Vulnerabilidad de PHP hoy: qué revisar en tu página y qué pedir al hosting

El 21 de octubre de 2026, el proyecto PHP publicó una actualización de seguridad para dos fallas críticas, CVE-2026-109618 y CVE-2026-109619, que php.net califica con 9.2 en la escala CVSS 4.0. Según el aviso, pueden permitir que alguien sin usuario ni contraseña ejecute código en el servidor donde vive una página web.¹

Si tu negocio tiene una página en WordPress, una tienda en línea o un sitio que te hizo una agencia, esto te toca. No necesitas programar: necesitas saber qué versión usa tu sitio y a quién pedirle la actualización hoy.

¿Qué es la vulnerabilidad de PHP de octubre 2026 y a quién afecta?

Son dos errores en el propio PHP, el programa que arma tu página cada vez que alguien la visita, y pueden abrirle el servidor a un atacante sin contraseña. El aviso de php.net dice que afectan a todas las instalaciones de PHP que atienden visitas web, y que el riesgo es mayor con mod_php, una forma común de conectar PHP con el servidor Apache.¹

9to5Mac dice que PHP se usa en cerca del 70 % de los sitios web y reporta que Amazon Web Services ve las fallas «ampliamente explotadas» en internet. También informa que muchos sitios comerciales y de gobierno se desconectaron a propósito mientras actualizaban.³

A la falla le dicen php2shell. Según The Decoder, la encontró GPT-5.6 Sol, un modelo de OpenAI, dentro de su programa Patch the Planet, y la empresa de seguridad Wiz la halló por su cuenta con su plataforma Wiz Atlas, con ayuda de Gemini 4 Argon, de Google, y del propio GPT-5.6 Sol. La corrección se coordinó durante dos meses entre los responsables de PHP, Wiz, Cloudflare y agencias de Estados Unidos como CISA.⁴

¿Cómo saber qué versión de PHP tiene mi página de WordPress?

Entra al panel de tu WordPress con un usuario administrador, ve a Herramientas, luego a Salud del sitio y abre la pestaña Información; en la sección Servidor aparece la información de PHP de tu sitio y ahí ves su versión. Anota el número completo, por ejemplo 8.3.36, no solo 8.3.⁵

Si tu página no es WordPress, quien la administra puede usar el verificador gratuito que OpenAI publicó en GitHub. Lee la versión que anuncia el servidor y responde OK, VULNERABLE o UNKNOWN. El propio proyecto advierte que UNKNOWN no significa que el sitio esté corregido.²

¿Qué versión de PHP ya está corregida?

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. El aviso de php.net pide a todos los usuarios actualizar de inmediato y aclara que PHP 8.2 deja de recibir arreglos de seguridad el 31 de diciembre de 2026. Cada rama tiene su propia corrección: si tu sitio usa 8.4, necesitas 8.4.27 o posterior; un 8.4.20 sigue expuesto aunque su número sea mayor que 8.3.36.¹

PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. Para esas versiones hay parches de distribuciones de Linux y de proveedores de soporte extendido, y el equipo de seguridad de PHP publicó arreglos mínimos en código para 7.4, 8.0 y 8.1. Aun así, lo recomendable es subir a una rama con soporte.¹

Ojo: algunos servidores aplican la corrección sin cambiar el número de versión que muestran. El verificador de OpenAI lo advierte, así que el número es una pista, no una prueba. La confirmación la da tu proveedor, por escrito.²

¿Mi página web está en riesgo si la tengo en un hosting?

Sí puede estarlo: tener hosting no te protege por sí solo, porque la corrección depende de que tu proveedor instale el PHP actualizado en su servidor. php.net informa que las distribuciones de Linux y los proveedores de soporte recibieron los parches por adelantado y pide consultar al proveedor por los paquetes corregidos.¹

¿Cómo actualizo PHP en cPanel o en WordPress?

Desde WordPress no se actualiza PHP; se hace en el panel del hosting. En cPanel, la herramienta MultiPHP Manager muestra la versión de cada dominio: marcas tu dominio, eliges la versión en el menú PHP Version y das clic en Apply.⁶⁵

La documentación de cPanel aclara dos límites: tu proveedor puede ocultar esa herramienta, y solo aparecen las versiones que él instaló en el servidor. Por eso, aunque tú elijas la rama, quien instala la corrección es el proveedor. Antes de cambiar de rama, por ejemplo de 8.1 a 8.3, pide un respaldo completo por si algo deja de funcionar.⁶

¿Qué le pido a mi proveedor de hosting o a quien me hizo la página?

Pide por escrito que confirmen que tu sitio ya tiene la corrección de CVE-2026-109618 y CVE-2026-109619, con la versión exacta instalada. Puedes mandar este mensaje tal cual por correo o por WhatsApp:¹

• Hola. El 21 de octubre de 2026 PHP publicó una actualización crítica para CVE-2026-109618 y CVE-2026-109619.
• ¿Mi sitio (escribe aquí tu dominio) ya corre PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 o un paquete de su proveedor con la corrección? ¿Qué versión exacta tiene hoy?
• Si todavía no está actualizado, ¿en qué fecha y hora lo harán, y qué medidas temporales aplican mientras tanto?
• ¿Pueden hacer un respaldo completo antes del cambio y avisarme cuando termine?¹

Si te responden que ajustaron la configuración, pregunta cuándo actualizan. php.net describe ajustes que reducen la exposición, pero dice expresamente que no dejan la instalación segura: solo la actualización es una solución completa.¹

¿Debo apagar mi sitio web hasta que lo actualicen?

Si tu proveedor no confirma la corrección ni te da fecha, desconectar la página unas horas es una opción razonable. 9to5Mac reporta que muchos sitios comerciales y de gobierno lo hicieron a propósito, y resume que la NSA aconsejó sacar de línea los sitios sin parche hasta corregirlos.³

Pesa qué pierdes. Una página de presentación puede quedar en pausa con un aviso de mantenimiento y tu WhatsApp a la vista. Una tienda que cobra en línea necesita la actualización hoy mismo; ahí conviene presionar al proveedor o buscar uno que responda.

¿Cómo sé si ya hackearon mi página?

Busca señales concretas: usuarios nuevos que no creaste, cambios que no autorizaste, avisos de Google o del antivirus de tus clientes, o que tu hosting haya suspendido el sitio. La guía oficial de WordPress para sitios hackeados enumera esas señales entre los indicios claros de un ataque.⁷

1. Anota qué viste y a qué hora; esa nota le sirve a tu proveedor o a un especialista.
2. En WordPress, revisa si hay usuarios o plugins nuevos que no instalaste.
3. Pide a tu hosting que revise el servidor; en hosting compartido el ataque puede alcanzar a otros sitios, y ellos pueden confirmar si de verdad es un hackeo.
4. Haz un respaldo antes de limpiar, aunque esté infectado.
5. Cambia las contraseñas de WordPress, del panel del hosting, del FTP y de la base de datos, y vuelve a cambiarlas cuando el sitio esté limpio.⁷

Lo que conviene hacer esta semana

La lección que queda después del parche es simple: tu página necesita un responsable de actualizaciones con nombre y apellido. Puede ser tu hosting, tu agencia o alguien de tu equipo, pero alguien tiene que responder cuando sale un aviso como este.

Y los avisos van a llegar más seguido. Según The Decoder, OpenAI espera que los hallazgos de esta escala aumenten mucho en los próximos meses, y Wiz advierte que la IA también le baja la barrera a quien ataca.⁴

Así lo escribe Laura López en Xataka: la revisión y la corrección siguen dependiendo de personas. Tu tarea de hoy cabe en diez minutos: revisa tu versión, manda el mensaje a tu proveedor y guarda su respuesta por escrito.⁸

Investigado y redactado con apoyo de IA a partir de fuentes verificadas; revisado antes de publicarse. Política editorial.

Manuel de León

COO de Sinergéticos y CEO de Synergy Education. 2x TEDx Speaker y autor de Lifehacks que no te enseñan de los negocios.