Vulnerabilidad crítica en PHP (CVE-2026-109618): cómo proteger tu sitio hoy

El 21 de octubre de 2026 el equipo de PHP publicó una actualización de seguridad de emergencia. Corrige dos vulnerabilidades críticas que permiten ejecución remota de código (RCE) sin autenticación: un atacante no necesita usuario ni contraseña, solo poder enviar peticiones a tu servidor. Si tu sitio corre PHP (WordPress, WooCommerce, Laravel, un sistema a medida), esto te afecta.

Según el propio anuncio de PHP, «no hay mitigaciones completas: actualizar es la única opción segura».

Qué se corrigió

Las dos fallas tienen una puntuación de CVSS v4.0 9.2 y afectan al manejo interno de memoria de cada petición:

Versiones corregidas

Actualiza a la versión parcheada de tu rama:

• PHP 8.5 → 8.5.12
• PHP 8.4 → 8.4.27
• PHP 8.3 → 8.3.36
• PHP 8.2 → 8.2.35 (esta rama llega a fin de vida el 31 de diciembre de 2026)

PHP 8.1 y anteriores ya no reciben actualizaciones oficiales. El proyecto publicó ramas con el parche para PHP 7.4, PHP 8.0 y PHP 8.1, pero no son versiones oficiales: la salida real es migrar a una rama con soporte.

Quién está en riesgo

El anuncio indica que están afectadas todas las instalaciones que atienden peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php.

En la práctica, esto incluye:

• Sitios WordPress y tiendas WooCommerce en hosting compartido o VPS.
• Aplicaciones Laravel, Symfony o a medida.
• Servidores que nadie actualiza desde que se montaron.

Cómo comprobar tu versión

1. En un servidor con acceso por terminal: php -v (y revisa también la versión que usa PHP-FPM o Apache, que puede ser distinta a la de la línea de comandos).
2. En WordPress: Herramientas → Salud del sitio → Información → Servidor.
3. En un hosting con panel: busca «Versión de PHP» o «Selector de PHP» en el panel de control.

Si estás por debajo de 8.5.12, 8.4.27, 8.3.36 o 8.2.35, estás expuesto.

Cómo actualizar

1. Respalda archivos y base de datos antes de tocar nada.
2. Hosting compartido: cambia la versión de PHP desde el panel y confirma con tu proveedor que ya instaló los paquetes parcheados; si aún no, exige fecha.
3. VPS o servidor propio: actualiza el paquete con el gestor del sistema (apt, dnf) o tu repositorio de PHP y reinicia PHP-FPM o Apache. Sin reinicio, el proceso viejo sigue en memoria.
4. Contenedores: reconstruye la imagen con la etiqueta corregida (por ejemplo php:8.4.27) y vuelve a desplegar.
5. Prueba: revisa formularios, pagos y el checkout. Una actualización de parche de la misma rama rara vez rompe algo, pero conviene comprobarlo.

Si usas una versión sin soporte (8.1 o anterior), planifica la migración cuanto antes. Mientras tanto, una capa de firewall como Cloudflare reduce el ruido de ataques automáticos, pero no reemplaza la actualización.

Preguntas frecuentes

¿Ya hay ataques? El anuncio de PHP no menciona explotación activa. Aun así, con un parche público los atacantes comparan los cambios y buscan servidores sin actualizar: el tiempo para actuar es corto.

¿Mi hosting lo hace por mí? Depende. Los hostings administrados suelen aplicar el parche solos; en un VPS o un hosting sin soporte técnico, la responsabilidad es tuya.

¿Basta con un plugin de seguridad de WordPress? No. La falla está en PHP, no en WordPress, y un plugin corre sobre el mismo PHP vulnerable.

Referencias

• Security advisory: Critical remote code execution vulnerabilities, update now (php.net)
• Upcoming Critical PHP Security Release (pre-aviso del 20 de octubre)
• GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp
• Descargas de PHP (código fuente) · Windows

¿No sabes qué versión de PHP usa tu sitio o no tienes quien lo actualice? En Codegea revisamos tu servidor, aplicamos el parche y dejamos monitoreo y mantenimiento continuo para que la próxima alerta no te tome por sorpresa.