Dos graves fallas de seguridad amenazan a los servidores que mantienen funcionando millones de páginas web. El equipo responsable de PHP publicó actualizaciones de emergencia después de confirmar que ambas vulnerabilidades pueden permitir a un atacante ejecutar código malicioso en un servidor sin necesidad de conocer contraseñas. La advertencia también afecta a sitios desarrollados con WordPress, Drupal y Joomla. La gravedad del problema provocó una alerta conjunta de organismos europeos de ciberseguridad, entre ellos ENISA, Europol y CERT-EU. Las dos vulnerabilidades recibieron una puntuación de 9,2 sobre 10 en la escala internacional CVSS, utilizada para evaluar la gravedad de las fallas informáticas.
Las correcciones están disponibles desde el 21 de octubre de 2026. Sin embargo, instalarlas requiere actualizar PHP, el lenguaje de programación que utiliza el servidor. Actualizar solamente WordPress, sus temas o sus complementos no resuelve el problema.
Qué es PHP y por qué estas fallas afectan a tantas páginas web
PHP es uno de los lenguajes de programación más utilizados para desarrollar sitios y aplicaciones de Internet. Aunque normalmente permanece invisible para los visitantes, interviene cuando una página necesita consultar una base de datos, procesar un formulario o mostrar contenido personalizado.
WordPress utiliza PHP para ejecutar buena parte de sus funciones. Lo mismo ocurre con otros gestores de contenidos, tiendas virtuales y plataformas empresariales.
Por eso, una vulnerabilidad en este componente puede tener consecuencias mucho mayores que un problema localizado en una aplicación específica.
Las fallas descubiertas recibieron los identificadores CVE-2026-109618 y CVE-2026-109619. Ambas están relacionadas con errores en la administración de la memoria del programa.
En determinadas condiciones, un atacante puede enviar solicitudes especialmente preparadas al servidor y aprovechar esos errores para ejecutar instrucciones no autorizadas.
Lo más preocupante es que algunos ataques pueden producirse antes de que comience a ejecutarse el código de la propia página web.
Esto significa que las medidas de seguridad incorporadas en una aplicación no necesariamente impedirán la explotación de una vulnerabilidad situada en el motor PHP.
Los delincuentes podrían entrar sin conocer ninguna contraseña
Las dos fallas permiten, bajo determinadas configuraciones, una técnica conocida como ejecución remota de código.
En términos sencillos, significa que alguien puede conseguir que un servidor ejecute instrucciones que nunca debería aceptar.
Las consecuencias dependen de los permisos disponibles y de la configuración del sistema. Un atacante podría intentar acceder a información confidencial, modificar archivos o utilizar el servidor para realizar otras actividades maliciosas.
La situación resulta especialmente delicada porque las vulnerabilidades pueden explotarse sin autenticación. Es decir, el atacante no necesita iniciar sesión previamente.
El equipo de PHP confirmó un escenario de explotación en servidores Apache que utilizan el módulo mod_php. También identificó riesgos en otras configuraciones, incluidos entornos PHP-FPM.
La advertencia comprende instalaciones que utilizan Apache, LiteSpeed, FrankenPHP y otras tecnologías para procesar solicitudes web mediante PHP.
Sin embargo, esto no significa que todas las páginas desarrolladas con PHP hayan sido atacadas. La exposición y las posibilidades de explotación dependen de la versión instalada y de las características del servidor.
Qué versiones de PHP deben actualizarse inmediatamente
El equipo de desarrollo publicó cuatro versiones corregidas para las ramas que reciben mantenimiento de seguridad.
| Versión instalada | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Las instalaciones que utilizan versiones anteriores dentro de estas ramas deben actualizarse a las versiones corregidas o a una compilación que incorpore oficialmente los parches.
Los servidores que todavía ejecutan PHP 8.1 o versiones más antiguas presentan una situación adicional: esas ramas ya no reciben actualizaciones ordinarias del proyecto.
Por tanto, necesitan una migración a una versión compatible y mantenida, salvo que dispongan de parches de seguridad proporcionados por un proveedor especializado.
PHP 8.2 también se acerca al final de su período de mantenimiento, previsto para el 31 de diciembre de 2026.
Los desarrolladores fueron especialmente claros al advertir que no existen medidas alternativas capaces de eliminar completamente estos riesgos. La solución recomendada es instalar las correcciones.
Cómo comprobar si tu página WordPress está en peligro
Los propietarios de páginas desarrolladas con WordPress pueden comprobar qué versión de PHP utiliza su alojamiento sin instalar herramientas adicionales.
Primero, deben entrar en el panel de administración de WordPress. Después, acceder a Herramientas, seleccionar Salud del sitio y abrir la pestaña Información.
Dentro del apartado Servidor aparece la versión de PHP utilizada por la instalación.
Si el número corresponde a una versión anterior a las corregidas, conviene contactar inmediatamente con el proveedor de alojamiento.
Muchos servicios de hosting permiten cambiar la versión desde su panel de control. En otros casos, la actualización debe realizarla el administrador del servidor.
Antes de modificar la configuración, es recomendable disponer de una copia de seguridad reciente y comprobar que los complementos y temas sean compatibles.
No obstante, la necesidad de realizar estas comprobaciones no debería utilizarse como motivo para retrasar indefinidamente una corrección crítica.
También es importante verificar que la actualización se haya aplicado realmente. Seleccionar una versión en el panel del alojamiento no garantiza por sí solo que todos los servicios estén utilizando el nuevo componente.
Europa advierte que la actualización no puede esperar
La Agencia de la Unión Europea para la Ciberseguridad, ENISA, publicó una advertencia conjunta con la Comisión Europea, CERT-EU, Europol y la red europea de equipos de respuesta ante incidentes informáticos.
Los organismos recomendaron identificar las aplicaciones que utilizan PHP, coordinar las actualizaciones con los proveedores tecnológicos y dar prioridad a los servidores accesibles desde Internet.
La advertencia tiene especial importancia para empresas, organismos públicos, comercios electrónicos y servicios que almacenan información de sus usuarios.
También alcanza a pequeños negocios que dependen de una página web para recibir reservas, procesar pedidos o mantener contacto con sus clientes.
En estos casos, el propietario puede no saber qué versión de PHP utiliza su servidor porque el mantenimiento está delegado en una empresa de alojamiento.
Precisamente por eso, la recomendación es comprobar la situación y solicitar confirmación de que las correcciones fueron instaladas.
Las vulnerabilidades son reales, las actualizaciones ya existen y las autoridades consideran urgente aplicarlas.
La pregunta no es si tu página utiliza WordPress o algún otro gestor de contenidos. Lo importante es saber qué versión de PHP está ejecutando el servidor y si ya recibió las correcciones de seguridad.
