Dos fallos críticos de PHP: qué deben hacer ahora los sitios de pequeños negocios

El 21 de octubre de 2026, el proyecto PHP publicó versiones de seguridad de emergencia para dos fallos críticos en el propio intérprete de PHP. Si tu sitio web funciona con PHP, lo cual incluye a la mayoría de los sitios WordPress, tu servidor necesita actualizarse ahora.

¿Qué pasó?

Las dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, tienen ambas una calificación de gravedad de 9.2 sobre 10. Una es un error de corrupción de memoria en cómo PHP maneja la falta de memoria. La otra es un error de uso tras liberación (use-after-free) relacionado con datos conservados entre solicitudes. Ambas permiten a un atacante ejecutar código en un servidor de forma remota, sin necesidad de iniciar sesión.

Las correcciones llegaron en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El 26 de octubre, la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) añadió ambos fallos a su lista de vulnerabilidades explotadas activamente, y varios investigadores han informado de ataques en curso.

¿Mi sitio web se ve afectado?

Tu sitio puede verse afectado si funciona en un servidor con PHP, lo cual es cierto para la mayoría de los sitios WordPress, Drupal y Joomla, y muchos sitios personalizados. Que estés expuesto o no depende de qué versión de PHP use tu proveedor de alojamiento y si ya la ha actualizado.

¿Qué debo hacer ahora mismo?

• Pregunta a tu proveedor de alojamiento o a tu desarrollador web qué versión de PHP usa tu sitio, y confirma que se ha actualizado a una de las versiones corregidas.
• Si administras tu propio servidor, actualiza PHP y reinícialo. PHP ha señalado una regresión en las versiones 8.4.27 y 8.5.12, y publicó un aviso de seguimiento el 23 de octubre, así que revisa el sitio de PHP para conocer las últimas indicaciones.
• Mantén también actualizados tus temas, complementos y tu sistema de gestión de contenido.
• Asegúrate de tener una copia de seguridad reciente de tu sitio.

Muchos proveedores de alojamiento gestionado actualizan PHP automáticamente para sus clientes. Si usas uno, lo más útil es simplemente confirmar con ellos que ya está hecho.

¿Por qué sigue pasando esto?

Todo sitio web depende de software que necesita actualizaciones de seguridad periódicas. Cuando gestionas tu propio servidor o plan de alojamiento, mantener ese software al día forma parte del trabajo, y suele acabar recayendo en quien tenga menos disponibilidad cuando aparece un parche de emergencia un martes por la tarde.

Esa es una de las razones por las que creamos Lentil. Los sitios de Lentil son alojados y mantenidos por nosotros, así que no hay servidor, versión de PHP ni lista de complementos que tengas que mantener al día. Mantener la plataforma actualizada es nuestro trabajo, no el tuyo.