Vulnerabilidades críticas en PHP: qué ocurre y cómo proteger tu Web

¿Qué ha ocurrido con PHP en octubre de 2026?

El 21 de octubre de 2026 se publicaron actualizaciones urgentes para corregir dos vulnerabilidades críticas de PHP, un lenguaje de programación utilizado por millones de páginas Web y una alerta difundida por organismos europeos de ciberseguridad, incluida ENISA.

Ambas pueden permitir, bajo determinadas condiciones, la ejecución remota de código malicioso en un servidor sin necesidad de disponer de usuario ni contraseña.

¿Significa esto que tu página Web está en peligro? No necesariamente. Que exista una vulnerabilidad no significa que tu Web haya sufrido un ataque, pero la gravedad justifica una actualización urgente. Lo importante es comprobar qué versión de PHP utiliza tu página Web y verificar que dispone de las actualizaciones de seguridad correspondientes.

Te explico cómo hacerlo paso a paso.

¿Qué páginas Web pueden verse afectadas?

Las vulnerabilidades afectan a determinadas versiones de PHP, por lo que pueden estar presentes en páginas Web desarrolladas con WordPress, PrestaShop, Joomla y otros sistemas que utilizan este lenguaje. Se han identificado dos vulnerabilidades que es importante identificar y conviene conocer:

• CVE-2026-109618: Relacionada con un fallo en la gestión de memoria de PHP | 🔴 Crítica (9,2/10)

• CVE-2026-109619: Relacionada con el uso de información almacenada en memoria que ya había sido liberada | 🔴 Crítica (9,2/10)

Tranqui, no necesitas comprender estos términos técnicos para saber qué hacer, pero sí conviene conocer su existencia. Ahora, te toca comprobar qué versión de PHP utiliza tu Web y cómo actualizarla, en caso necesario.

¿Cómo saber qué versión de PHP utiliza mi WordPress?

Antes de que te alarmes, comprueba qué versión está utilizando tu Web en WordPress a través del panel izquierdo desde:

Herramientas Salud del sitio Deja que cargue primero… y después pulsa sobre Información Servidor

Al desplegar este apartado, podrás encontrar en su información «Versión de PHP». Si en tu alojamiento aparece PHP 8.3 y en WordPress encuentras PHP 8.3.36, no te preocupes. El alojamiento puede mostrar únicamente la rama, mientras que WordPress indica la versión completa.

Ahora que conoces tu versión de PHP, comprueba en la siguiente tabla si dispone de las correcciones de seguridad necesarias.

¿Qué versiones de PHP solucionan las vulnerabilidades?

Si tu Web utiliza una de las versiones corregidas que aparecen en la tabla, o una actualización posterior de la misma rama, estas dos vulnerabilidades ya cuentan con una solución. Si tu versión es anterior, lo recomendable es actualizarla cuanto antes.

Rama PHP	Versión corregida
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 8.1 y anteriores	Fuera de soporte oficial de PHP; consultar posibles parches del proveedor

¿Dónde se actualiza PHP?

Normalmente, desde el panel de administración de tu proveedor de alojamiento o hosting (como IONOS, Hostinger, OVHcloud, Arsys…). Cada proveedor organiza sus herramientas de forma diferente, pero generalmente encontrarás esta opción dentro de la configuración del alojamiento o de tu dominio.

Antes de cambiar la versión de PHP, te recomiendo

¿Qué versión de PHP deberías elegir?

No necesitas utilizar necesariamente la versión más reciente. Mi más sincera recomendación es elegir una versión que disponga de soporte y actualizaciones de seguridad, que incluya las correcciones necesarias y que sea compatible con tu página Web.

• Por ejemplo: PHP 8.4 puede ser una opción adecuada actualmente, siempre que tu instalación sea compatible y utilices la versión 8.4.27 o posterior
• Si ya utilizas PHP 8.3.36 y todo funciona correctamente, no necesitas cambiar de rama exclusivamente por esta alerta

Y recuerda: si tienes dudas sobre la compatibilidad, consulta con tu proveedor o con el profesional que gestiona tu Web antes de realizar cambios.

¿Quién debe actualizar PHP: el propietario de la Web o el alojamiento?

La respuesta depende de cómo esté gestionado tu alojamiento y de quién se encargue del mantenimiento de tu página Web.

Tu proveedor de alojamiento es responsable de mantener y actualizar los componentes del servidor que administra, incluyendo las versiones de PHP que pone a disposición de sus clientes.

Sin embargo, esto no significa que siempre cambie automáticamente la versión de PHP que utiliza tu página Web. En algunos alojamientos, puedes seleccionar la versión desde tu panel de administración, mientras que en otros las actualizaciones se aplican directamente desde el servidor.

Entonces, ¿qué tienes que hacer tú?

Si ya has comprobado que utilizas una versión corregida, no necesitas realizar ningún cambio adicional por estas dos vulnerabilidades.

Si tu versión es anterior o no encuentras dónde actualizarla, puedes contactar con tu proveedor de alojamiento y preguntarle si ya ha aplicado las correcciones de seguridad correspondientes.

Y si tu alojamiento solo muestra PHP 8.3, 8.4 o 8.5, sin más números, no significa necesariamente que esté desactualizado. Puede estar mostrando únicamente la rama de PHP y no su versión exacta. En ese caso, puedes consultar la versión completa desde WordPress siguiendo los pasos anteriores.

Lo importante es verificar que las correcciones están aplicadas, sin realizar cambios innecesarios.

¿Por qué es importante mantener actualizada tu página Web?

Al igual que PHP, WordPress, sus temas y plugins reciben periódicamente nuevas actualizaciones. Estas no solo incorporan mejoras o nuevas funcionalidades, muchas también corrigen errores y vulnerabilidades que podrían afectar al funcionamiento o la seguridad de tu sitio Web.

Por eso, mantener tu Web actualizada es una de las mejores formas de prevenir problemas y cuidar tu espacio digital. Eso sí, actualizar no significa hacerlo todo de golpe y sin comprobar nada. Lo recomendable es mantener un seguimiento periódico, realizar copias de seguridad y verificar que los diferentes componentes siguen funcionando correctamente.

Tres aspectos importantes que debes recordar:

• Las vulnerabilidades detectadas en octubre de 2026 afectan a PHP, no exclusivamente a WordPress
• Actualizar WordPress, sus temas o plugins no soluciona automáticamente una vulnerabilidad de PHP
• Tu proveedor de alojamiento también interviene en la seguridad de tu Web, por lo que es importante comprobar que mantiene actualizados sus sistemas

La buena noticia es que estas vulnerabilidades ya cuentan con correcciones disponibles. No se trata de preocuparse por cada nueva alerta, sino de saber qué comprobar y cómo actuar cuando sea necesario.

Me adelanto y te confirmo, por supuesto que puedes preguntarme si estás tratando de averiguar qué versión tienes, si no tienes WordPress, si no lo encuentras en el alojamiento de tu página Web… contacta conmigo (y comprueba que las dudas no tienen coste 👀), elige la que te resulte más cómoda: