ALERTAVulnerabilidad crítica en PHP · CVE-2026-109618 · CVE-2026-109619 · 21 oct 2026
<?doiusephp?>

¿Afecta a WordPress la vulnerabilidad de PHP?

Sí.

WordPress funciona con PHP, así que todos los sitios WordPress en su propio hosting están afectados hasta que se actualice su versión de PHP. En WordPress.com, Automattic mantiene PHP por ti.

Dónde ver tu versión de PHP: Herramientas → Salud del sitio → Información → Servidor.

Comprueba tu sitio web

¿No sabes si tu sitio web funciona con WordPress? Nuestra comprobación gratuita busca PHP en unos segundos.

tusitioweb.comComprobar →

Qué deben hacer los propietarios de sitios con WordPress

¿Quién se encarga de tu sitio web?

Te mostraremos los pasos para tu caso.

  1. 01

    Averigua quién se encarga de tu sitio web

    Suele ser un proveedor de hosting, un desarrollador o una agencia. Formas de averiguarlo:

    • busca en tus facturas y extractos bancarios una empresa de hosting o una agencia web
    • busca en tu correo “hosting”, “dominio” o el nombre de quien creó tu sitio web

    LISTO CUANDOsabes a quién contactar.

  2. 02

    Envíales hoy el mensaje de abajo

    El mensaje explica lo que hay que hacer: actualizar PHP a una versión corregida. Pídeles que te respondan cuando esté hecho.

    LISTO CUANDOte han respondido que se están ocupando de ello.

  3. 03

    Pide confirmación de que está corregido

    Pídeles que confirmen que tu sitio web ya funciona con una versión de PHP corregida (como mínimo 8.2.35, 8.3.36, 8.4.27 u 8.5.12, según la versión que use). Pregunta también por otros sitios web o sistemas que gestionen para ti.

    LISTO CUANDOtienes esa confirmación por escrito.

  4. 04

    Comprueba que tu sitio web sigue funcionando

    Abre tu página de inicio y prueba el formulario de contacto, el inicio de sesión y el proceso de compra. Si algo ha dejado de funcionar tras pasar a una versión más nueva de PHP, actualiza WordPress junto con sus plugins y tema, o pregunta a tu desarrollador.

    LISTO CUANDOtus páginas importantes funcionan como antes.

  5. 05

    Si no se puede corregir hoy

    Pide a quien se encarga de tu sitio web que aplique las medidas temporales de PHP hasta que la corrección esté instalada; aparecen en la sección para desarrolladores, más abajo. Si tampoco es posible pronto, el NCSC británico recomienda plantearse desconectar el sitio web: mientras tanto, tu proveedor de hosting puede mostrar una página de mantenimiento.

  6. 06

    Haz que revisen tu sitio web en busca de intrusiones

    Pide a tu proveedor de hosting o a tu desarrollador que lo revise, sobre todo si la corrección tardó más de un día. Señales que puedes detectar tú mismo:

    • cuentas de administrador que no reconoces
    • páginas, enlaces o archivos que no has añadido
    • visitantes redirigidos a otros sitios web
    • un aviso en Google como “Es posible que este sitio haya sido pirateado”

    LISTO CUANDOlo han revisado y no han encontrado nada, o lo han limpiado.

Envía esto a tu proveedor de hosting o tu desarrollador

Cópialo en un correo electrónico o en una solicitud de soporte.

Asunto: Urgente: vulnerabilidad crítica en PHP (CVE-2026-109618 / CVE-2026-109619)

Hola:

El 21 de octubre de 2026 se publicó una vulnerabilidad crítica en PHP (CVE-2026-109618 y CVE-2026-109619). Puede permitir que un atacante tome el control de un servidor web sin necesidad de iniciar sesión. INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, recomienda actualizar de inmediato:
https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php

Nuestro sitio web funciona con WordPress, que usa PHP. Les pido, por favor, que:

1. Me indiquen qué versión de PHP usan nuestro sitio web y cualquier otro sistema que gestionen para nosotros.
2. Actualicen a una versión de PHP corregida (como mínimo 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama). Si hace falta una versión de PHP más nueva, actualicen antes WordPress junto con sus plugins y tema.
3. Si no es posible actualizar de inmediato, apliquen las medidas temporales del proyecto PHP (https://www.php.net/) o desconecten el sitio hasta que esté corregido.
4. Revisen el servidor en busca de cualquier señal de intrusión.

Les agradecería que me avisaran cuando esté hecho.

¡Muchas gracias!
Para tu desarrollador o tu proveedor de hosting: qué hacer, paso a paso+
  1. 1.

    Localiza todas las instalaciones de PHP que sirven un sitio web

    Revisa el PHP que ejecuta el servidor web, no solo el de la línea de comandos: php -v en un terminal puede mostrar otra versión. Incluye todas las formas en que PHP funciona detrás de un sitio web (PHP-FPM detrás de Nginx o Apache, el mod_php integrado en Apache, LiteSpeed, FrankenPHP), y no olvides los contenedores, los entornos de pruebas y otros servidores.

  2. 2.

    Actualiza a una versión corregida

    Corregido en 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (una por cada versión con soporte). Usa los paquetes de tu sistema operativo, una imagen base de contenedor más reciente o el panel de tu hosting. PHP 8.1 y anteriores ya no reciben correcciones: pasa a una versión con soporte.

  3. 3.

    Reinicia PHP

    Reinicia PHP-FPM, Apache o LiteSpeed después de actualizar. Los procesos que ya están en marcha siguen usando el código antiguo y vulnerable hasta que se reinician.

  4. 4.

    Comprueba que la corrección está realmente activa

    Confirma la versión que usa el propio sitio web, por ejemplo con una página phpinfo() temporal que elimines después. Algunas distribuciones de Linux corrigen fallos de seguridad sin cambiar el número de versión: en ese caso, comprueba que el registro de cambios del paquete menciona CVE-2026-109618 y CVE-2026-109619.

  5. 5.

    ¿Aún no puedes actualizar? Aplica las medidas temporales

    php.net indica medidas temporales que reducen el riesgo hasta que puedas actualizar. Entre ellos: fija memory_limit=-1 en la configuración del servidor para que los scripts no puedan cambiarlo (así se evita la falta de memoria en la que se basa el ataque; vigila el uso de memoria), reduce los límites de tamaño de las peticiones y subidas, y fija session.upload_progress.enabled=0. Reinicia PHP después. Estos ajustes reducen el riesgo, pero no sustituyen a la actualización.

  6. 6.

    Busca señales de intrusión

    Busca archivos PHP añadidos o modificados desde el 21 de octubre de 2026, cuentas de administrador que nadie reconoce, tareas programadas nuevas (cron jobs), procesos o conexiones salientes inesperados, y errores de falta de memoria en los registros de PHP. Si algo no cuadra: restaura una copia de seguridad limpia, cambia todas las contraseñas y claves (incluidas las de la base de datos) e informa al propietario del sitio web.

  7. 7.

    Después: deja de anunciar la versión de PHP

    Configura expose_php = Off, para que las respuestas ya no incluyan una cabecera X-Powered-By: PHP/… que indica a los atacantes qué versión usas.

Gravedad: 9,2 sobre 10 (CVSS 4.0). CVE-2026-109618 (ejecución remota de código por corrupción al agotarse la memoria) · CVE-2026-109619 (ejecución remota de código por estado global obsoleto)

Conviene saber

  • En el escritorio de WordPress, ve a Herramientas → Salud del sitio → Información y abre la sección Servidor para ver tu versión de PHP. Salud del sitio también avisa cuando PHP está desactualizado. Fuente ↗
  • WordPress.com indicó el 21 de octubre de 2026 que sus clientes no tienen que hacer nada: WordPress.com aplica el parche de PHP en sus propios servidores. Fuente ↗
  • WordPress recomienda PHP 8.3 o posterior. Antes de pasar a una versión más nueva de PHP, actualiza WordPress, tus plugins y tu tema, porque las versiones antiguas pueden dejar de funcionar. Fuente ↗

Preguntas frecuentes

¿Actualizar WordPress corrige la vulnerabilidad de PHP?

La corrección está en el propio PHP, que funciona por debajo del software de tu sitio web. Actualizar el software y sus complementos es una buena práctica, pero no corrige esta vulnerabilidad: también hay que actualizar PHP.

¿Cómo veo qué versión de PHP usa mi sitio WordPress?

Ve a Herramientas → Salud del sitio → Información en tu escritorio y abre la sección Servidor. En WordPress.com, la versión aparece en los ajustes de alojamiento de tu sitio.

Mi sitio está en WordPress.com. ¿Tengo que hacer algo?

No. WordPress.com mantiene PHP y aplica los parches en sus propios servidores, y ha indicado que sus clientes no tienen que hacer nada por esta vulnerabilidad.

¿Quién actualiza PHP en mi sitio WordPress?

Normalmente tu proveedor de hosting, desde su panel de control, o el desarrollador o la agencia que se encarga de tu sitio. Muchos proveedores de hosting te permiten cambiar la versión de PHP tú mismo.

Más: Cómo saber si tu sitio web usa PHP · La vulnerabilidad de PHP de octubre de 2026, explicada

Otras plataformas: WooCommerce · Joomla · Drupal · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

FUENTES