Hay que parchear PHP ya: dos fallos críticos y un plazo que se acerca

Si su empresa tiene una web, una tienda online o una intranet, es muy probable que funcione con PHP aunque nunca haya oído hablar de él. El 21 de octubre, el proyecto PHP publicó actualizaciones para corregir dos fallos críticos que pueden permitir a un atacante ejecutar código en su servidor sin necesidad de usuario ni contraseña. La recomendación oficial es actualizar inmediatamente. Le explicamos, sin tecnicismos, qué ha pasado, cómo saber si le afecta y qué preguntar hoy mismo a quien lleva su web.

Qué ha pasado

PHP es el lenguaje en el que funcionan muchísimas webs y aplicaciones: WordPress, Drupal, Joomla y gran parte de las intranets y aplicaciones hechas a medida. El 21 de octubre de 2026, el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619).

Según php.net, ambas pueden permitir la ejecución remota de código sin autenticación. Dicho de forma sencilla: alguien de fuera podría llegar a tomar el control del servidor sin haber iniciado sesión. Las dos tienen una puntuación de gravedad de 9,2 sobre 10 (CVSS v4.0), como confirman php.net y The PHP Foundation.

¿A quién afecta? Según el aviso oficial, a todas las instalaciones de PHP que sirven páginas web, independientemente de cómo estén montadas. El propio PHP considera que el riesgo es mayor en servidores Apache con el módulo mod_php, una configuración clásica en muchos alojamientos antiguos.

Y un detalle importante: php.net dice que no hay mitigaciones completas y que actualizar es la única opción segura. Existen medidas temporales que reducen la exposición, pero PHP deja claro que no sustituyen a la actualización.

¿Le afecta? Tres preguntas para hacer hoy a su proveedor

No necesita saber programar para comprobar si está en riesgo. Basta con hacer tres preguntas a quien se encarga de su web o de su servidor:

1. ¿Qué versión de PHP tenemos?

Es la primera pregunta y, en muchas empresas, nadie sabe la respuesta. Si su proveedor tampoco la sabe, ya tiene una pista de que algo falla en el mantenimiento.

2. ¿Está ya en una versión corregida?

Las versiones corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35, o el paquete actualizado equivalente de la distribución de Linux que use su servidor. Según php.net, las distribuciones y los proveedores con soporte extendido recibieron los parches por adelantado, así que muchas ya tienen la actualización disponible.

3. ¿Quién se encarga de que esto pase la próxima vez?

Esta es la pregunta que más importa. No basta con parchear hoy: tiene que haber alguien responsable de vigilar los avisos y aplicar las correcciones en plazo.

¿Y si estoy en PHP 8.1 o anterior?

El proyecto PHP ya no publica actualizaciones para esas versiones. Eso no significa que no tengan arreglo: algunas distribuciones y proveedores con soporte extendido ofrecen correcciones y, dada la gravedad de estos fallos, el equipo de PHP publicó además correcciones mínimas en código fuente para PHP 7.4, 8.0 y 8.1. Pero son un parche de emergencia, no una solución de futuro. Conviene hablar con su proveedor y planificar la migración a una versión más reciente.

El siguiente plazo: PHP 8.2 sin parches de seguridad el 31/12/2026

Si su web está en PHP 8.2 y hoy la actualiza a la 8.2.35, estará protegido frente a estos dos fallos. Pero hay una fecha que conviene apuntar: según php.net, PHP 8.2 se queda sin parches de seguridad el 31/12/2026. A partir de ese día, si aparece un fallo nuevo, el proyecto PHP ya no publicará la corrección para esa versión.

Es decir, en algo más de dos meses volvería a estar en la misma situación. Por eso, si ya va a tocar el servidor, es buen momento para planificar el salto a una versión que siga recibiendo parches durante más tiempo, y no limitarse a parchear.

Parchear no es un evento, es un proceso

Hay un contexto que ayuda a entender por qué esto no es un caso aislado. Según The PHP Foundation, los fallos los reportaron investigadores de seguridad de Calif, OpenAI y Wiz, y OpenAI explica que Calif encontró uno de ellos usando uno de sus modelos de inteligencia artificial. La propia fundación reconoce que su equipo de seguridad ha publicado 15 avisos de vulnerabilidad (CVE) desde el 1 de julio y que recibe muchos más avisos que antes por la investigación asistida por IA.

La conclusión es sencilla y no hace falta dramatizar: se van a encontrar más fallos, y más rápido. Lo que marca la diferencia es tener un proceso para aplicar las correcciones a tiempo. En la práctica, eso significa:

• Inventario de versiones. Saber qué versión de PHP, y del resto de componentes, tiene cada web, tienda o aplicación.
• Parches de seguridad en plazo. Aplicar las actualizaciones críticas cuando salen, no cuando alguien se acuerda.
• Medidas temporales si no se puede actualizar al momento. Reducen la exposición mientras se prepara la actualización, sabiendo que no la sustituyen.
• Copia de seguridad antes de tocar. Para poder volver atrás si algo no sale como se esperaba.
• Comprobación posterior. Verificar que la web funciona y que la versión corregida es la que de verdad está en marcha.

Cómo podemos ayudarle

En ECUMI nos encargamos del mantenimiento de webs y servidores de forma gestionada: inventario, parches de seguridad, copias antes de cada cambio y comprobación posterior, para que no dependa de que alguien lea las noticias a tiempo. Si no tiene claro quién vigila su web, o su proveedor desapareció hace años, nuestros especialistas pueden revisar su situación y decirle qué hacer.

¿No sabe qué versión de PHP tiene su web o su servidor? Llame a nuestros especialistas al +34 91 530 60 93 y le diremos si está expuesto y qué hacer.

Si prefiere escribirnos, use el formulario de contacto de ECUMI.

Y si su aplicación es tan antigua que actualizarla ya no compensa, en Green Valley le ayudamos a modernizarla.

Fuentes

1. php.net, Security advisory: Critical remote code execution vulnerabilities, update now (21 de octubre de 2026), notas de las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 y preaviso del 20 de octubre: https://www.php.net/archive/2026.php
2. php.net, Supported Versions: https://www.php.net/supported-versions.php
3. The PHP Foundation, Today's PHP Security Release, and How We're Strengthening PHP Security (21 de octubre de 2026): https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
4. OpenAI, Patch the Planet: global response coordination as agents uncover critical vulnerabilities (21 de octubre de 2026): https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities