PHP: vulnerabilidades críticas y versiones que actualizar

El equipo de PHP ha publicado el 21 de octubre de 2026 actualizaciones de seguridad para corregir dos vulnerabilidades críticas identificadas como CVE-2026-109618 y CVE-2026-109619. Los avisos oficiales señalan que los fallos podrían permitir ejecución remota de código sin autenticación en determinados escenarios. Para quien administra una web, la prioridad es identificar qué versión se ejecuta, instalar una versión corregida y comprobar que el cambio ha llegado también a los servidores de producción.

La alerta no significa que todas las páginas web sean vulnerables: afecta a instalaciones que utilizan PHP en versiones no corregidas y cuya configuración está expuesta al escenario correspondiente. Pero como PHP se utiliza en muchos gestores de contenidos y aplicaciones, conviene comprobarlo sin demora en lugar de asumir que el proveedor se encarga automáticamente.

Qué versiones corregidas ha publicado PHP

El anuncio oficial enumera versiones de mantenimiento que corrigen los fallos en varias ramas mantenidas:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

La versión apropiada depende de la rama que use cada proyecto. No se debe actualizar a ciegas a una rama mayor ni instalar paquetes descargados de sitios no oficiales. Consulta la página de seguridad de PHP y el sistema de paquetes o panel de alojamiento que utilice tu infraestructura.

El aviso del equipo de PHP considera que el riesgo es especialmente alto en algunas configuraciones de Apache con `mod_php`. Eso no sustituye una revisión técnica de la instalación: el impacto concreto depende de la versión, el modo de ejecución y la configuración del servidor.

Qué debe hacer una empresa o administrador

1. Inventariar las instalaciones

Comprueba la versión efectiva de PHP en todos los entornos: producción, servidores secundarios, contenedores, máquinas virtuales y servicios antiguos. No basta con revisar el portátil de desarrollo o una única web. En plataformas gestionadas, consulta al proveedor qué versión está activa y cuándo se aplicará el parche.

2. Aplicar la actualización oficial

Instala la versión corregida correspondiente a tu rama y sigue el procedimiento de despliegue habitual. Hazlo con prioridad, pero verifica previamente las dependencias y el plan de reversión para reducir el riesgo de interrupción. Si una aplicación no puede actualizarse de inmediato, limita temporalmente su exposición a Internet y pide una evaluación a quien administre la infraestructura.

3. Verificar que el parche está realmente activo

Después de actualizar, confirma la versión de los procesos que atienden las peticiones, reinicia los servicios cuando sea necesario y comprueba que no quedan nodos antiguos detrás del balanceador. En infraestructuras con imágenes de contenedor, reconstruye y despliega la imagen corregida; actualizar solo el host no cambia necesariamente el PHP que corre dentro del contenedor.

4. Revisar indicios de actividad sospechosa

Consulta los registros de servidor, los sistemas de detección y las alertas de seguridad para identificar comportamientos anómalos. No hay que dar por hecho que ha existido una intrusión por el mero hecho de usar una versión vulnerable, pero tampoco asumir que actualizar elimina la necesidad de investigar si existen señales de compromiso.

5. Documentar el cierre

Registra las versiones detectadas, los equipos actualizados, la hora del despliegue y cualquier excepción pendiente. Si el servicio lo gestiona un tercero, solicita confirmación por escrito y conserva el registro de la actuación.

¿Basta con poner un cortafuegos o desactivar una función?

El equipo de PHP indica que no hay mitigaciones completas que sustituyan la actualización. Las restricciones de red, el aislamiento temporal o el filtrado pueden reducir la exposición mientras se prepara el parche, pero no deben presentarse como una solución equivalente a instalar la versión corregida. Si no puedes parchear un sistema expuesto, valora aislarlo de redes públicas hasta que pueda corregirse.

¿Afecta a WordPress, Drupal, Joomla o Magento?

Estos gestores y plataformas pueden ejecutarse sobre PHP, pero la exposición depende de la versión y la configuración de PHP del servidor, no solo del nombre del CMS. Actualizar el núcleo de WordPress o un complemento no garantiza que el intérprete PHP esté corregido. Comprueba la versión del entorno de ejecución en el panel de hosting o con el equipo técnico responsable.

Preguntas frecuentes

¿Qué son CVE-2026-109618 y CVE-2026-109619?

Son identificadores de dos vulnerabilidades críticas de PHP que, según los avisos publicados, pueden permitir ejecución remota de código sin autenticación en escenarios afectados.

¿Qué versión debo instalar?

Elige la versión corregida de la misma rama mantenida que utilice tu proyecto: PHP publicó actualizaciones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Confirma siempre el anuncio oficial antes de desplegar.

¿Actualizar PHP puede romper mi web?

Una actualización de mantenimiento puede requerir pruebas de compatibilidad, por lo que conviene probarla y tener un plan de reversión. Sin embargo, una vulnerabilidad crítica exige priorizar la corrección y no aplazarla indefinidamente.

¿Qué hago si no puedo actualizar hoy?

Reduce la exposición de la aplicación, restringe el acceso si es posible y contacta con el proveedor o equipo de seguridad. Las medidas temporales no reemplazan el parche.

¿Una web vulnerable significa que ha sido atacada?

No necesariamente. La vulnerabilidad indica riesgo, no confirma una intrusión. Actualiza y revisa registros y alertas si existe cualquier indicio de actividad sospechosa.

Fuentes oficiales y técnicas

• PHP: aviso de seguridad y versiones corregidas
• PHP 8.3.36: anuncio oficial de la versión
• CERT-EU: Security Advisory 2026-018
• Palo Alto Networks Unit 42: análisis de las CVE

Nota editorial: las versiones afectadas y las mitigaciones deben verificarse en los avisos de PHP y CERT-EU, que pueden actualizarse conforme avance el análisis técnico.