La noticia
El proyecto PHP publicó el 21 de octubre de 2026 las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. Según PHP, cualquiera de las dos puede permitir que un atacante ejecute su propio código en un servidor web sin iniciar sesión. Ambas tienen una puntuación de 9,2 sobre 10, y el proyecto avisó con un día de antelación de que llegaba una actualización crítica.
PHP es el lenguaje de programación sobre el que funcionan WordPress, WooCommerce, Laravel y muchos otros sistemas web. El equipo de seguridad de PHP afirma que toda instalación de PHP que sirve páginas web está en riesgo. El riesgo es mayor en los servidores que ejecutan PHP dentro de Apache como mod_php, donde el equipo ha demostrado que una sola petición basta para iniciar el ataque antes de que se ejecute el código de la propia web. PHP insiste en que solo la actualización resuelve del todo el problema, y que los cambios de configuración solo reducen el riesgo.
PHP 8.1 y las versiones anteriores ya no reciben actualizaciones oficiales. Algunos proveedores de Linux ofrecen paquetes corregidos, y el equipo de PHP ha publicado correcciones básicas para las versiones 7.4, 8.0 y 8.1 para quien compila PHP por su cuenta. CERT-EU, el servicio de ciberseguridad de las instituciones de la UE, indicó el 23 de octubre que circula un primer código de ataque, lo que aumenta la probabilidad de que los fallos ya se estén aprovechando.
Actualización, 27 de octubre: los fallos ya se usan en ataques reales. Un investigador de seguridad detectó un ataque con éxito contra un servidor trampa con PHP 8.4.26 dentro de Apache como mod_php, y el 26 de octubre CISA, la agencia de ciberseguridad de EE. UU., añadió ambos fallos a su lista de vulnerabilidades explotadas.
El 23 de octubre, PHP describió además un tercer problema, menos probable, que solo afecta a configuraciones poco habituales y se corregirá en la próxima versión ordinaria. PHP 8.2 deja de recibir correcciones de seguridad después del 31 de diciembre de 2026.
Qué significa para ti
- Si tu web o tu tienda online funciona con WordPress, WooCommerce, Laravel u otro sistema en PHP, el servidor necesita la nueva versión de PHP. Actualizar los plugins o la plantilla no lo soluciona.
- En un hosting compartido o gestionado, normalmente el proveedor actualiza PHP. En un servidor propio o un servidor virtual alquilado, alguien de tu lado tiene que hacerlo.
- Las webs que siguen en PHP 8.1 o anterior no tienen corrección oficial, y PHP 8.2 deja de recibir correcciones de seguridad después del 31 de diciembre de 2026.
Qué hacer ahora
- Pregunta a tu proveedor de hosting o a tu desarrollador qué versión de PHP usa cada una de tus webs y si ya está en 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o en un paquete corregido del proveedor del servidor.
- Incluye todos los sistemas en PHP que uses, como un portal de clientes, un sistema de reservas o una herramienta interna, no solo la web principal.
- Si algo funciona con PHP 8.1 o anterior, planifica ya el paso a una versión con soporte.
- Después de la actualización, prueba los formularios de contacto, el proceso de compra y los inicios de sesión.
Cómo puede ayudarte Didset
Creamos y mantenemos aplicaciones web e integraciones, y podemos actualizar la versión de PHP de tu web y comprobar que los formularios, el pago y los inicios de sesión siguen funcionando.
Habla con nosotros
