Crisis de seguridad de PHP: qué ha pasado y cómo saber si tu web está protegida
Dos vulnerabilidades críticas han obligado a actualizar PHP de urgencia
El 21 de octubre de 2026, el equipo de PHP publicó varias actualizaciones de seguridad extraordinarias para corregir dos vulnerabilidades críticas capaces de permitir la ejecución remota de código sin autenticación.
Traducido a un lenguaje menos técnico: bajo determinadas condiciones, un atacante podía intentar ejecutar instrucciones en un servidor que utilizase una versión vulnerable de PHP sin necesidad de disponer previamente de usuario o contraseña.
Las vulnerabilidades han sido identificadas como CVE-2026-109618 y CVE-2026-109619 y tienen una gravedad especialmente elevada. El propio proyecto PHP ha indicado que no existen mitigaciones completas que sustituyan a la actualización y recomienda instalar las versiones corregidas cuanto antes.
La historia resulta todavía más llamativa porque los fallos estaban relacionados con comportamientos presentes desde versiones muy antiguas de PHP. Su descubrimiento se produjo dentro de una investigación de seguridad en la que participaron diferentes especialistas y herramientas de inteligencia artificial. OpenAI ha explicado que Calif identificó uno de los problemas utilizando GPT-5.6 Sol dentro de su iniciativa Patch the Planet, mientras que Wiz descubrió y comunicó de manera independiente las vulnerabilidades.
La noticia fue explicada también por Marketing4eCommerce en su artículo sobre la denominada crisis PHP2Shell.
Qué es PHP y por qué puede afectar a tu WordPress
PHP es un lenguaje de programación que se ejecuta en el servidor y constituye una parte fundamental de una enorme cantidad de páginas web.
Si tienes una web realizada con WordPress o WooCommerce, PHP forma parte de la infraestructura que permite ejecutar el sitio. También existen otros CMS y aplicaciones web construidos sobre este lenguaje.
Esto significa que puedes tener WordPress completamente actualizado y, aun así, necesitar revisar PHP.
Son dos capas diferentes.
WordPress puede estar utilizando su última versión, todos los plugins pueden estar actualizados y el problema seguir existiendo si el servidor continúa ejecutando una versión de PHP afectada.
La vulnerabilidad se encuentra en el propio lenguaje que ejecuta la aplicación.
La alerta oficial de PHP afecta a las instalaciones utilizadas para servir peticiones web, incluyendo configuraciones como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto PHP considera especialmente elevado el riesgo de determinadas configuraciones con mod_php.
Por eso, esta vez no basta con entrar en el panel de WordPress y pulsar “Actualizar”.
Qué podría ocurrir si un servidor vulnerable fuese comprometido
El concepto técnico que aparece en las alertas es Remote Code Execution o RCE, es decir, ejecución remota de código.
Es una de las categorías de vulnerabilidad que se consideran especialmente graves porque puede permitir que un atacante ejecute código en el servidor.
Dependiendo de cómo esté configurado el sistema y de los permisos disponibles, un incidente de este tipo podría afectar al funcionamiento de la web y a la información accesible desde el servidor.
En un escenario de compromiso podrían aparecer problemas como modificaciones no autorizadas, archivos maliciosos, cambios en el contenido, redirecciones fraudulentas o acceso a información almacenada por las aplicaciones.
En un ecommerce el riesgo adquiere todavía mayor importancia, ya que pueden existir datos de clientes, pedidos, formularios y diferentes integraciones con sistemas externos.
Esto no significa que todas las webs que utilizaban una versión afectada hayan sido atacadas.
Significa que la vulnerabilidad era suficientemente grave como para que PHP recomendase actualizar inmediatamente y afirmase que la actualización era la única opción segura frente a estos fallos.
Cómo comprobar si tu web está protegida
El primer paso es identificar si tu web utiliza PHP.
Si trabajas con WordPress o WooCommerce, la respuesta será sí. A partir de ahí hay que comprobar qué versión está ejecutando realmente el servidor.
Las versiones publicadas específicamente para corregir estas vulnerabilidades fueron:
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
PHP confirmó oficialmente que estas cuatro versiones incorporan las correcciones para CVE-2026-109618 y CVE-2026-109619.
Si utilizas una versión posterior dentro de esas ramas que ya incorpora estos parches, también debería contener la corrección. Lo importante no es quedarse para siempre exactamente en esas cuatro versiones, sino asegurarse de que se está utilizando una versión mantenida que incluya el parche.
Si la web continúa funcionando con una rama antigua de PHP, lo recomendable es estudiar una migración a una versión actualmente soportada.
Antes de modificar PHP en una web en producción conviene, además, comprobar que plugins, tema y desarrollos propios sean compatibles y disponer de una copia de seguridad recuperable.
Ayudamos a empresas como la tuya a conseguir clientes
Diseño Web Contrata Tarifa Luz
SEO para clínica dental en Valladolid
Gestión de redes sociales para teatro en Laguna de Duero
SEO para empresa de retirada de amianto en Valladolid
SEO para empresa de grúas y plataformas elevadoras en Valladolid
Auditoría SEO para marca internacional de fotografía e imagen
Actualizar PHP es imprescindible, pero conviene revisar algo más
Instalar una versión corregida elimina la vulnerabilidad conocida hacia adelante, pero una revisión de seguridad no debería terminar necesariamente ahí.
Si el servidor estuvo expuesto antes de aplicar el parche, conviene comprobar que no existen señales de actividad anómala.
El equipo técnico puede revisar registros del servidor, cambios recientes en archivos, usuarios administrativos, tareas programadas y otros elementos que permitan detectar modificaciones inesperadas.
También debería verificarse que las copias de seguridad funcionan realmente.
Tener un sistema que dice realizar backups cada día no garantiza que esas copias sean recuperables cuando llegue el momento de utilizarlas.
Después de actualizar, es recomendable comprobar además las funcionalidades esenciales de la web:
formularios de contacto, inicio de sesión, panel administrativo, ecommerce, carrito, proceso de compra, métodos de pago y cualquier integración crítica para el negocio.
Si utilizas un hosting gestionado, puedes preguntar directamente a soporte qué versión de PHP ejecuta tu web y si las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 ya están corregidas.
No hace falta ser administrador de sistemas para realizar esa comprobación.
La seguridad web no debería revisarse únicamente cuando aparece una alerta crítica
Este incidente vuelve a poner sobre la mesa un problema habitual: muchas empresas mantienen sus webs durante años sin revisar la infraestructura sobre la que funcionan.
Actualizar WordPress es importante, pero una web depende también de PHP, base de datos, servidor, plugins, tema, certificados, copias de seguridad, firewall y diferentes configuraciones.
La seguridad debe trabajarse como mantenimiento continuo.
Esto implica mantener versiones soportadas, eliminar plugins que ya no se utilizan, revisar usuarios administrativos, disponer de copias de seguridad externas y controlar periódicamente el estado técnico del sitio.
En La Fábrica del SEO podemos ayudarte a revisar tu web, comprobar su versión de PHP, detectar configuraciones o elementos desactualizados y coordinar las acciones necesarias con tu proveedor de hosting cuando el problema dependa directamente del servidor.
Si trabajas con WordPress o WooCommerce y no sabes si tu web está protegida frente a estas vulnerabilidades, podemos revisar el estado técnico del sitio y ayudarte a determinar qué medidas necesitas aplicar.
Porque en una incidencia de seguridad, saber que “la web sigue funcionando” no siempre significa que todo esté correctamente protegido.
Preguntas frecuentes sobre la vulnerabilidad de PHP
¿Actualizar WordPress soluciona esta vulnerabilidad?
No. Estas vulnerabilidades afectan a PHP, que funciona a nivel de servidor. WordPress y sus plugins deben mantenerse actualizados igualmente, pero la corrección de PHP tiene que aplicarse en la infraestructura donde se ejecuta la web.
¿Qué versiones de PHP corrigen PHP2Shell?
PHP publicó específicamente las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 con las correcciones para las dos vulnerabilidades críticas. Las versiones posteriores de esas ramas que incorporen dichos parches también estarán corregidas.
¿Cómo puedo saber qué PHP utiliza mi web?
En WordPress puede consultarse información del servidor desde las herramientas de salud del sitio o desde el panel del hosting. Si tienes dudas, lo más seguro es solicitar a tu proveedor o equipo técnico que confirme exactamente la versión activa en producción.
¿Si ya he actualizado PHP tengo que hacer algo más?
Es recomendable comprobar el funcionamiento de la web, disponer de copias de seguridad válidas y, especialmente en sitios críticos, revisar registros y posibles modificaciones sospechosas ocurridas antes de instalar el parche.
Empieza a conseguir resultados con un plan de marketing digital
