Dos vulnerabilidades críticas en PHP ponen en riesgo a miles de servidores web
Dos fallas críticas en PHP llevaron a organismos gubernamentales a suspender temporalmente algunos servicios digitales. Te explicamos qué está pasando, qué versiones están afectadas y qué hacer si tu empresa depende de servidores web.
Alerta en desarrollo. La información de este artículo está actualizada al 22 de octubre de 2026 y puede cambiar conforme aparezcan nuevos hallazgos técnicos. Verifica siempre la versión más reciente en el comunicado oficial de PHP.
Imagina que descubren que millones de edificios tienen cerraduras con una falla que permite abrirlas sin llave. Lo probable es que cambies la tuya cuanto antes y que, si no puedes hacerlo de inmediato, cierres temporalmente algunas puertas.
Algo parecido ocurrió en Internet el 21 de octubre de 2026, cuando se publicaron actualizaciones de emergencia para dos vulnerabilidades críticas en PHP, uno de los lenguajes más usados para construir sitios web y aplicaciones empresariales.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una severidad de 9.2 sobre 10. Permiten que un atacante ejecute instrucciones maliciosas en servidores vulnerables sin necesidad de conocer una contraseña.
Varias organizaciones en Europa suspendieron temporalmente servicios digitales como medida preventiva. No significa que todo Internet haya sido vulnerado, pero sí que estamos ante un incidente que merece atención inmediata.
¿Qué es PHP y por qué importa tanto?
PHP trabaja detrás de muchos sitios web. Normalmente no lo vemos, pero permite cosas como:
- Procesar formularios y solicitudes de clientes.
- Consultar información almacenada en bases de datos.
- Administrar sitios web y tiendas en línea.
- Gestionar accesos y sesiones de usuarios.
- Ejecutar procesos internos de aplicaciones empresariales.
Plataformas como WordPress, Drupal y Joomla funcionan sobre PHP. Por eso una falla en este lenguaje puede afectar a muchas organizaciones, incluso cuando sus dueños no saben qué tecnología usa su sitio.
¿Qué riesgos enfrentan las empresas?
Una vulnerabilidad de ejecución remota de código permite que un atacante realice acciones no autorizadas en un servidor. Según las condiciones del sistema, las consecuencias pueden incluir:
Robo de información
Acceso a bases de datos, documentos, información comercial o registros de clientes.
Interrupción de servicios
Suspensión de páginas web, aplicaciones empresariales, portales de clientes o sistemas internos.
Modificación de información
Alteración de contenidos, archivos o configuraciones del servidor.
Compromiso de infraestructura
Uso del servidor afectado para otras actividades maliciosas o para intentar acceder a sistemas relacionados.
Es importante aclararlo: una instalación vulnerable no necesariamente ya fue comprometida. El riesgo real depende de la exposición del servidor, su configuración y las medidas de seguridad existentes.
Qué versiones están afectadas y cuáles ya tienen parche
Las fallas afectan a todas las versiones de PHP desde la 5.4 hasta la 8.5.11. El equipo oficial publicó correcciones para las ramas soportadas:
| Rama | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Ojo con este punto: las ramas PHP 8.1 y anteriores ya no reciben parches porque están fuera de soporte. Si tu servidor usa una de ellas, actualizar la rama no es opcional: es la única forma de corregir estas fallas.
Qué debe hacer una empresa ahora
1. Identifica qué usa PHP
No es visible desde el navegador: hay que revisar el servidor. Pide a quien administre tu hosting o infraestructura que confirme qué aplicaciones y sitios corren sobre PHP.
2. Confirma la versión exacta
Lo que importa es la versión de PHP del servidor, no la de WordPress ni la de sus complementos. Cualquier versión anterior a las corregidas de la tabla está expuesta.
3. Actualiza con respaldo y pruebas
Aplica el parche oficial en una ventana de mantenimiento: respaldo previo, actualización y verificación de que las aplicaciones siguen funcionando.
4. Revisa si hubo compromiso
Actualizar cierra la puerta; no borra lo que ya entró. Revisa registros de acceso, archivos modificados y procesos inesperados.
5. Ten un plan si hay que desconectarte
Si un servicio crítico debe apagarse temporalmente, define de antemano cómo seguirás atendiendo clientes y facturando.
Si no puedes actualizar hoy mismo
Hay casos donde actualizar no es inmediato: un servidor compartido cuyo proveedor debe actuar, una aplicación antigua que debe probarse antes. Estas medidas reducen el riesgo pero no lo eliminan — son un puente, no la solución.
Desactiva el progreso de subida por sesión (session.upload_progress) en el servidor.
En PHP 8.5, desactiva los rastros de errores fatales (fatal_error_backtraces).
Estas dos configuraciones se aplican en php.ini o en la configuración del pool de PHP-FPM, no desde el código de la aplicación.
Reinicia todos los procesos del servidor web para que tomen la nueva configuración.
Revisa y corrige errores fatales alcanzables por un usuario externo.
Si no puedes actualizar ni mitigar, la recomendación de los organismos de seguridad es sacar el sistema de línea y revisar indicios de compromiso antes de volver a exponerlo. Para una empresa que factura en línea, eso implica tener un plan de continuidad preparado de antemano.
«Mi página funciona, ¿estoy protegido?»
No. Que una página responda no significa que esté protegida. Muchas vulnerabilidades permanecen invisibles hasta que alguien intenta aprovecharlas.
Tampoco basta con tener certificado SSL, antivirus o firewall. El SSL cifra la conexión y el firewall filtra tráfico, pero ninguno corrige una falla en el software que ejecuta la aplicación. La seguridad requiere actualizaciones, monitoreo, respaldos y una administración profesional de la infraestructura.
La lección: tu continuidad depende de la tecnología
Este incidente recuerda algo importante: la ciberseguridad no consiste sólo en evitar ataques, sino en asegurar que tu empresa pueda seguir operando cuando ocurre un problema.
Una página, un servidor o una aplicación parecen componentes aislados, pero cuando dejan de funcionar afectan ventas, atención al cliente, productividad y reputación.
Por eso conviene pasar de una postura reactiva a una preventiva: identificar los riesgos antes de que se conviertan en interrupciones.
¿Sabes si los sistemas de tu empresa están actualizados y protegidos?
En My Digital Manager identificamos riesgos en tu infraestructura, coordinamos las actualizaciones y trabajamos para que la tecnología impulse tu operación en vez de ponerla en riesgo.
My Digital Manager — Make IT Better.
Preguntas frecuentes
¿Mi sitio web está usando PHP?
Probablemente sí, aunque no lo sepas. La mayoría de los sitios hechos con WordPress, Drupal o Joomla funcionan sobre PHP, y también muchas aplicaciones empresariales contratadas como SaaS instalado o sistemas internos. La forma certera de saberlo no es mirar la página, sino revisar el servidor donde está alojada.
¿Basta con actualizar WordPress para estar protegido?
No. Las vulnerabilidades están en PHP, la tecnología que ejecuta WordPress, no en WordPress mismo. Actualizar el gestor de contenidos o sus complementos no cambia la versión de PHP del servidor. Es una confusión muy común y peligrosa en este caso.
¿Tener certificado SSL o un firewall me protege?
No de esta falla. El certificado SSL cifra la conexión y un firewall filtra tráfico según reglas, pero ninguno corrige una falla en el software que ejecuta la aplicación. Aquí la única solución definitiva es actualizar PHP.
¿Cómo sé si mi servidor ya fue comprometido?
No hay una señal visible para el dueño del negocio. Se requiere revisar registros de acceso, procesos inesperados, archivos modificados y conexiones salientes desde el servidor. Es un trabajo técnico, y conviene hacerlo aun después de actualizar.
¿Qué pasa si mi proveedor de hosting no actualiza?
Puedes aplicar las mitigaciones temporales mientras consigues la actualización, pero no sustituyen el parche. Si el proveedor no responde, es un buen momento para evaluar migrar a una infraestructura que sí se administre activamente.
¿Qué puede hacer My Digital Manager?
Identificar qué sistemas de tu empresa usan PHP, confirmar sus versiones, coordinar las actualizaciones con respaldos y ventanas de mantenimiento, revisar señales de compromiso y definir un plan para que una interrupción no detenga tu operación.