La vulnerabilidad de PHP de octubre de 2026, explicada

Qué ha pasado

Se han encontrado dos fallos en el propio PHP (CVE-2026-109618 y CVE-2026-109619). Con una petición especialmente preparada, un atacante puede hacer que el servidor de un sitio web ejecute su propio código, sin iniciar sesión. En la práctica, eso puede significar tomar el control del servidor: modificar el sitio web, robar datos o usarlo para atacar a otros.

A quién afecta

• A todos los sitios web que funcionan con PHP, sea cual sea su versión de PHP, hasta que se actualicen a una versión corregida. Eso incluye la mayoría de los sitios con WordPress, Joomla, Drupal, Magento y PrestaShop.
• No a tu propio sitio web si está hecho con un creador de sitios web que no usa PHP, como Shopify, Wix o Squarespace. Otros sistemas que uses pueden seguir estando afectados.
• También a otro software: algunos equipos, intranets y aplicaciones empresariales incluyen PHP. El NCSC neerlandés mantiene una lista de productos afectados.

¿Tienes dudas sobre tu sitio web? Así puedes comprobarlo, o haz nuestra comprobación gratuita.

Qué hacer ahora

El NCSC británico recomienda, en este orden:

1. Actualiza PHP a una versión corregida. Normalmente se encarga tu proveedor de hosting, tu desarrollador o tu agencia.
2. Si aún no puedes actualizar, aplica las medidas temporales publicadas por el proyecto PHP.
3. Si ninguna de las dos cosas es posible, plantéate desconectar el sitio web hasta que esté corregido.
4. Busca señales de intrusión, sobre todo si la actualización tardó en llegar.
5. Mantente atento a las actualizaciones de los fabricantes de otro software y equipos que uses.

Qué versiones de PHP están corregidas

• PHP 8.5: corregido en la 8.5.12 y posteriores
• PHP 8.4: corregido en la 8.4.27 y posteriores
• PHP 8.3: corregido en la 8.3.36 y posteriores
• PHP 8.2: corregido en la 8.2.35 y posteriores

PHP 8.1 y anteriores ya no reciben ninguna corrección de seguridad. Los sitios web con esas versiones tienen que pasar a una versión con soporte, lo que requiere más pruebas que una actualización normal, así que empieza hoy.

Para desarrolladores

Están afectadas todas las formas de ejecutar PHP para sitios web (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed); mod_php es la de mayor riesgo. Si no puedes aplicar el parche de inmediato, php.net indica medidas temporales, como imponer a nivel administrativo memory_limit=-1, reducir los límites de las peticiones y de multipart, y session.upload_progress.enabled=0. Reducen el riesgo, pero no sustituyen a la actualización.