ALERTAVulnerabilidad crítica en PHP · CVE-2026-109618 · CVE-2026-109619 · 21 oct 2026
<?doiusephp?>

¿Afecta a Drupal la vulnerabilidad de PHP?

Sí.

Drupal funciona con PHP, así que todos los sitios Drupal están afectados hasta que se actualice su versión de PHP.

Dónde ver tu versión de PHP: Informes → Informe de estado (Reports → Status report).

Comprueba tu sitio web

¿No sabes si tu sitio web funciona con Drupal? Nuestra comprobación gratuita busca PHP en unos segundos.

tusitioweb.comComprobar →

Qué deben hacer los propietarios de sitios con Drupal

¿Quién se encarga de tu sitio web?

Te mostraremos los pasos para tu caso.

  1. 01

    Averigua quién se encarga de tu sitio web

    Suele ser un proveedor de hosting, un desarrollador o una agencia. Formas de averiguarlo:

    • busca en tus facturas y extractos bancarios una empresa de hosting o una agencia web
    • busca en tu correo “hosting”, “dominio” o el nombre de quien creó tu sitio web

    LISTO CUANDOsabes a quién contactar.

  2. 02

    Envíales hoy el mensaje de abajo

    El mensaje explica lo que hay que hacer: actualizar PHP a una versión corregida. Pídeles que te respondan cuando esté hecho.

    LISTO CUANDOte han respondido que se están ocupando de ello.

  3. 03

    Pide confirmación de que está corregido

    Pídeles que confirmen que tu sitio web ya funciona con una versión de PHP corregida (como mínimo 8.2.35, 8.3.36, 8.4.27 u 8.5.12, según la versión que use). Pregunta también por otros sitios web o sistemas que gestionen para ti.

    LISTO CUANDOtienes esa confirmación por escrito.

  4. 04

    Comprueba que tu sitio web sigue funcionando

    Abre tu página de inicio y prueba el formulario de contacto, el inicio de sesión y el proceso de compra. Si algo ha dejado de funcionar tras pasar a una versión más nueva de PHP, actualiza Drupal junto con sus módulos, o pregunta a tu desarrollador.

    LISTO CUANDOtus páginas importantes funcionan como antes.

  5. 05

    Si no se puede corregir hoy

    Pide a quien se encarga de tu sitio web que aplique las medidas temporales de PHP hasta que la corrección esté instalada; aparecen en la sección para desarrolladores, más abajo. Si tampoco es posible pronto, el NCSC británico recomienda plantearse desconectar el sitio web: mientras tanto, tu proveedor de hosting puede mostrar una página de mantenimiento.

  6. 06

    Haz que revisen tu sitio web en busca de intrusiones

    Pide a tu proveedor de hosting o a tu desarrollador que lo revise, sobre todo si la corrección tardó más de un día. Señales que puedes detectar tú mismo:

    • cuentas de administrador que no reconoces
    • páginas, enlaces o archivos que no has añadido
    • visitantes redirigidos a otros sitios web
    • un aviso en Google como “Es posible que este sitio haya sido pirateado”

    LISTO CUANDOlo han revisado y no han encontrado nada, o lo han limpiado.

Envía esto a tu proveedor de hosting o tu desarrollador

Cópialo en un correo electrónico o en una solicitud de soporte.

Asunto: Urgente: vulnerabilidad crítica en PHP (CVE-2026-109618 / CVE-2026-109619)

Hola:

El 21 de octubre de 2026 se publicó una vulnerabilidad crítica en PHP (CVE-2026-109618 y CVE-2026-109619). Puede permitir que un atacante tome el control de un servidor web sin necesidad de iniciar sesión. INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, recomienda actualizar de inmediato:
https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php

Nuestro sitio web funciona con Drupal, que usa PHP. Les pido, por favor, que:

1. Me indiquen qué versión de PHP usan nuestro sitio web y cualquier otro sistema que gestionen para nosotros.
2. Actualicen a una versión de PHP corregida (como mínimo 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama). Si hace falta una versión de PHP más nueva, actualicen antes Drupal junto con sus módulos.
3. Si no es posible actualizar de inmediato, apliquen las medidas temporales del proyecto PHP (https://www.php.net/) o desconecten el sitio hasta que esté corregido.
4. Revisen el servidor en busca de cualquier señal de intrusión.

Les agradecería que me avisaran cuando esté hecho.

¡Muchas gracias!
Para tu desarrollador o tu proveedor de hosting: qué hacer, paso a paso+
  1. 1.

    Localiza todas las instalaciones de PHP que sirven un sitio web

    Revisa el PHP que ejecuta el servidor web, no solo el de la línea de comandos: php -v en un terminal puede mostrar otra versión. Incluye todas las formas en que PHP funciona detrás de un sitio web (PHP-FPM detrás de Nginx o Apache, el mod_php integrado en Apache, LiteSpeed, FrankenPHP), y no olvides los contenedores, los entornos de pruebas y otros servidores.

  2. 2.

    Actualiza a una versión corregida

    Corregido en 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (una por cada versión con soporte). Usa los paquetes de tu sistema operativo, una imagen base de contenedor más reciente o el panel de tu hosting. PHP 8.1 y anteriores ya no reciben correcciones: pasa a una versión con soporte.

  3. 3.

    Reinicia PHP

    Reinicia PHP-FPM, Apache o LiteSpeed después de actualizar. Los procesos que ya están en marcha siguen usando el código antiguo y vulnerable hasta que se reinician.

  4. 4.

    Comprueba que la corrección está realmente activa

    Confirma la versión que usa el propio sitio web, por ejemplo con una página phpinfo() temporal que elimines después. Algunas distribuciones de Linux corrigen fallos de seguridad sin cambiar el número de versión: en ese caso, comprueba que el registro de cambios del paquete menciona CVE-2026-109618 y CVE-2026-109619.

  5. 5.

    ¿Aún no puedes actualizar? Aplica las medidas temporales

    php.net indica medidas temporales que reducen el riesgo hasta que puedas actualizar. Entre ellos: fija memory_limit=-1 en la configuración del servidor para que los scripts no puedan cambiarlo (así se evita la falta de memoria en la que se basa el ataque; vigila el uso de memoria), reduce los límites de tamaño de las peticiones y subidas, y fija session.upload_progress.enabled=0. Reinicia PHP después. Estos ajustes reducen el riesgo, pero no sustituyen a la actualización.

  6. 6.

    Busca señales de intrusión

    Busca archivos PHP añadidos o modificados desde el 21 de octubre de 2026, cuentas de administrador que nadie reconoce, tareas programadas nuevas (cron jobs), procesos o conexiones salientes inesperados, y errores de falta de memoria en los registros de PHP. Si algo no cuadra: restaura una copia de seguridad limpia, cambia todas las contraseñas y claves (incluidas las de la base de datos) e informa al propietario del sitio web.

  7. 7.

    Después: deja de anunciar la versión de PHP

    Configura expose_php = Off, para que las respuestas ya no incluyan una cabecera X-Powered-By: PHP/… que indica a los atacantes qué versión usas.

Gravedad: 9,2 sobre 10 (CVSS 4.0). CVE-2026-109618 (ejecución remota de código por corrupción al agotarse la memoria) · CVE-2026-109619 (ejecución remota de código por estado global obsoleto)

Conviene saber

  • En la administración de Drupal, Informes → Informe de estado (Reports → Status report) tiene una sección de PHP y avisa cuando tu versión de PHP es demasiado antigua. Fuente ↗
  • Cada versión de Drupal admite unas versiones concretas de PHP (por ejemplo, Drupal 11.3 y 11.4 funcionan con PHP 8.3 a 8.5). Compruébalo con tu desarrollador antes de pasar a una versión más nueva de PHP. Fuente ↗

Preguntas frecuentes

¿Actualizar Drupal corrige la vulnerabilidad de PHP?

La corrección está en el propio PHP, que funciona por debajo del software de tu sitio web. Actualizar el software y sus complementos es una buena práctica, pero no corrige esta vulnerabilidad: también hay que actualizar PHP.

¿Cómo veo qué versión de PHP usa mi sitio Drupal?

Ve a Informes → Informe de estado (Reports → Status report) en la administración. Su sección de PHP muestra información de PHP, con un enlace a todos los detalles.

¿Quién actualiza PHP en mi sitio Drupal?

Tu proveedor de hosting, o el desarrollador o la agencia que mantiene tu sitio. Los sitios Drupal suelen estar gestionados por una agencia.

Más: Cómo saber si tu sitio web usa PHP · La vulnerabilidad de PHP de octubre de 2026, explicada

Otras plataformas: WordPress · WooCommerce · Joomla · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

FUENTES