ALERTA GLOBAL DE CIBERSEGURIDAD: Vulnerabilidad Crítica en PHP Amenaza Sitios Web

El 21 de octubre de 2026 el equipo de PHP publicó versiones de seguridad para todas las ramas con soporte. Entre las correcciones hay dos fallas que pueden permitir ejecución remota de código (RCE) en el servidor. Si tu sitio usa WordPress, Joomla, Magento, MediaWiki o Laravel, funciona sobre PHP, así que conviene revisar tu versión hoy mismo.

¿Qué pasó con PHP?

PHP publicó dos avisos de seguridad en su repositorio oficial:

• CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), «RCE vía corrupción por falta de memoria». Un error al agotarse la memoria durante el procesamiento de una petición puede dejar el estado interno de PHP en condición inválida. El aviso confirma impacto de ejecución remota de código sin autenticación, con los permisos de la cuenta del servidor web. El caso demostrado fue Apache con mod_php y configuración por defecto.
• GHSA-6wmf-4rv5-p3rp, «uso de memoria liberada». Estado de una petición que queda referenciado cuando la siguiente petición del mismo proceso lo usa, lo que puede derivar en ejecución remota de código.

El propio aviso aclara que actualizar PHP es la única mitigación completa.

¿Qué versiones corrigen el problema?

Las correcciones se incluyeron en las versiones publicadas el 21 de octubre de 2026:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Las ramas anteriores a PHP 8.2 ya no reciben soporte oficial. Si tu sitio usa una de ellas, no tendrá estas correcciones y debes migrar a una versión compatible. Puedes consultar el calendario en php.net/supported-versions.

¿Qué sitios pueden verse afectados?

La falla está en PHP, no en un CMS concreto. Por eso puede afectar a cualquier aplicación que corra sobre una versión vulnerable, como WordPress, Joomla, Magento, MediaWiki o Laravel. La exposición depende del tipo de servidor: el aviso describe mod_php como el caso confirmado, y señala que PHP-FPM sería susceptible por análisis del código, aunque no se ha demostrado un exploit completo.

Cómo proteger tu sitio: lista de acciones

1. Revisa tu versión de PHP. En un hosting con cPanel, entra a «Seleccionar versión de PHP» o «MultiPHP Manager». En WordPress, ve a Herramientas → Salud del sitio → Información.
2. Actualiza a una versión corregida (8.2.35, 8.3.36, 8.4.27 u 8.5.12 o posteriores). En un VPS o servidor propio, actualiza los paquetes y reinicia PHP-FPM o Apache.
3. Haz un respaldo antes de actualizar y prueba que tu sitio funcione con la nueva versión.
4. Mantén al día tu CMS, plugins y temas. Elimina los que no uses.
5. Limita lo que acepta el servidor. Mantén conservador post_max_size y, si tu aplicación no usa formularios multipart, bloquéalos en el frontend. Esto reduce el riesgo, pero no reemplaza la actualización.
6. Vigila señales de compromiso: archivos nuevos o modificados que no reconoces, usuarios administradores desconocidos o tráfico inusual.

¿Tu hosting administra PHP por ti?

En un hosting compartido, normalmente el proveedor mantiene la infraestructura y tú eliges la versión de PHP de tu sitio. En un VPS, la actualización es responsabilidad de quien administra el servidor. Revisa qué tareas incluye tu plan.

Si necesitas ayuda para cambiar de versión de PHP, migrar tu sitio o contratar un plan con tecnología Turbo SSD y NVMe, conoce los planes de hosting de HostingNet o escribe a nuestro equipo de soporte.

Preguntas frecuentes

¿Mi sitio WordPress está en riesgo?

Lo está si corre sobre una versión de PHP sin las correcciones. WordPress en sí no es la causa; el problema está en PHP, por lo que la solución es actualizar PHP.

¿Basta con actualizar WordPress y los plugins?

No. Es una buena práctica, pero esta falla se corrige actualizando PHP.

¿Qué hago si mi versión de PHP ya no tiene soporte?

Migra cuanto antes a una rama compatible, idealmente PHP 8.4 u 8.5, y verifica que tu CMS, tema y plugins sean compatibles.

Fuentes: avisos de seguridad oficiales de PHP (GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp) y php.net. Información al 22 de octubre de 2026.