Vulnerabilidad crítica en PHP: cómo saber si tu web está expuesta

El 21 de octubre se publicaron las correcciones de dos vulnerabilidades críticas en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619). Si tu web, tu tienda online o alguna aplicación de tu empresa está hecha en PHP, esto te interesa, aunque no sepas qué versión usas. Y es normal que no lo sepas.

Qué ha pasado, sin tecnicismos

Los dos fallos están en cómo PHP gestiona la memoria entre una petición y la siguiente. En la práctica, alguien desde fuera, sin usuario ni contraseña, podría llegar a ejecutar código en el servidor que aloja la web. La puntuación de gravedad es de 9,2 sobre 10. INCIBE-CERT ya ha publicado su aviso y indica que se han comunicado ataques incluso antes de que salieran los parches.

No afecta a un gestor de contenidos concreto: afecta a PHP. Por eso puede afectar a WordPress, a una tienda, a un ERP web o a una web hecha a medida.

Qué versiones están corregidas

• PHP 8.2: 8.2.35
• PHP 8.3: 8.3.36
• PHP 8.4: 8.4.27
• PHP 8.5: 8.5.12

Cualquier versión anterior dentro de esas ramas está afectada. PHP 8.1, 8.0 y 7.4 ya no reciben actualizaciones normales: existen parches de código fuente, pero solo te protegen si tu proveedor los ha aplicado. Si tu web sigue en una de esas versiones, además de este problema tienes uno de fondo: migrar.

Cómo saber si estás expuesto

1. Averigua qué tipo de alojamiento tienes. Es lo que decide quién tiene que actuar.
   • Hosting compartido: el proveedor gestiona PHP. Suelen actualizarlo ellos; lo sensato es confirmarlo con el soporte o en el panel.
   • VPS o servidor propio: la actualización es cosa tuya (o de quien te lo administre).
2. Mira la versión de PHP. En el panel del hosting (suele ser “Versión de PHP” o “Multi PHP”) o, en un servidor, con php -v. Ojo: la versión de la consola puede no ser la que sirve la web.
3. Compara con la tabla de arriba. Si tu parche exacto no aparece, no concluyas que estás a salvo: pregunta al proveedor si ha aplicado el parche.
4. Ocultar la versión no arregla nada. Hay quien desactiva la cabecera X-Powered-By y se queda tranquilo. Solo esconde el número; el fallo sigue ahí.

Qué hacer si no puedes actualizar hoy

Actualizar es la única solución completa. Mientras tanto, PHP recomienda reducir riesgos: limitar el tamaño de las peticiones (post_max_size bajo) y filtrar formularios que no necesites antes de que lleguen a PHP. Es un parche provisional, no una solución. Esto es mejor hacerlo con alguien que sepa lo que toca.

Después de actualizar

• Reinicia los servicios PHP (PHP-FPM o el servidor web): sin reinicio, el parche puede no estar activo.
• Revisa los registros de acceso de los últimos días por si hubo peticiones raras.
• Cambia contraseñas y claves si hay motivos para sospechar.
• Aprovecha para revisar copias de seguridad: que existan y que se pueda restaurar de ellas.