Vulnerabilidad crítica de PHP: cómo saber si tu web está afectada

Dos vulnerabilidades críticas descubiertas en PHP han provocado una alerta de seguridad internacional que afecta a páginas web, tiendas online y aplicaciones alojadas en servidores de todo el mundo. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, pueden permitir que un atacante ejecute código malicioso de forma remota sin necesidad de identificarse.

El 21 de octubre de 2026, los responsables de PHP publicaron actualizaciones de emergencia para solucionar ambos problemas. Si tienes una página web creada con WordPress u otro sistema que utiliza PHP, conviene comprobar qué versión está instalada y si tu proveedor de alojamiento ha aplicado las correcciones.

Qué ha pasado con PHP y por qué es tan grave

PHP es uno de los lenguajes de programación más utilizados para crear páginas web dinámicas. Está presente en sistemas como WordPress, Joomla o Drupal, además de numerosas aplicaciones desarrolladas a medida.

A diferencia de HTML o CSS, PHP se ejecuta en el servidor que aloja la página. Entre otras tareas, puede procesar formularios, acceder a bases de datos o generar contenido antes de enviarlo al navegador del visitante.

Las dos vulnerabilidades descubiertas afectan al propio funcionamiento interno de PHP. Según el aviso oficial de seguridad, un atacante podría aprovechar determinados errores en el procesamiento de las peticiones para ejecutar instrucciones no autorizadas en un servidor vulnerable.

La gravedad ha llevado a organismos europeos a recomendar actualizaciones inmediatas. Algunas administraciones y organizaciones incluso han desconectado temporalmente sus servicios como medida preventiva.

Esto no significa que todas las páginas creadas con PHP hayan sido atacadas, pero sí que las instalaciones vulnerables deben revisarse cuanto antes.

Cómo saber si tu página web utiliza PHP

El primer paso es identificar la tecnología con la que está construida tu web.

Si utilizas WordPress, Joomla, Drupal o una aplicación desarrollada en PHP, tu página depende de este lenguaje. Sin embargo, eso no significa automáticamente que esté desprotegida: también importa la versión instalada y las actualizaciones de seguridad aplicadas por el servidor.

Si no sabes qué tecnología utiliza tu web, puedes consultar la documentación del alojamiento o preguntar a la empresa que la desarrolló.

También existen herramientas que intentan identificar las tecnologías de una página desde Internet, aunque sus resultados no siempre son concluyentes. Además, no es posible confirmar de forma fiable si un servidor tiene estas vulnerabilidades simplemente visitando su página web.

Cómo comprobar la versión de PHP en WordPress

Si tienes acceso al panel de administración de WordPress, puedes consultar la versión de PHP sin instalar plugins adicionales.

Sigue estos pasos:

1. Accede a la administración de WordPress, normalmente en tudominio.com/wp-admin.
2. En el menú lateral, entra en Herramientas.
3. Selecciona Salud del sitio.
4. Abre la pestaña Información.
5. Despliega el apartado Servidor.
6. Localiza el campo Versión de PHP.

En ese apartado aparecerá un número similar a 8.3.35 o 8.4.26. Apúntalo para compararlo con las versiones corregidas.

Si no encuentras esta información, también puedes consultar el panel de tu proveedor de hosting, que puede utilizar herramientas como cPanel, Plesk u otro sistema de administración.

Conviene recordar que WordPress muestra la versión utilizada por la página, pero no necesariamente indica si el proveedor ha incorporado correcciones de seguridad adicionales.

Qué versiones de PHP están afectadas

El equipo de desarrollo de PHP publicó el 21 de octubre de 2026 las siguientes versiones corregidas:

Por ejemplo, una instalación con PHP 8.3.35 es anterior a la actualización de seguridad oficial. Para esa rama, la versión corregida es PHP 8.3.36.

Las versiones PHP 8.1 y anteriores ya no reciben actualizaciones habituales del proyecto PHP. No obstante, algunos proveedores de sistemas operativos y servicios de soporte prolongado publican sus propias correcciones para versiones antiguas.

Por eso, si utilizas una versión anterior a las indicadas, no debes asumir que está protegida ni que necesariamente es vulnerable sin comprobar los parches del proveedor.

Puedes consultar las versiones publicadas en la web oficial de PHP.

Qué hacer si tu web utiliza una versión vulnerable

Si descubres que tu web funciona con una versión de PHP anterior a la corregida y no tienes confirmación de que se haya aplicado un parche, es importante actuar con rapidez.

1. Contacta con tu proveedor de alojamiento. Pregunta si tu servidor está afectado por las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 y si ya se han instalado las actualizaciones correspondientes.

2. Realiza una copia de seguridad. Antes de modificar el entorno, asegúrate de disponer de una copia reciente de los archivos y la base de datos. Es recomendable comprobar que pueda restaurarse.

3. Actualiza PHP a una versión corregida. Si gestionas el servidor, deberás instalar los paquetes de seguridad correspondientes. Si utilizas un hosting compartido, el proveedor puede encargarse de esa parte o permitirte seleccionar la versión desde su panel.

4. Comprueba el funcionamiento de la página. Revisa las secciones principales, los formularios, los accesos de usuarios y, si tienes una tienda online, el proceso de compra.

5. Solicita una revisión técnica si sospechas un ataque. Instalar una actualización evita la explotación de los fallos corregidos, pero no elimina automáticamente posibles modificaciones maliciosas realizadas con anterioridad.

¿Puede dejar de funcionar mi web al actualizar PHP?

Sí. Aunque mantener PHP actualizado es fundamental para la seguridad, cambiar de una versión antigua a otra más reciente puede provocar problemas de compatibilidad.

Esto sucede especialmente en páginas que utilizan temas, plugins o desarrollos personalizados que llevan tiempo sin actualizarse.

Por ejemplo, después de cambiar PHP podrían aparecer errores en formularios de contacto, funcionalidades de una tienda online o componentes que dependen de código antiguo. En casos más graves, la página podría dejar de cargar correctamente.

Por eso, cuando sea posible, es aconsejable probar primero el cambio en un entorno de pruebas y verificar la compatibilidad de los componentes instalados.

Eso sí, estos riesgos no justifican mantener indefinidamente un servidor vulnerable. Si el cambio requiere adaptar la web, lo adecuado es coordinar la actualización de seguridad con las modificaciones necesarias.

¿Y si no tengo acceso al servidor de mi web?

En muchos casos, el propietario de una página web no administra directamente el servidor donde está alojada. Es habitual que esa responsabilidad corresponda a la empresa de hosting o al proveedor de servicios informáticos.

Si es tu situación, puedes enviarles una consulta como esta:

«Hola, quisiera confirmar si el servidor donde está alojada mi página web está protegido frente a las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619, publicadas en octubre de 2026. ¿Podéis indicarme qué versión de PHP utilizamos y si ya se han aplicado los parches de seguridad necesarios?»

La respuesta debería permitirte saber si tu alojamiento está actualizado o necesita alguna intervención.

No basta con comprobar que la página abre correctamente. Una web puede funcionar con normalidad y seguir teniendo vulnerabilidades de seguridad.

¿Todas las webs de WordPress están en peligro?

No necesariamente. WordPress utiliza PHP, pero una instalación que ya dispone de las correcciones de seguridad correspondientes no está expuesta a estos dos fallos conocidos.

Además, actualizar WordPress, sus plugins o sus temas no equivale a actualizar PHP. Son componentes diferentes, y el mantenimiento del servidor debe revisarse por separado.

La alerta tampoco implica que todos los servidores vulnerables hayan sido comprometidos. Lo que existe es un riesgo de seguridad que requiere una respuesta rápida.

Cómo mantener tu página web protegida

La publicación de estas vulnerabilidades recuerda que la seguridad de una web no depende únicamente de mantener actualizado su gestor de contenidos. También es necesario prestar atención a los programas que funcionan en el servidor.

Revisar periódicamente la versión de PHP, utilizar componentes compatibles, conservar copias de seguridad y mantener una comunicación fluida con el proveedor de alojamiento son medidas importantes.

En esta ocasión, la recomendación de los responsables de PHP y de las autoridades de ciberseguridad es especialmente clara: aplicar cuanto antes las correcciones oficiales y comprobar que los servicios continúan funcionando correctamente.

Si tienes dudas sobre la versión instalada, el primer paso es consultar el panel de tu web o contactar con tu proveedor de hosting. No necesitas esperar a que aparezca un error para comprobar si tu página está protegida.