Vulnerabilidades críticas en PHP: qué comprobar hoy si tienes una web o tienda online

Tu web puede seguir funcionando y necesitar una actualización urgente. El 21 de octubre de 2026, PHP publicó parches para dos fallos críticos que pueden permitir ejecutar código en servidores vulnerables sin iniciar sesión. El aviso oficial de PHP pide actualizar de inmediato.

Si tu negocio depende de una web o una tienda online, la primera tarea es concreta: confirmar con quien gestiona el alojamiento que el PHP que la ejecuta ya está corregido. Tener el gestor de contenidos actualizado, por sí solo, no responde a esa pregunta.

Qué ha pasado con PHP

Los fallos se identifican como CVE-2026-109618 y CVE-2026-109619. Afectan a cómo PHP gestiona la memoria y el estado interno entre peticiones. En determinadas condiciones, pueden permitir que un atacante ejecute sus propias instrucciones en el servidor sin disponer de una cuenta. Los detalles están en los avisos del proyecto sobre corrupción de memoria y estado interno persistente.

Ambos tienen una gravedad oficial de 9,2 sobre 10 en la escala CVSS 4.0. Esa puntuación expresa la severidad del fallo; no es una probabilidad de que una web concreta haya sido atacada. La PHP Foundation anunció esa valoración en X.

El equipo de PHP incluye en el aviso las instalaciones que atienden peticiones web, como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Destaca el riesgo de mod_php, donde se ha demostrado un ataque que se activa antes de ejecutar el código de la aplicación. Alcance del aviso oficial.

Qué significa para WordPress y PrestaShop

PHP es una de las tecnologías que ejecutan estos gestores en el servidor. WordPress explica que la versión disponible depende del alojamiento; PrestaShop también incluye PHP entre sus requisitos de funcionamiento. Guía de WordPress y documentación de PrestaShop.

Esto deja dos trabajos distintos: mantener al día la aplicación y mantener al día el entorno que la ejecuta. Actualizar WordPress, un tema o un módulo de PrestaShop no confirma que se haya actualizado PHP.

En un alojamiento gestionado, pide al proveedor que compruebe la instalación de tu dominio. Si trabajas con un servidor propio, esa revisión corresponde a quien lo administra. Cuando intervienen hosting, agencia y equipo interno, conviene acordar quién aplica el parche y quién verifica después la web.

Qué versiones incluyen las correcciones

Los avisos técnicos del proyecto recogen estas versiones corregidas, publicadas el 21 de octubre de 2026:

Algunas distribuciones y proveedores incorporan las correcciones a sus propios paquetes sin adoptar exactamente esa numeración. Pide el aviso de seguridad o la referencia del paquete que confirma la corrección de ambas CVE. Instrucciones de actualización de PHP.

PHP 8.1 y anteriores ya están fuera del soporte ordinario del proyecto. Para esta emergencia se han facilitado parches de código para 7.4, 8.0 y 8.1, además de las posibles correcciones de proveedores con soporte prolongado. Su existencia no significa que tu alojamiento los haya instalado. Información para versiones antiguas.

Si tu tienda depende de una versión antigua, coordina la solución con su responsable técnico. Cambiar de rama puede requerir adaptar el gestor, los módulos o el tema. La guía de WordPress para actualizar PHP también insiste en revisar la compatibilidad y disponer de copias antes del cambio.

Qué pedir al hosting para comprobarlo

Puedes enviar este mensaje al soporte de tu alojamiento o a quien administre el servidor:

Necesito confirmar la corrección de CVE-2026-109618 y CVE-2026-109619 en el PHP que atiende mi dominio. ¿Qué versión y paquete están activos? ¿Incluyen ambos parches? ¿Habéis reiniciado o sustituido los procesos necesarios para que la corrección esté en uso? Si queda algo pendiente, indicad qué medida temporal habéis aplicado y cuándo estará resuelto.

Para cerrar la revisión, proponemos guardar una confirmación que identifique el dominio, el paquete aplicado y la fecha. Si tienes varios dominios o entornos, comprueba cada uno: una respuesta sobre el servidor principal puede dejar fuera una tienda antigua o una instalación de pruebas accesible desde internet.

Después del cambio, prueba las funciones que sostienen el negocio: acceso al panel, formularios y, en una tienda, carrito y compra de prueba. Esa comprobación funcional complementa la confirmación técnica del parche. Que la portada cargue bien solo verifica una parte del servicio.

Qué sabemos de los ataques y las protecciones

Dane Knecht comunicó en X que Cloudflare estaba viendo los primeros ataques y desplegando reglas de protección. La compañía también ha descrito tráfico malicioso que intentaba aprovechar estos fallos.

Un cortafuegos de aplicaciones web puede filtrar intentos conocidos mientras se actualiza. El aviso técnico de PHP precisa que las mitigaciones propuestas bloquean determinadas vías, pero no cubren todas las variantes. El parche sigue siendo necesario. Limitaciones de las mitigaciones.

Si no es posible corregir una instalación expuesta de inmediato, CERT-EU recomienda considerar su aislamiento temporal de las redes públicas. Esa decisión debe coordinarse con quien opera el servicio. Recomendaciones de CERT-EU.

Una responsabilidad concreta dentro del mantenimiento

Para Nexir, este caso muestra por qué un servicio de mantenimiento necesita un alcance claro. El negocio debe saber quién sigue los avisos de seguridad, quién puede actualizar el servidor y quién comprueba que la web continúa funcionando después.

La pregunta útil para cerrar esta incidencia es: qué PHP está atendiendo mi web y qué evidencia tengo de que incorpora las dos correcciones. Conviene conservar esa respuesta junto al resto del mantenimiento.

Si necesitas revisar la compatibilidad de una tienda antes de cambiar su entorno, podemos ayudarte a planificar las actualizaciones de PrestaShop.

---

Información revisada el 21 de octubre de 2026. Las versiones de la tabla corresponden a las correcciones publicadas ese día; consulta los avisos enlazados y los de tu proveedor para conocer cambios posteriores.