Alerta mundial por dos vulnerabilidades críticas de PHP: cómo proteger una web y WordPress

Dos vulnerabilidades críticas de PHP han provocado una alerta internacional de ciberseguridad. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, pueden permitir la ejecución remota de código sin autenticación en servidores vulnerables. El proyecto PHP distribuyó actualizaciones de seguridad el 21 de octubre de 2026 y las autoridades europeas recomiendan aplicarlas de inmediato.

¿Qué ha ocurrido con PHP y por qué afecta a tantas webs?

PHP es un lenguaje ejecutado en numerosos servidores para generar páginas, gestionar aplicaciones y comunicarse con bases de datos. Plataformas como WordPress, Drupal y Joomla pueden depender de PHP. Cuando el problema se encuentra en el lenguaje del servidor, actualizar únicamente los plugins o el gestor de contenidos no corrige necesariamente la vulnerabilidad.

Los avisos de PHP y de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) indican que ambos fallos pueden permitir que un atacante ejecute código malicioso sin iniciar sesión. También pueden exponer información sensible del proceso afectado. La gravedad comunicada alcanza 9,2 sobre 10 en CVSS v4.0.

¿Qué versiones de PHP están corregidas?

Las versiones PHP 8.1 y anteriores ya están fuera del soporte de seguridad del proyecto y deben migrarse a una rama mantenida. PHP 8.2 se aproxima al final de su soporte, previsto para el 31 de diciembre de 2026.

Cómo comprobar si mi WordPress está afectado

1. Entra en la administración de WordPress y abre Herramientas → Salud del sitio → Información → Servidor.
2. Consulta la versión de PHP y compárala con la tabla de versiones corregidas.
3. Revisa el panel del proveedor de alojamiento y confirma qué versión está atendiendo realmente tu web.
4. Si el servidor no está corregido, contacta con el proveedor y acuerda una actualización urgente, revisando la compatibilidad y haciendo antes una copia de seguridad.

No es un fallo exclusivo de WordPress: WordPress.org ha indicado que no necesita publicar una actualización específica del gestor por estas vulnerabilidades. El componente que debe actualizarse es PHP.

Medidas para empresas y responsables de webs

1. Localizar los servidores: identificar todos los sistemas y aplicaciones que ejecutan PHP.
2. Aplicar los parches: instalar una versión corregida o posterior que incluya la reparación.
3. Comprobar el funcionamiento: verificar la versión activa y probar páginas, formularios, pagos y otros servicios.
4. Investigar posibles accesos: revisar registros, cambios en archivos y alertas del proveedor, especialmente si hubo exposición sin parchear.
5. Reducir la exposición mientras llega el parche: valorar el aislamiento temporal de sistemas vulnerables junto al proveedor o responsable de seguridad.

Un cortafuegos de aplicaciones web (WAF) puede proporcionar protección complementaria, pero no sustituye la actualización. Tampoco existe una medida de configuración temporal universal que garantice una protección completa.

Actualización del 23 de octubre: el proyecto PHP recomienda además desactivar temporalmente session.upload_progress.enabled en las configuraciones que requieren esta precaución, hasta la próxima versión de mantenimiento. Es una protección adicional ante un caso poco habitual, no sustituye la actualización de seguridad. En un alojamiento compartido conviene consultarlo con el proveedor.

¿Corren peligro las personas que visitan una web?

El principal riesgo afecta al servidor que procesa las solicitudes, no directamente al navegador de quien visita una página. Sin embargo, una intrusión en el servidor puede poner en peligro datos o permitir la alteración del contenido. Por eso es prioritario que los administradores actúen con rapidez.

Preguntas frecuentes sobre la alerta de PHP

Fuentes: Proyecto PHP, ENISA y WordPress.org.