Se ha hecho pública una vulnerabilidad crítica en PHP, la preocupación por su explotación se ha extendido con rapidez y muchas organizaciones han tomado medidas de inmediato. Para los dueños de negocio resulta confuso, porque PHP funciona en silencio detrás de un sinfín de páginas web, tiendas online e instalaciones de WordPress.
¿Qué es exactamente la vulnerabilidad de PHP?
Se trata de dos vulnerabilidades críticas de PHP que, según los desarrolladores, podrían usarse para ejecutar código de forma remota sin autenticación (unauthenticated remote code execution). Dicho de forma sencilla: un atacante puede ejecutar código malicioso en un servidor vulnerable sin tener una cuenta válida. Eso es lo que hace tan graves este tipo de fallos.
Según el aviso de seguridad oficial de PHP, el 21 de octubre de 2026 se publicaron actualizaciones de seguridad para las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los desarrolladores también son claros en esto: no existe una solución temporal completa, y la única opción realmente segura es actualizar. Puedes leer los detalles en el aviso de seguridad oficial de PHP.
¿Por qué ha causado tanta preocupación?
El impacto se debe sobre todo a tres factores que coinciden. El primero: PHP funciona en una parte enorme de la web. El segundo: la vulnerabilidad se conoció de forma generalizada antes de que se publicara el parche oficial. El tercero: el posible impacto era tan grande que algunas organizaciones no quisieron arriesgarse y protegieron sus sistemas temporalmente con medidas adicionales, o incluso los dejaron fuera de línea.
Por eso, en poco tiempo circuló mucha información confusa por internet: soluciones temporales, consejos contradictorios y debates técnicos. Pero lo esencial siempre fue lo mismo: si tu servidor funciona con una versión vulnerable de PHP, hay que instalar el parche lo antes posible.
¿Qué webs están en riesgo?
Según PHP, el riesgo afecta a las instalaciones de PHP que gestionan tráfico web, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Es decir, no solo las aplicaciones a medida: también entran muchos sistemas conocidos que funcionan sobre PHP, como WordPress y WooCommerce.
Es importante entender que el problema no está en WordPress ni en un plugin, sino en la capa de PHP que hay por debajo. Por eso una web puede verse perfectamente normal de cara al visitante y, aun así, tener un servidor vulnerable. Precisamente por esto el mantenimiento técnico es tan importante.
¿Qué se ha resuelto hasta ahora?
La buena noticia: PHP ha publicado las actualizaciones de seguridad. Así que ya no se trata de esperar, sino de aplicar el parche correctamente y comprobarlo. Es decir, un entorno no está seguro solo porque «se haya hecho algo»; lo está cuando realmente se está ejecutando la versión correcta y actualizada de PHP.
En incidentes como este, la rapidez es clave: primero restringir el acceso, después instalar el parche y por último comprobar que todo funciona de forma estable. En cómo protegemos tu web de la vulnerabilidad de PHP te contamos cómo gestionamos este proceso en Kantex.
Son dos vulnerabilidades críticas de PHP que podrían permitir a los atacantes ejecutar código en un servidor vulnerable sin necesidad de una cuenta. Por eso se ha considerado un fallo muy grave.
Sí, el 21 de octubre de 2026 PHP publicó actualizaciones de seguridad para las versiones con soporte. Pero eso no significa que se haya cerrado sola en todas partes: la actualización tiene que estar realmente instalada en tu servidor.
Puede estarlo, porque WordPress suele funcionar sobre PHP. El problema no está en WordPress, sino en la capa de PHP del servidor. Si esa capa no se ha parcheado, tu web puede seguir en riesgo.
No, según los desarrolladores de PHP no existe una solución temporal completa. Las medidas temporales pueden reducir el riesgo, pero la protección real solo llega al actualizar a una versión segura.
Pregunta cuanto antes con qué versión de PHP funciona tu web y si ya se ha aplicado la actualización de seguridad del 21 de octubre de 2026. Si no estás seguro, pide a tu proveedor de hosting o al equipo que se encarga del mantenimiento de tu web que lo compruebe cuanto antes.
