Dos vulnerabilidades de PHP encendieron las alertas de seguridad el 21 de octubre de 2026. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, pueden permitir que un atacante ejecute código en un servidor vulnerable sin necesidad de iniciar sesión, por lo que quienes administran páginas web deben revisar qué versión tienen instalada y actualizarla cuanto antes.
El riesgo puede alcanzar a sitios creados con WordPress, ya que esta plataforma depende de PHP para procesar información, gestionar usuarios y comunicarse con bases de datos.
El equipo de desarrollo de PHP publicó versiones corregidas el mismo 21 de octubre y recomendó instalarlas de inmediato. En su aviso oficial de seguridad, señaló que no existen medidas alternativas que sustituyan por completo la actualización.
¿Qué versiones de PHP corrigen los fallos de seguridad?
Las versiones que corrigen las dos vulnerabilidades son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La actualización que corresponde depende de la rama que utilice cada servidor, por lo que es importante confirmar la versión instalada antes de solicitar el cambio.
Ambos fallos recibieron una puntuación de 9.2 sobre 10 en CVSS 4.0, una escala que permite evaluar la gravedad de las vulnerabilidades informáticas. El problema es que pueden facilitar la ejecución remota de código sin autenticación, lo que significa que un atacante podría ejecutar instrucciones en el servidor sin tener que iniciar sesión previamente.
La primera vulnerabilidad, CVE-2026-109618, está relacionada con un error en el manejo de memoria cuando PHP se queda sin recursos disponibles. En determinadas circunstancias, el proceso puede interrumpirse cuando algunos datos internos todavía no están completamente inicializados y, después, tratarlos como válidos.
La segunda, CVE-2026-109619, se relaciona con información interna que permanece en un estado que puede utilizarse después de que la memoria que la almacenaba haya sido liberada. Esto puede provocar que el sistema acceda a datos que ya no debería utilizar.
Si un atacante consigue explotar alguno de estos fallos, las consecuencias dependerán de los permisos con los que se ejecute el proceso afectado. Entre los posibles riesgos están el acceso a información, la modificación o eliminación de archivos y la ejecución de código malicioso. Sin embargo, la existencia de las vulnerabilidades no demuestra por sí sola que una página específica haya sido atacada.
¿Cómo comprobar qué versión de PHP utiliza tu WordPress?
Si administras un sitio en WordPress, puedes revisar la versión de PHP desde el panel de control. Sigue esta ruta:
Herramientas > Salud del sitio > Información > Servidor.
En ese apartado encontrarás datos técnicos del servidor, incluida la versión de PHP que utiliza tu instalación. WordPress explica cómo consultar esta información en su documentación oficial de Salud del sitio.
Después, compara el número que aparece con las versiones corregidas. Si tu servidor utiliza una versión anterior dentro de una de las ramas afectadas, contacta con tu proveedor de alojamiento web o con la persona encargada del mantenimiento para solicitar la actualización y confirmar que el parche quedó aplicado.
Hay una diferencia importante: actualizar WordPress, los temas o los plugins no actualiza automáticamente PHP. Son componentes distintos. Mientras que las actualizaciones de WordPress se administran desde el panel del sitio, PHP depende de la configuración del servidor y de las opciones que ofrezca el proveedor de alojamiento.
¿Qué hacer si tu página utiliza una versión vulnerable de PHP?
Lo primero es pedir que se actualice PHP a una versión corregida y compatible con la web. Si administras el servidor directamente, consulta la documentación oficial y revisa los requisitos técnicos antes de realizar el cambio.
También conviene preparar una copia de seguridad reciente de los archivos y de la base de datos. Después de la actualización, comprueba que la página cargue correctamente y que funcionen las tareas esenciales, como el inicio de sesión, los formularios, las compras y las herramientas de administración.
Si utilizas PHP 8.1 o una versión anterior, debes evaluar la migración a una rama que tenga soporte de seguridad. En el caso de PHP 8.2, la versión corregida es la 8.2.35, pero el equipo de desarrollo indica que esa rama llegará al final de su vida útil el 31 de diciembre de 2026. Por eso, también es recomendable planificar una actualización a una rama con un periodo de soporte más amplio.
Si no puedes aplicar el parche de inmediato, pide al responsable técnico que evalúe cómo reducir temporalmente la exposición del servidor. Cuando el servicio vulnerable no sea indispensable y no pueda protegerse, aislarlo de Internet puede reducir el riesgo mientras se prepara la actualización. Estas medidas son temporales: PHP señala que actualizar es la única opción segura para corregir las vulnerabilidades.
¿Qué es PHP y por qué es importante para WordPress?
PHP es un lenguaje de programación de código abierto que se ejecuta principalmente en los servidores. Permite procesar formularios, administrar sesiones de usuarios, consultar bases de datos y generar contenido dinámico. Por ejemplo, interviene cuando una persona inicia sesión, publica un comentario o realiza una compra en una tienda en línea.
WordPress utiliza PHP como parte fundamental de su funcionamiento. Por eso, una vulnerabilidad en este lenguaje puede poner en riesgo páginas de noticias, blogs, portales corporativos y comercios electrónicos que dependan de una instalación afectada.
El equipo de PHP confirmó la publicación de las versiones corregidas el 21 de octubre y recomendó actualizar de inmediato. Aunque han circulado versiones sobre interrupciones de servicios de Internet a raíz de estas fallas, no debe atribuirse la caída de una página concreta a las vulnerabilidades sin una confirmación oficial.
Si tienes una web en WordPress, la prioridad es comprobar la versión de PHP, solicitar la actualización cuando corresponda y verificar que el sitio funcione correctamente después del cambio. Mantener al día el gestor de contenidos es importante, pero también debes cuidar el software que opera detrás de la página.
