Se filtran fallos graves de PHP: qué significa para tu web

El martes 20 de octubre se filtraron los detalles de dos fallos de seguridad graves en PHP, un día antes de que estuviera lista la solución. No se robaron datos de clientes: lo que se filtró fue información sobre los propios fallos. Pero precisamente por eso es urgente. Quien tenga esa información puede atacar las webs que aún no se han actualizado.

¿Qué es PHP y por qué te afecta?

PHP es el lenguaje de programación sobre el que funciona la mayor parte de la web, alrededor del 70% de todas las páginas. WordPress, WooCommerce, Joomla y Drupal lo usan. Si tienes una web en WordPress, funciona con PHP en tu empresa de hosting.

¿Qué ha pasado exactamente?

• 20 de octubre: PHP anunció actualizaciones de emergencia. Ese mismo día los detalles de los fallos aparecieron en internet, antes de la publicación prevista.
• 21 de octubre: PHP publicó las actualizaciones: versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
• Los fallos (CVE-2026-109618 y CVE-2026-109619) permiten a un atacante ejecutar código en el servidor sin iniciar sesión. PHP les da una puntuación de 9,2 sobre 10.
• Afectan a todas las formas habituales en que los hostings ejecutan PHP. El problema está en PHP, así que da igual lo bien hecha que esté tu web.
• Cloudflare y la empresa de seguridad Patchstack detectaron los primeros intentos de ataque el 21 de octubre.

¿Qué tienes que hacer?

1. Comprueba qué versión de PHP usa tu web

En WordPress lo encuentras en Herramientas > Salud del sitio > Información > Servidor. Si la versión es inferior a las de arriba, tu web todavía no está protegida.

2. Pregunta a tu hosting cuándo actualizan

Normalmente es tu hosting quien actualiza PHP, no tú. Muchos lo hacen automáticamente, pero no todos con la misma rapidez. Un correo rápido o un vistazo a su página de estado te da la tranquilidad.

3. ¿Sigues con PHP 8.1 o anterior? Planifica el cambio

PHP ya no publica actualizaciones para PHP 8.1 y versiones anteriores. PHP 8.2 también deja de recibirlas después del 31 de diciembre de 2026. Pasar a una versión más nueva a veces requiere cambios en tu tema o plugins, así que pruébalo primero.

4. Un firewall por sí solo no basta

Circulan ajustes temporales y reglas de firewall para frenar los ataques. PHP dice claramente que no hacen tu web segura: solo la actualización cierra el fallo.

5. Vigila tu web los próximos días

¿Ves redirecciones extrañas, administradores desconocidos o avisos de tu hosting? Lee qué hacer si han hackeado tu web.

¿No sabes si tu web es segura?

Envíanos el enlace de tu web y comprobamos si funciona con una versión segura de PHP. Ponte en contacto. ¿Quieres olvidarte de esto en el futuro? Echa un vistazo a nuestros planes de mantenimiento.