El equipo de seguridad de PHP confirmó este miércoles 21 de octubre de 2026 a MakroDigital el lanzamiento de actualizaciones de emergencia para corregir dos vulnerabilidades críticas de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619.
Ambas presentan una gravedad de 9,2 sobre 10, según el sistema internacional de evaluación CVSS 4.0, lo que las sitúa entre las amenazas de mayor severidad.
La alerta afecta a administradores de servidores, empresas de alojamiento web, plataformas digitales y propietarios de sitios que utilizan versiones vulnerables de PHP.
¿Qué tan peligrosas son estas vulnerabilidades?
Las investigaciones indican que ambas fallas pueden permitir la ejecución remota de código (RCE) sin autenticación previa.
Esto significa que un ciberdelincuente podría aprovechar determinados sistemas vulnerables para ejecutar instrucciones maliciosas en un servidor, comprometer información confidencial, alterar contenidos o afectar el funcionamiento de servicios digitales.
Las vulnerabilidades están relacionadas con problemas en la gestión de memoria y el estado interno de PHP.
Según el comunicado oficial, el riesgo es especialmente elevado en servidores que utilizan Apache con el módulo mod_php, aunque también existen riesgos en entornos PHP-FPM, CGI, LiteSpeed y otras configuraciones.
No significa que todos los sitios web hayan sido hackeados, sino que aquellos que ejecuten versiones afectadas y no apliquen las correcciones podrían quedar expuestos.
¿Qué plataformas y sitios web podrían estar afectados?
El alcance de esta alerta es considerable debido a la utilización de PHP en millones de proyectos digitales.
Entre las plataformas que pueden depender de instalaciones vulnerables de PHP se encuentran:
- WordPress: utilizado por millones de páginas informativas, empresariales y comerciales.
- WHMCS: plataforma de facturación y administración de servicios de hosting.
- MediaCP: sistema de gestión de streaming de audio y video.
- cPanel y WHM: herramientas de administración de servidores que permiten gestionar múltiples versiones de PHP.
- Tiendas virtuales y sistemas personalizados: aplicaciones desarrolladas sobre versiones afectadas de este lenguaje.
Es importante aclarar que las vulnerabilidades pertenecen al motor PHP y no necesariamente al código de estas plataformas.
Actualizar únicamente WordPress, sus plugins o WHMCS no garantiza que el servidor quede protegido. También se debe actualizar el entorno PHP correspondiente.
PHP publica actualizaciones de emergencia
Tras la alerta internacional, el equipo de desarrollo de PHP publicó cuatro versiones que incorporan las correcciones necesarias.
| Versión de PHP | Actualización de seguridad |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Las versiones anteriores a PHP 8.2 ya no reciben actualizaciones oficiales del proyecto. Sin embargo, algunos proveedores especializados, como los de distribuciones empresariales de Linux, pueden proporcionar correcciones de seguridad adicionales para versiones antiguas.
Expertos recomiendan actualizar inmediatamente
Las autoridades y especialistas en ciberseguridad recomiendan a los administradores verificar las versiones de PHP instaladas y aplicar los parches publicados.
También aconsejan realizar copias de seguridad antes de actualizar, comprobar la compatibilidad de las aplicaciones y revisar los registros del servidor para detectar posibles actividades sospechosas.
En servidores que utilizan cPanel, CloudLinux o plataformas especializadas, las actualizaciones deben realizarse mediante los mecanismos oficiales de sus respectivos proveedores.
Las medidas de protección adicionales, como firewalls y sistemas de detección de amenazas, pueden ayudar a reducir los riesgos, pero no sustituyen los parches de seguridad.
Una alerta que pone a prueba la seguridad de internet
La importancia de esta emergencia radica en que PHP constituye una parte fundamental de la infraestructura de numerosos sitios web y servicios digitales.
Un problema de seguridad en un componente tan extendido puede tener consecuencias para empresas, medios de comunicación, plataformas comerciales y organizaciones que dependen de sus sistemas en línea.
La recomendación de los especialistas es clara: actualizar PHP cuanto antes y comprobar que los servidores estén utilizando versiones corregidas.
La rápida aplicación de estas actualizaciones resulta fundamental para reducir la exposición ante posibles ciberataques.
