PHP es parte del software que hace funcionar WordPress, WooCommerce y muchas aplicaciones web. Su equipo ha anunciado dos fallos críticos, valorados con 9,2 sobre 10 en CVSS 4.0, una escala de gravedad. Si gestionas una web, empieza por comprobar qué PHP utiliza tu alojamiento y quién se encarga de actualizarlo. Puedes consultarlo desde WordPress o seguir los pasos de esta guía.
Información verificada el 21 de octubre de 2026 a las 13:47, hora peninsular española. El aviso de PHP mantiene la publicación prevista para las 16:00 —14:00 UTC—, aunque podría adelantarse. Todavía no detalla las versiones afectadas ni las corregidas. Esta alerta no significa que tu web ya esté hackeada.
¿Por qué es tan grave?
CERT-EU recoge información preliminar, basada en filtraciones, según la cual los fallos podrían permitir ejecutar código a distancia: hacer que el servidor realice acciones que su propietario no ha autorizado. Los detalles técnicos siguen pendientes.
Si se confirma ese escenario y la instalación resulta vulnerable, las consecuencias podrían incluir:
- Acceder a datos de clientes, pedidos u otra información que la aplicación pueda consultar.
- Cambiar contenidos, redirigir visitas a páginas falsas o introducir código malicioso.
- Interrumpir el funcionamiento de la web o intentar dejar un acceso oculto para volver después.
Son posibles consecuencias, no daños confirmados por estos avisos. El alcance depende de la configuración y de los permisos del proceso que ejecuta PHP. Que la portada cargue con normalidad tampoco demuestra que esté protegida.
¿Puede afectar a mi web?
Conviene revisar las webs con WordPress, WooCommerce o aplicaciones hechas con PHP. También los programas de terceros que lo incorporan, cuya actualización puede depender del fabricante. PHP funciona en el servidor, aunque no lo veas al editar una página.
Tener WordPress no confirma que una web sea vulnerable a estos fallos. Hay que contrastar las condiciones que publique PHP. Mantener WordPress y sus plugins actualizados es necesario, pero no acredita que PHP también lo esté.
Si tienes varias webs, comprueba cada dominio: pueden usar versiones diferentes incluso dentro del mismo alojamiento.
Cómo comprobar qué versión de PHP usa tu web
En el escritorio de WordPress, ve a Herramientas → Salud del sitio → Información → Servidor → Versión de PHP y anota el número completo. Es la ruta indicada en la guía de WordPress.
Si no tienes acceso, tu web usa otro sistema o no encuentras esa información, pregunta al soporte del alojamiento qué versión y actualización de seguridad utiliza tu dominio. Ver un número reciente no basta: el proveedor debe confirmar que incluye la corrección concreta.
Qué hacer para proteger tu web, paso a paso
- Confirma quién actualiza PHP. Algunos alojamientos lo hacen automáticamente; otros requieren una solicitud o un cambio desde el panel. Averigua quién lo gestiona y cómo te confirmará que ha aplicado el parche.
- Comprueba tu copia de seguridad. Necesitas los archivos y la base de datos, además de saber cómo recuperarlos. Si ya tienes una copia de pruebas, úsala para revisar el cambio sin interrumpir la web pública.
- Solicita o instala la corrección oficial cuando esté disponible. Sigue el aviso de tu proveedor. Si permite cambiar PHP desde el panel, confirma antes qué opción incluye el parche y si es compatible con tu web. No elijas otra versión a ciegas ni des por resuelto el problema por cambiar un selector.
- Verifica que la web utiliza la actualización. Pide confirmación al hosting y vuelve a consultar la información del servidor. Cuando un proveedor incorpora correcciones a su propio paquete, el número visible puede no cambiar como esperas: su aviso de seguridad es la referencia.
- Prueba las acciones que importan. Accede al área privada, envía un formulario y comprueba que llega el correo. En una tienda, revisa carrito, pedidos y pasarela en una copia de pruebas, con el modo de prueba del proveedor de pagos. Coordina con tu mantenedor cualquier comprobación en la tienda pública.
Si PHP es muy antiguo, el cambio puede requerir ajustes de compatibilidad. Conviene resolverlos con quien mantiene la web, sin aplazar indefinidamente una corrección crítica.
Un parche tampoco elimina una intrusión anterior. Si aparecen usuarios desconocidos, archivos extraños o actividad sin explicación, pide una revisión técnica y conserva los registros. Restaurar una copia sin investigar el acceso puede dejar abierto el mismo problema.
¿Y si mi hosting todavía no tiene la actualización?
Puedes enviar este mensaje al soporte, indicando el dominio en la consulta:
Hola. Por los dos fallos críticos anunciados por PHP el 20 de octubre, ¿podéis confirmarme qué versión utiliza mi web y si necesita una corrección? ¿Está ya aplicada? Si todavía no, ¿cuándo estará disponible y tengo que hacer algo desde el panel? Necesito saber cómo verificar que mi web usa la actualización.
CERT-EU recomienda valorar el aislamiento de las aplicaciones expuestas a Internet cuando no sea posible corregirlas de inmediato. Puede implicar restringir temporalmente el acceso; debe decidirlo el responsable técnico según la exposición y el funcionamiento del negocio.
No hay que dar la web por protegida por instalar un plugin o activar un firewall. Cualquier medida provisional debe estar validada para estos fallos y para la instalación concreta.
Qué versiones siguen teniendo soporte
A fecha de esta revisión, PHP 8.2 y 8.3 reciben correcciones de seguridad; PHP 8.4 y 8.5 mantienen soporte activo. PHP 5, 7, 8.0 y 8.1 están fuera del soporte oficial del proyecto. Algunos proveedores ofrecen mantenimiento adicional: pregunta si cubre estos fallos.
Esta información describe el soporte, no una lista de versiones afectadas o ya corregidas. Esa confirmación debe venir del aviso de seguridad.
Nota para quien administra el servidor
php -v muestra la versión de la consola, que puede ser distinta de la que atiende la web. Comprueba el paquete y el servicio o contenedor efectivos; reinicia o sustituye las instancias cuando lo indique el proveedor. Una distribución puede incorporar el parche sin adoptar la numeración de PHP original, como explica Red Hat sobre las correcciones de seguridad.
¿Prefieres que revisemos tu web?
En Broot podemos revisar la instalación de PHP, coordinar la actualización con tu alojamiento y comprobar que la web o tienda sigue funcionando. Primero vemos tu caso y te indicamos qué necesita y qué trabajo podemos asumir.
Preguntas frecuentes
¿Mi web corre peligro aunque funcione bien?
Que se vea correctamente no confirma que esté actualizada. Comprueba qué PHP utiliza y pide al hosting confirmación del estado del parche.
¿Basta con actualizar WordPress y los plugins?
No. Esas actualizaciones son necesarias, pero PHP se actualiza en el alojamiento o servidor.
¿Tengo que actualizar PHP personalmente?
Depende del alojamiento contratado. Algunos proveedores aplican los parches; otros requieren una solicitud, un cambio desde el panel o intervención técnica.
¿Una versión reciente de PHP significa estar protegido?
No necesariamente. Hay que confirmar que la instalación incorpora la corrección específica para estos fallos.
Fuentes oficiales
Estos avisos también circulan con el nombre informal PHP2Shell. CERT-EU recoge los identificadores CVE-2026-109618 y CVE-2026-109619; los detalles técnicos y los rangos afectados siguen pendientes en la revisión indicada arriba.