Vulnerabilidad crítica en PHP: por qué mantener tu web actualizada es más importante que nunca

Dos vulnerabilidades críticas detectadas en PHP, con un nivel de riesgo de 9,2 sobre 10, han puesto en alerta al sector de la ciberseguridad. Te explicamos qué ha ocurrido, qué versiones están afectadas y por qué mantener tu web actualizada es fundamental para proteger tu negocio.

¿Qué ha ocurrido con PHP?

El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó varias actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas identificadas como:

• CVE-2026-109618: relacionada con un fallo en la gestión de memoria cuando se producen determinadas condiciones de falta de memoria.
• CVE-2026-109619: relacionada con el uso de información interna cuya memoria ya había sido liberada.

Estos fallos, conocidos conjuntamente como PHP2Shell, pueden permitir la ejecución remota de código (RCE) sin autenticación previa en determinados entornos vulnerables.

Esto significa que un atacante podría llegar a ejecutar instrucciones en el servidor donde se aloja una página web, sin necesidad de conocer sus credenciales de acceso.

Las consecuencias pueden ser graves: acceso a información sensible, modificación de archivos, instalación de software malicioso o compromiso de otros recursos accesibles desde el servidor.

Ambas vulnerabilidades tienen una puntuación CVSS 4.0 de 9,2 sobre 10, lo que las sitúa en la categoría de riesgo crítico.

¿Por qué tiene tanta importancia esta vulnerabilidad?

PHP es uno de los lenguajes de programación más utilizados en Internet.

Según datos de W3Techs, se utiliza en aproximadamente 7 de cada 10 sitios web cuyo lenguaje de programación del lado del servidor es conocido.

Plataformas tan extendidas como WordPress y PrestaShop funcionan con PHP, por lo que una vulnerabilidad en este lenguaje puede tener un impacto importante en un gran número de páginas web y tiendas online.

A diferencia de una vulnerabilidad que afecta únicamente a un plugin o a una aplicación concreta, en este caso el problema se encuentra en el propio lenguaje de programación que utiliza el servidor.

Por eso, incluso una página web correctamente desarrollada y con sus componentes actualizados podía encontrarse expuesta si el servidor utilizaba una versión de PHP afectada.

El riesgo no está únicamente en la página web, sino también en la tecnología sobre la que funciona.

¿Qué versiones de PHP están afectadas?

En el momento en que se dieron a conocer estas vulnerabilidades, las versiones de PHP todavía no corregidas estaban expuestas al problema.

El 21 de octubre, el equipo oficial de PHP publicó las actualizaciones de seguridad necesarias para las ramas que siguen recibiendo mantenimiento.

Las versiones corregidas son:

Esto significa que, por ejemplo, utilizar PHP 8.2 no es suficiente por sí solo: es necesario disponer de la versión 8.2.35 o de una posterior que incorpore las correcciones.

El verdadero riesgo: seguir utilizando versiones de PHP sin soporte

Una de las situaciones más preocupantes es la de aquellas páginas web que siguen funcionando con versiones antiguas de PHP que ya no reciben mantenimiento oficial.

¿Qué significa que una versión ya no tiene soporte?

Que ha llegado al final de su ciclo de vida y el equipo oficial de PHP deja de publicar actualizaciones de seguridad para ella.

Por tanto, cuando se descubre una nueva vulnerabilidad, las instalaciones que utilizan estas versiones no disponen de una actualización oficial ordinaria para corregirla.

En algunos casos, determinados proveedores de servidores o servicios de mantenimiento extendido pueden desarrollar y distribuir parches específicos.

Por ejemplo, Plesk ha publicado correcciones para sus paquetes de PHP 7.4, 8.0 y 8.1 en determinados entornos Linux, a pesar de que estas versiones ya no cuentan con soporte oficial.

Sin embargo, estos parches son específicos del proveedor y no pueden aplicarse automáticamente a cualquier servidor o sistema operativo.

Por eso, la recomendación es utilizar una versión de PHP que siga recibiendo soporte oficial y esté actualizada con los últimos parches de seguridad.

Aunque PHP 8.2 dispone de una actualización que corrige estas vulnerabilidades, su soporte oficial de seguridad finalizará el 31 de diciembre de 2026. Por tanto, también es recomendable planificar la migración a una rama más reciente.

Mantener una web sobre tecnologías obsoletas no solo supone un riesgo de seguridad: también puede dificultar su evolución y mantenimiento.

¿Cómo se soluciona esta vulnerabilidad?

La solución principal consiste en actualizar PHP en el servidor a una versión que incorpore las correcciones de seguridad publicadas.

Pero existe una cuestión importante que muchos propietarios de páginas web desconocen:

Para poder actualizar PHP, la propia web debe estar preparada para funcionar correctamente con la nueva versión.

Una página web desarrollada hace años puede utilizar plugins, plantillas o funcionalidades que no sean compatibles con las versiones más recientes de PHP.

Por eso, mantener una web actualizada no consiste únicamente en instalar la última versión disponible del lenguaje.

También implica mantener al día el gestor de contenidos, los plugins, las plantillas y los desarrollos a medida, de forma que todos sus componentes sigan siendo compatibles con las tecnologías actuales.

¿Qué ocurre cuando una web lleva años sin actualizarse?

Cuando una página web acumula años sin mantenimiento, actualizar PHP puede convertirse en una tarea más compleja.

Es posible que algunos plugins hayan dejado de tener soporte, que la plantilla no sea compatible con las nuevas versiones o que determinadas funcionalidades necesiten modificaciones para seguir funcionando.

En estos casos, cambiar directamente la versión de PHP puede provocar errores, incompatibilidades o incluso que la página deje de funcionar correctamente.

Por eso, antes de realizar una actualización importante, es recomendable:

1. Comprobar la versión actual de PHP y las versiones disponibles en el servidor.
2. Revisar el estado del gestor de contenidos, los plugins, las plantillas y los desarrollos personalizados.
3. Verificar la compatibilidad de todos los componentes con la nueva versión.
4. Realizar una copia de seguridad y, cuando sea necesario, probar los cambios en un entorno de pruebas.
5. Aplicar las actualizaciones y comprobar que la página web sigue funcionando correctamente.

Una web que se mantiene actualizada de forma habitual está mucho mejor preparada para incorporar nuevas versiones y responder ante posibles vulnerabilidades.

¿Quién es responsable de mantener PHP actualizado?

La responsabilidad depende tanto del servicio de alojamiento contratado como de quién se encargue del mantenimiento de la página web.

Aquí es importante diferenciar dos cuestiones: mantener actualizado el servidor y mantener actualizada la propia web.

Si tienes un hosting compartido

Habitualmente, el proveedor de hosting es quien se encarga de mantener actualizada la infraestructura del servidor y poner a disposición de sus clientes las versiones más recientes de PHP.

Sin embargo, esto no significa necesariamente que todas las páginas web alojadas utilicen automáticamente la última versión disponible.

En muchos casos, cada cliente puede seleccionar la versión de PHP que utiliza su web desde el panel de administración del hosting.

Por eso, aunque el proveedor haya actualizado el servidor, una página puede continuar funcionando con una versión antigua si no se ha realizado el cambio correspondiente.

Además, el propietario de la web o la empresa responsable de su mantenimiento debe asegurarse de que la página esté preparada para funcionar con esas versiones más recientes.

Si tienes un servidor dedicado o VPS

En estos casos, la responsabilidad de instalar y mantener PHP dependerá de quién administre el servidor.

Si se trata de un servicio gestionado, el proveedor o el equipo técnico contratado será responsable de realizar las actualizaciones según las condiciones del servicio.

Si el servidor no incluye administración, las actualizaciones dependerán del propietario o del profesional encargado de su gestión.

En cualquier caso, es importante saber quién se ocupa de supervisar la infraestructura, aplicar parches de seguridad y garantizar que las tecnologías utilizadas siguen teniendo soporte.

Dos responsabilidades que deben ir de la mano

Para mantener una web segura y preparada para evolucionar, es necesario trabajar en dos niveles:

• Actualización del servidor: disponer de versiones de PHP corregidas, mantenidas y configuradas adecuadamente.
• Actualización de la web: mantener al día WordPress, PrestaShop, plugins, plantillas y desarrollos personalizados para garantizar su compatibilidad.

Ambas tareas son complementarias.

De poco sirve que un proveedor de hosting ofrezca las últimas versiones de PHP si la página web lleva años sin actualizarse y no puede funcionar correctamente con ellas.

¿Qué ocurre si tu servidor utiliza Plesk?

Plesk es un panel de administración de servidores que permite gestionar alojamientos web, dominios, bases de datos y diferentes versiones de PHP.

Tras la publicación de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, Plesk también distribuyó actualizaciones específicas para sus entornos.

Además de incorporar las nuevas versiones oficiales de PHP, publicó parches para determinadas versiones antiguas, como PHP 7.4, 8.0 y 8.1, en sus paquetes para Linux.

Esto permite corregir estas vulnerabilidades concretas en determinados servidores que todavía utilizan esas versiones obsoletas.

Sin embargo, hay una diferencia importante:

Que una versión antigua reciba un parche puntual no significa que vuelva a tener soporte oficial ni que esté protegida frente a cualquier otra vulnerabilidad.

Además, las soluciones de Plesk no son necesariamente aplicables a servidores con otros paneles, sistemas operativos o distribuciones de PHP.

En las versiones antiguas corregidas por Plesk, incluso puede mantenerse el mismo número de versión, por lo que es necesario comprobar también la fecha de compilación del paquete instalado.

Por tanto, aunque estos parches pueden ofrecer una solución ante una vulnerabilidad concreta, la mejor estrategia a largo plazo sigue siendo mantener los sistemas en versiones actualizadas y con soporte.

¿Cómo saber si tu web está protegida?

Si tienes una página web o una tienda online, hay algunas preguntas que deberías poder responder:

• ¿Qué versión de PHP utiliza actualmente tu web?
• ¿Esa versión sigue recibiendo soporte y actualizaciones de seguridad?
• ¿Se han aplicado las correcciones publicadas para las vulnerabilidades recientes?
• ¿Tu web es compatible con las versiones más actuales de PHP?
• ¿Quién se encarga del mantenimiento de tu página?
• ¿Quién es responsable de actualizar la infraestructura del servidor?

Si desconoces las respuestas, es recomendable consultar con tu proveedor de hosting o con la empresa encargada del mantenimiento de tu web.

También conviene tener en cuenta que ver un número de versión concreto no siempre permite confirmar si el servidor está protegido, ya que algunos proveedores incorporan correcciones de seguridad en paquetes que mantienen su numeración original.

Lo importante es verificar que el entorno tiene instaladas las correcciones correspondientes y que existe un mantenimiento adecuado.

El mantenimiento web no debería empezar cuando aparece una vulnerabilidad

Uno de los errores más habituales es pensar que, una vez publicada, una página web puede funcionar durante años sin necesidad de revisiones.

Pero las tecnologías evolucionan continuamente. Aparecen nuevas versiones, se corrigen fallos de seguridad y cambian los requisitos de compatibilidad.

Cuando una web no recibe mantenimiento, las actualizaciones pendientes se acumulan y cada vez resulta más complicado adaptarla a las nuevas versiones.

Lo que podría haberse resuelto con pequeñas intervenciones periódicas puede terminar convirtiéndose en una actualización compleja que requiere revisar buena parte de sus componentes.

Por eso, el mantenimiento web no debería limitarse a solucionar incidencias cuando algo deja de funcionar.

También debe servir para prevenir problemas, reducir riesgos y facilitar que la página web siga evolucionando con el negocio.

En Workanda ya hemos actuado

Tras la publicación de estas vulnerabilidades críticas, nuestro equipo técnico ha aplicado las actualizaciones y medidas de seguridad correspondientes en los servidores que gestionamos, incluyendo soluciones específicas para determinados entornos con versiones antiguas de PHP.

Esta respuesta forma parte de nuestro compromiso con el mantenimiento y la seguridad de las infraestructuras digitales de nuestros clientes.

En Workanda apostamos por las actualizaciones automáticas siempre que es posible, para que las páginas web se mantengan al día sin necesidad de intervenir manualmente en cada actualización.

Y cuando una web incorpora desarrollos a medida o funcionalidades que pueden presentar incompatibilidades, evaluamos previamente los posibles riesgos y avisamos antes de realizar cambios que puedan afectar a su funcionamiento.

Porque sabemos que una página web no termina cuando se publica.

Necesita mantenerse actualizada, ser compatible con las tecnologías actuales y contar con profesionales que supervisen su correcto funcionamiento.

La prevención y el mantenimiento continuo ayudan a reducir la exposición a vulnerabilidades y evitan que pequeñas actualizaciones pendientes terminen convirtiéndose en problemas importantes.

La mejor incidencia es la que conseguimos evitar

¿Sabes si tu web está realmente actualizada?

Si no sabes qué versión de PHP utiliza tu página web, cuándo se actualizó por última vez o quién se encarga de su mantenimiento, es un buen momento para revisarlo.

En Workanda podemos ayudarte a evaluar el estado de tu web, comprobar sus necesidades de actualización y mantenerla preparada para seguir evolucionando.

Tu web es una herramienta de negocio. Mantenerla actualizada es una inversión en su seguridad, estabilidad y futuro.

Contacta con Workanda y descubre cómo podemos ayudarte con el mantenimiento de tu página web.