Alerta crítica de PHP: qué pasó y qué debes hacer para proteger tu sitio web: Este 21 de octubre de 2026 se encendieron las alertas de ciberseguridad a nivel mundial debido a dos vulnerabilidades críticas detectadas en PHP, una de las tecnologías más utilizadas para el funcionamiento de sitios web.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, fueron calificadas con una severidad de 9,2 sobre 10 y pueden permitir, en determinados escenarios, que un atacante ejecute código de manera remota en un servidor sin necesidad de autenticarse.
El nivel de preocupación fue tan alto que organismos de ciberseguridad recomendaron actualizar inmediatamente los sistemas afectados y, en aquellos casos donde no fuera posible aplicar la corrección de forma rápida, incluso considerar sacar temporalmente de línea los sistemas vulnerables.
¿Qué es PHP y por qué esta noticia afecta a tantos sitios web?
PHP es un lenguaje de programación utilizado principalmente en servidores web para generar contenido dinámico, conectarse con bases de datos y ejecutar muchas de las funciones que permiten que un sitio web funcione correctamente.
Además, se encuentra detrás de plataformas y gestores de contenido ampliamente utilizados, entre ellos WordPress.
Esto significa que la vulnerabilidad no afecta únicamente a grandes compañías o entidades gubernamentales. También puede involucrar sitios corporativos, tiendas virtuales, portales informativos, páginas de servicios y proyectos desarrollados sobre tecnologías que utilizan PHP.
Durante la jornada del 21 de octubre, varios sitios institucionales y gubernamentales fueron retirados temporalmente de internet como medida preventiva mientras se aplicaban las actualizaciones correspondientes.
¿Qué fue exactamente lo que ocurrió?
El equipo de PHP publicó actualizaciones de seguridad de emergencia para corregir dos vulnerabilidades críticas.
Estas vulnerabilidades pueden permitir lo que en ciberseguridad se conoce como ejecución remota de código o RCE, por sus siglas en inglés.
En términos sencillos, esto significa que, bajo determinadas condiciones, un atacante podría ejecutar instrucciones dentro del servidor afectado sin haber iniciado sesión previamente.
Dependiendo de la configuración del servidor y del nivel de acceso conseguido, esto podría derivar en consecuencias como acceso a archivos, manipulación del sitio web, robo de información o compromiso del servidor.
La propia página oficial de PHP confirmó que las dos vulnerabilidades pueden permitir ejecución remota de código sin autenticación y señaló que la actualización es la única opción segura, ya que no existen mitigaciones completas que sustituyan los parches.
¿Qué versiones de PHP deben actualizarse?
Las versiones corregidas publicadas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Quienes se encuentren utilizando versiones anteriores dentro de estas ramas deben realizar la actualización correspondiente cuanto antes.
Además, PHP recordó que la rama 8.2 llegará al final de su vida útil el 31 de diciembre de 2026, por lo que quienes todavía utilicen esta versión también deberían comenzar a planificar su migración hacia una rama con soporte vigente.
¿Tener un sitio WordPress significa que ya fue hackeado?
No.
Que tu sitio utilice WordPress o PHP no significa automáticamente que haya sido comprometido.
Lo que sí significa es que debes verificar qué versión de PHP está utilizando tu servidor y determinar si se encuentra dentro de las versiones afectadas.
El nivel de riesgo aumenta especialmente cuando el servidor está expuesto directamente a internet y utiliza una versión vulnerable sin los parches correspondientes.
Por eso, la recomendación no es entrar en pánico, sino actuar rápidamente.
¿Qué deben hacer las empresas que tienen un sitio web?
El primer paso es identificar si el sitio utiliza PHP y cuál es exactamente la versión instalada.
Si utilizas WordPress, muchas veces puedes encontrar esta información dentro del panel de administración, en:
Herramientas → Salud del sitio → Información → Servidor.
También puedes consultarla directamente en el panel de tu proveedor de hosting.
Una vez identificada la versión, debes compararla con las versiones corregidas publicadas por PHP.
1. Realiza una copia de seguridad antes de actualizar
Antes de realizar cambios importantes en la versión de PHP, crea una copia de seguridad completa.
El backup debería incluir como mínimo:
- Archivos del sitio web.
- Base de datos.
- Plugins.
- Temas.
- Configuraciones importantes.
Aunque la actualización es necesaria por motivos de seguridad, siempre existe la posibilidad de que algún plugin, tema o desarrollo antiguo presente incompatibilidades.
Por eso, contar con una copia de seguridad permite recuperar el sitio si aparece algún problema durante el proceso.
2. Actualiza PHP inmediatamente
Si tu servidor utiliza una versión vulnerable, solicita al proveedor de hosting que actualice PHP o realiza el cambio desde el panel administrativo si tienes permisos para hacerlo.
Las versiones de seguridad disponibles actualmente son 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
El Centro Nacional de Ciberseguridad del Reino Unido también recomendó identificar primero los sistemas PHP expuestos a internet, aplicar las actualizaciones disponibles y seguir monitoreando nuevas recomendaciones de seguridad.
3. Actualiza WordPress, plugins y temas
Actualizar PHP es el paso prioritario, pero no debería ser el único.
Si utilizas WordPress, revisa también que:
- WordPress esté actualizado.
- Los plugins estén en su última versión estable.
- El tema utilizado esté actualizado.
- No existan plugins abandonados o sin mantenimiento.
- Los plugins que ya no utilizas sean eliminados.
Un sitio web seguro depende de diferentes capas de protección, no solamente de PHP.
4. Verifica que el sitio siga funcionando correctamente
Después de realizar la actualización, revisa las funciones principales de la página.
Por ejemplo:
- Formularios de contacto.
- Inicio de sesión.
- Tienda virtual.
- Pasarela de pagos.
- Carrito de compras.
- Integraciones con CRM.
- Formularios de registro.
- Automatizaciones.
- Elementor u otros constructores visuales.
- Plugins multidioma.
- Correos automáticos.
Esto permite detectar rápidamente cualquier incompatibilidad ocasionada por el cambio de versión.
5. Revisa actividad sospechosa
Las empresas también deberían revisar si existen señales de actividad anormal en el servidor.
Algunas señales que pueden requerir una revisión más profunda incluyen:
- Archivos desconocidos.
- Usuarios administradores que nadie reconoce.
- Cambios inesperados en el sitio.
- Redirecciones a páginas externas.
- Incrementos anormales en el consumo del servidor.
- Errores repentinos.
- Plugins instalados sin autorización.
- Modificaciones recientes en archivos críticos.
Los organismos de ciberseguridad también recomendaron monitorear especialmente los sistemas PHP expuestos a internet ante posibles intentos de actividad maliciosa.
6. Si no puedes actualizar, comunícate inmediatamente con tu hosting
No todos los propietarios de sitios tienen acceso directo a la configuración del servidor.
Si no puedes cambiar la versión de PHP desde tu panel, contacta a tu proveedor de hosting y pregunta específicamente por las correcciones para:
CVE-2026-109618
CVE-2026-109619
También puedes consultar si el servidor ya fue actualizado automáticamente.
La recomendación oficial es clara: no existen mitigaciones completas que reemplacen la actualización.
¿Deberías apagar tu sitio web?
En la mayoría de los sitios administrados correctamente, el primer paso debería ser actualizar cuanto antes.
Sin embargo, el NCSC indicó que, cuando una organización no pueda aplicar la corrección inmediatamente, debería considerar desconectar temporalmente el sistema hasta poder mitigar completamente el riesgo.
Esta medida depende del nivel de exposición y criticidad del sitio y debería evaluarse junto con el proveedor de hosting o el equipo técnico responsable.
La ciberseguridad también es responsabilidad del propietario del sitio
Muchas empresas consideran que tener un sitio web publicado significa que el trabajo terminó.
En realidad, una página web necesita mantenimiento permanente.
Actualizar PHP, WordPress, plugins, temas y servidores es tan importante como mantener actualizado el contenido.
Una vulnerabilidad crítica como la anunciada este 21 de octubre demuestra por qué las empresas necesitan monitorear regularmente la infraestructura tecnológica que soporta su sitio web.
No importa si tienes una tienda virtual, una página corporativa o una landing page: si forma parte de tu negocio, también debe formar parte de tu estrategia de seguridad.
¿Qué debes hacer hoy?
Si tienes un sitio web que utiliza PHP, no esperes a que aparezca un problema.
Revisa qué versión tienes instalada, realiza una copia de seguridad y actualiza a una de las versiones corregidas.
Si utilizas WordPress, revisa también el estado de plugins, temas y componentes adicionales.
Y si no sabes qué versión utiliza tu página o cómo realizar el proceso de actualización, comunícate con tu proveedor de hosting o con la persona responsable del mantenimiento del sitio.
La seguridad de una página web no comienza cuando ocurre un ataque. Comienza manteniendo su tecnología actualizada.
Protege tu sitio web hoy: verifica tu versión de PHP, realiza una copia de seguridad y actualiza antes de que una vulnerabilidad ponga en riesgo tu información.
