¿Afecta a WooCommerce la vulnerabilidad de PHP?
Sí.
WooCommerce es un plugin de WordPress, así que funciona con PHP: todas las tiendas WooCommerce en su propio hosting están afectadas hasta que se actualice PHP. En WordPress.com, PHP se mantiene por ti.
Dónde ver tu versión de PHP: WooCommerce → Estado, en la sección Entorno del servidor.
Comprueba tu sitio web
¿No sabes si tu sitio web funciona con WooCommerce? Nuestra comprobación gratuita busca PHP en unos segundos.
Qué deben hacer los propietarios de sitios con WooCommerce
- 01
Averigua quién se encarga de tu sitio web
Suele ser un proveedor de hosting, un desarrollador o una agencia. Formas de averiguarlo:
- busca en tus facturas y extractos bancarios una empresa de hosting o una agencia web
- busca en tu correo “hosting”, “dominio” o el nombre de quien creó tu sitio web
LISTO CUANDOsabes a quién contactar.
- 02
Envíales hoy el mensaje de abajo
El mensaje explica lo que hay que hacer: actualizar PHP a una versión corregida. Pídeles que te respondan cuando esté hecho.
LISTO CUANDOte han respondido que se están ocupando de ello.
- 03
Pide confirmación de que está corregido
Pídeles que confirmen que tu sitio web ya funciona con una versión de PHP corregida (como mínimo 8.2.35, 8.3.36, 8.4.27 u 8.5.12, según la versión que use). Pregunta también por otros sitios web o sistemas que gestionen para ti.
LISTO CUANDOtienes esa confirmación por escrito.
- 04
Comprueba que tu sitio web sigue funcionando
Abre tu página de inicio y prueba el formulario de contacto, el inicio de sesión y el proceso de compra. Si algo ha dejado de funcionar tras pasar a una versión más nueva de PHP, actualiza WooCommerce junto con sus plugins y tema, o pregunta a tu desarrollador.
LISTO CUANDOtus páginas importantes funcionan como antes.
- 05
Si no se puede corregir hoy
Pide a quien se encarga de tu sitio web que aplique las medidas temporales de PHP hasta que la corrección esté instalada; aparecen en la sección para desarrolladores, más abajo. Si tampoco es posible pronto, el NCSC británico recomienda plantearse desconectar el sitio web: mientras tanto, tu proveedor de hosting puede mostrar una página de mantenimiento.
- 06
Haz que revisen tu sitio web en busca de intrusiones
Pide a tu proveedor de hosting o a tu desarrollador que lo revise, sobre todo si la corrección tardó más de un día. Señales que puedes detectar tú mismo:
- cuentas de administrador que no reconoces
- páginas, enlaces o archivos que no has añadido
- visitantes redirigidos a otros sitios web
- un aviso en Google como “Es posible que este sitio haya sido pirateado”
LISTO CUANDOlo han revisado y no han encontrado nada, o lo han limpiado.
Envía esto a tu proveedor de hosting o tu desarrollador
Cópialo en un correo electrónico o en una solicitud de soporte.
Asunto: Urgente: vulnerabilidad crítica en PHP (CVE-2026-109618 / CVE-2026-109619) Hola: El 21 de octubre de 2026 se publicó una vulnerabilidad crítica en PHP (CVE-2026-109618 y CVE-2026-109619). Puede permitir que un atacante tome el control de un servidor web sin necesidad de iniciar sesión. INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, recomienda actualizar de inmediato: https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php Nuestro sitio web funciona con WooCommerce, que usa PHP. Les pido, por favor, que: 1. Me indiquen qué versión de PHP usan nuestro sitio web y cualquier otro sistema que gestionen para nosotros. 2. Actualicen a una versión de PHP corregida (como mínimo 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama). Si hace falta una versión de PHP más nueva, actualicen antes WooCommerce junto con sus plugins y tema. 3. Si no es posible actualizar de inmediato, apliquen las medidas temporales del proyecto PHP (https://www.php.net/) o desconecten el sitio hasta que esté corregido. 4. Revisen el servidor en busca de cualquier señal de intrusión. Les agradecería que me avisaran cuando esté hecho. ¡Muchas gracias!
Para tu desarrollador o tu proveedor de hosting: qué hacer, paso a paso+
- 1.
Localiza todas las instalaciones de PHP que sirven un sitio web
Revisa el PHP que ejecuta el servidor web, no solo el de la línea de comandos:
php -ven un terminal puede mostrar otra versión. Incluye todas las formas en que PHP funciona detrás de un sitio web (PHP-FPM detrás de Nginx o Apache, el mod_php integrado en Apache, LiteSpeed, FrankenPHP), y no olvides los contenedores, los entornos de pruebas y otros servidores. - 2.
Actualiza a una versión corregida
Corregido en 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (una por cada versión con soporte). Usa los paquetes de tu sistema operativo, una imagen base de contenedor más reciente o el panel de tu hosting. PHP 8.1 y anteriores ya no reciben correcciones: pasa a una versión con soporte.
- 3.
Reinicia PHP
Reinicia PHP-FPM, Apache o LiteSpeed después de actualizar. Los procesos que ya están en marcha siguen usando el código antiguo y vulnerable hasta que se reinician.
- 4.
Comprueba que la corrección está realmente activa
Confirma la versión que usa el propio sitio web, por ejemplo con una página
phpinfo()temporal que elimines después. Algunas distribuciones de Linux corrigen fallos de seguridad sin cambiar el número de versión: en ese caso, comprueba que el registro de cambios del paquete menciona CVE-2026-109618 y CVE-2026-109619. - 5.
¿Aún no puedes actualizar? Aplica las medidas temporales
php.net indica medidas temporales que reducen el riesgo hasta que puedas actualizar. Entre ellos: fija
memory_limit=-1en la configuración del servidor para que los scripts no puedan cambiarlo (así se evita la falta de memoria en la que se basa el ataque; vigila el uso de memoria), reduce los límites de tamaño de las peticiones y subidas, y fijasession.upload_progress.enabled=0. Reinicia PHP después. Estos ajustes reducen el riesgo, pero no sustituyen a la actualización. - 6.
Busca señales de intrusión
Busca archivos PHP añadidos o modificados desde el 21 de octubre de 2026, cuentas de administrador que nadie reconoce, tareas programadas nuevas (cron jobs), procesos o conexiones salientes inesperados, y errores de falta de memoria en los registros de PHP. Si algo no cuadra: restaura una copia de seguridad limpia, cambia todas las contraseñas y claves (incluidas las de la base de datos) e informa al propietario del sitio web.
- 7.
Después: deja de anunciar la versión de PHP
Configura
expose_php = Off, para que las respuestas ya no incluyan una cabeceraX-Powered-By: PHP/…que indica a los atacantes qué versión usas.
Gravedad: 9,2 sobre 10 (CVSS 4.0). CVE-2026-109618 (ejecución remota de código por corrupción al agotarse la memoria) · CVE-2026-109619 (ejecución remota de código por estado global obsoleto)
Conviene saber
- Ve a WooCommerce → Estado en tu escritorio. La sección Entorno del servidor del informe de estado del sistema muestra tu versión de PHP. Fuente ↗
- WooCommerce necesita PHP 8.3 o posterior. Fuente ↗
- Las tiendas en WordPress.com, incluido su plan Commerce, no tienen que hacer nada: WordPress.com aplica el parche de PHP por su cuenta. Fuente ↗
Preguntas frecuentes
¿Actualizar WooCommerce corrige la vulnerabilidad de PHP?
La corrección está en el propio PHP, que funciona por debajo del software de tu sitio web. Actualizar el software y sus complementos es una buena práctica, pero no corrige esta vulnerabilidad: también hay que actualizar PHP.
¿Están en riesgo los datos de mis clientes?
El fallo puede permitir a un atacante tomar el control del servidor en el que funciona tu tienda, lo que podría exponer pedidos y datos de clientes. Por eso hay que actualizar PHP cuanto antes y, después, revisar el servidor en busca de señales de intrusión.
¿Quién actualiza PHP en mi tienda?
Tu proveedor de hosting o el desarrollador o la agencia que gestiona tu tienda. Envíales el mensaje de esta página.
Más: Cómo saber si tu sitio web usa PHP · La vulnerabilidad de PHP de octubre de 2026, explicada
Otras plataformas: WordPress · Joomla · Drupal · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace