. Si nadie se encarga de tu web, nadie lo hará.

Última actualización: 23 de Octubre del 2026. Esta es una noticia en desarrollo.

Qué pasó, explicado sin tecnicismos

PHP es el lenguaje con el que funcionan WordPress, WooCommerce y una enorme parte de los sitios web del mundo, incluidos muchos sistemas a medida. No es un plugin ni un tema: es el motor que hace que tu página responda.

El 20 de octubre, el equipo de PHP avisó a los administradores de servidores que se prepararan para una actualización de emergencia. Al día siguiente publicó los parches para dos fallas, registradas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9,2 sobre 10 en gravedad.

En palabras simples: cuando una visita interrumpe a PHP de cierta forma (por ejemplo, forzándolo a quedarse sin memoria), el motor puede dejar datos corruptos en su memoria y reutilizarlos después. Un atacante puede aprovechar ese descuido para hacer que tu servidor ejecute sus propias instrucciones. Una de las rutas de ataque usa una función de PHP que viene activada por defecto y que sirve para medir el avance de la subida de archivos.

Por qué esta vez es más grave que otras

• No requiere contraseña. El atacante no necesita entrar a tu panel: basta con enviar peticiones a tu sitio.
• Afecta al motor, no a un plugin. No importa qué tan buenos sean tu tema o tus plugins: si PHP es vulnerable, todo lo que corre encima también.
• Afecta casi cualquier instalación web. El aviso incluye PHP-FPM, Apache con mod_php, php-cgi y LiteSpeed, que son las configuraciones de la mayoría de servidores y hostings.
• Los detalles se filtraron antes del parche. Varios investigadores de seguridad reprodujeron el ataque en laboratorio antes de que existiera la corrección. Eso acorta el tiempo entre la publicación y los primeros ataques reales.
• No hay un “parche temporal” completo. El propio equipo de PHP dice que existen ajustes que reducen la exposición, pero que actualizar es la única opción segura.

¿Mi página está en riesgo?

Está en riesgo si tu servidor usa una versión de PHP anterior a estas:

Para saberlo, entra al panel de WordPress en Herramientas Salud del sitio Información Servidor, o pídele a tu proveedor de alojamiento que confirme la versión. Si la respuesta tarda, es una mala señal.

El caso más delicado son los sitios que todavía funcionan con PHP 7.4 u 8.0. Casi siempre son páginas que nadie ha tocado en años, porque actualizarlas “rompe algo”. Hoy esa decisión de no tocarlas tiene un costo concreto.

El verdadero problema: los sitios abandonados

Las grandes plataformas corrigieron el problema en horas. Algunos proveedores parcharon todos los servidores que administran el mismo día, sin que sus clientes hicieran nada. Ese es el punto: la seguridad no depende de que exista el parche, sino de que alguien lo aplique.

Un sitio abandonado es el que nadie revisa: la landing de una campaña de hace tres años, la web vieja que quedó “por si acaso” después del rediseño, el sitio que hizo un sobrino o un proveedor que ya no contesta. No genera ventas, pero sigue encendido, conectado a internet y, muchas veces, en el mismo servidor que tu página principal.

Cuando un sitio así es comprometido, el daño casi nunca se queda en él:

1. Tu servidor trabaja para otros. Envía spam, aloja páginas de phishing o mina criptomonedas con los recursos que tú pagas.
2. Tu correo deja de llegar. Si el servidor envía spam, tu dominio termina en listas negras y tus correos a clientes caen en la bandeja de no deseados.
3. Google marca tu sitio como peligroso. Los visitantes ven una pantalla roja de advertencia y tu posicionamiento se desploma.
4. Se contaminan los demás sitios. Si varios sitios comparten servidor o cuenta de hosting, uno vulnerado abre la puerta a todos.
5. Expones datos de tus clientes. Formularios, pedidos y registros quedan al alcance del atacante, con las obligaciones que eso implica frente a la Ley Orgánica de Protección de Datos Personales.

Limpiar un servidor infectado, recuperar la reputación del correo y salir de las listas negras cuesta mucho más, en dinero y en tiempo, que un año de mantenimiento.

Qué hace un mantenimiento web responsable ante algo así

Un buen plan de mantenimiento no es “actualizar plugins de vez en cuando”. Ante una alerta como esta, debe incluir:

• Monitoreo de avisos de seguridad de PHP, WordPress y los plugins que usas, para actuar el mismo día.
• Actualización del servidor a la versión corregida y reinicio de los procesos de PHP, que es el paso que muchos olvidan: sin reinicio, el parche no se aplica.
• Respaldo previo y prueba posterior para confirmar que tu tienda, formularios y pagos siguen funcionando.
• Plan para versiones viejas: si tu sitio no funciona en PHP 8.2 o superior, migrarlo es parte del trabajo, no un extra opcional.
• Inventario de sitios: saber qué está encendido, para qué sirve y apagar lo que ya no se usa.

Lo que hicimos en MStudio

Los clientes con plan de mantenimiento no tuvieron que hacer nada: recibieron un aviso cuando su sitio ya estaba protegido.

Qué hacer hoy si tienes una página web

1. Confirma la versión de PHP de tu servidor.
2. Si no es una de las versiones seguras, pide a tu proveedor que la actualice hoy y que te confirme por escrito.
3. Haz una lista de todos los sitios y subdominios que tienes en línea, incluidos los viejos.
4. Apaga o elimina los que ya no usas, después de respaldarlos.
5. Si nadie se encarga de tu web, asigna a alguien. Esta no será la última alerta.

¿No sabes si tu web está protegida? Te revisamos la versión de PHP y el estado de tu sitio sin costo, y te decimos qué hacer.

¿Conoces negocios con páginas web que nadie mantiene? Recomiéndanos y gana el 20 % de cada mensualidad de mantenimiento durante un año.