Índice
La vulnerabilidad de PHP anunciada el 21 de octubre de 2026 exige revisar la versión que utiliza tu web. El proyecto PHP ha publicado una actualización de seguridad para corregir dos fallos críticos: CVE-2026-109618 y CVE-2026-109619. En determinadas condiciones, permiten ejecutar código de forma remota sin iniciar sesión. Si tu empresa utiliza WordPress, una tienda online o una aplicación desarrollada en PHP, conviene comprobar el servidor y aplicar la corrección correspondiente.
En esta guía encontrarás las versiones de PHP afectadas, las actualizaciones disponibles y cómo abordar el cambio con pruebas de compatibilidad. También te explicamos cómo podemos ayudarte desde Multiconversion con nuestro servicio de mantenimiento de servidores y actualización de PHP.
Información verificada el 21 de octubre de 2026. Las versiones de esta página corresponden a las correcciones publicadas en esa fecha; comprueba si existe una actualización posterior antes de intervenir.
Qué ha pasado: dos vulnerabilidades críticas en PHP
Los avisos del equipo de PHP describen dos problemas en la gestión de memoria. Ambos tienen una puntuación de gravedad CVSS 4.0 de 9,2 sobre 10:
- CVE-2026-109618: un fallo al gestionar situaciones de memoria agotada puede dejar datos internos en un estado inconsistente y permitir la ejecución de código.
- CVE-2026-109619: ciertos datos internos pueden seguir referenciándose después de liberar su memoria y reutilizarse incorrectamente al procesar otra petición.
El aviso incluye instalaciones que atienden peticiones web mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP considera especialmente elevado el riesgo en mod_php, donde ha demostrado un ataque que puede producirse antes de que se ejecute el código de la aplicación. Consulta el aviso oficial de PHP.
Que una web cargue con normalidad no demuestra que esté protegida. Y tener una versión vulnerable no demuestra, por sí solo, que ya haya sufrido una intrusión: hay que distinguir la exposición de los indicios de compromiso.
Qué versiones de PHP están afectadas y a cuáles actualizar
Para las ramas con soporte oficial, estas son las versiones anteriores a la corrección y el primer parche publicado para cada una:
| Rama | Versiones afectadas | Primera versión corregida |
|---|---|---|
| PHP 8.2 | 8.2.0–8.2.34 | PHP 8.2.35 |
| PHP 8.3 | 8.3.0–8.3.35 | PHP 8.3.36 |
| PHP 8.4 | 8.4.0–8.4.26 | PHP 8.4.27 |
| PHP 8.5 | 8.5.0–8.5.11 | PHP 8.5.12 |
Los dos avisos técnicos recogen estos umbrales: CVE-2026-109618 y CVE-2026-109619. Si tu proveedor distribuye parches adaptados a paquetes anteriores, también llamados backports, solicita la referencia del paquete que corrige ambos CVE: el número de versión base puede no bastar para comprobarlo.
¿Y si tu web utiliza PHP 7.4, PHP 8.0 o PHP 8.1?
PHP 8.1 y las ramas anteriores ya no reciben mantenimiento ordinario del proyecto PHP. Para este incidente se han facilitado parches mínimos de código fuente para 7.4, 8.0 y 8.1; eso no restablece su soporte ni equivale a una actualización automática de tu alojamiento. Revisa la cobertura de tu proveedor y prepara la migración a una rama compatible con tu aplicación y con soporte vigente.
PHP 8.2 termina su soporte oficial de seguridad el 31 de diciembre de 2026. Instalar 8.2.35 resuelve estos fallos en esa rama, pero conviene planificar ya el siguiente salto. PHP 8.3, 8.4 y 8.5 tienen calendarios de soporte distintos. Puedes comprobarlos en la tabla oficial de versiones mantenidas.
Cómo comprobar si tu WordPress o tienda online está expuesto
Empieza por identificar la versión de PHP que atiende cada dominio. En WordPress puedes consultarla en Herramientas → Salud del sitio → Información → Servidor. Contrástala con la configuración del alojamiento y con la confirmación del proveedor sobre los parches instalados.
En servidores con Plesk o varios sitios, cada dominio o subdominio puede utilizar una versión diferente. La versión que aparece en la consola del servidor tampoco tiene por qué coincidir con la que ejecuta tu web. Incluye en la revisión las tiendas, las aplicaciones, los entornos de pruebas y las webs antiguas que siguen accesibles.
Actualizar WordPress, los plugins o el tema no actualiza necesariamente PHP. Son capas distintas. Un plugin de seguridad tampoco sustituye la corrección del motor PHP. Si gestionas la web desde un alojamiento compartido, solicita al proveedor la versión efectiva y la confirmación de que su paquete incorpora los dos parches.
Cómo actualizar PHP reduciendo el riesgo de incompatibilidades
Una actualización urgente necesita un procedimiento claro. Nuestro enfoque combina la corrección del fallo con la comprobación de las funciones que sostienen tu negocio:
- Inventario del entorno. Identificar dominios, versiones efectivas, extensiones de PHP, tareas programadas y dependencias de la aplicación.
- Copia recuperable. Guardar archivos, base de datos y configuración, y comprobar cómo restaurarlos antes de intervenir.
- Pruebas de compatibilidad. Revisar la actualización en una copia controlada, especialmente cuando hay plugins antiguos, integraciones propias o un cambio de rama.
- Instalación de la corrección. Actualizar los paquetes necesarios y reiniciar o reciclar los procesos que deben cargar la versión nueva.
- Validación funcional. Comprobar accesos, formularios, búsquedas, compras y pasarelas de pago, además de tareas automáticas e integraciones.
- Seguimiento posterior. Revisar registros, errores, tiempos de respuesta y consumo de recursos después del cambio.
Si tu aplicación ya es compatible con su rama actual, instalar primero el parche de esa misma rama permite abordar la urgencia y planificar por separado una migración mayor. Cuando aparecen indicios de intrusión, la revisión debe incluir el alcance del incidente: actualizar no elimina por sí solo archivos maliciosos ni revoca credenciales comprometidas.
¿Se puede solucionar solo cambiando la configuración?
El equipo de PHP advierte de que las medidas temporales no ofrecen una solución completa. Algunas reducen determinadas vías de ataque, pero la corrección requiere actualizar. No apliques ajustes de memoria, sesiones o límites de peticiones sin evaluar su efecto en la aplicación y en los recursos disponibles. Las medidas provisionales deben acompañar un plan de parcheo, con responsables y fecha.
Servicio de seguridad, actualización y mantenimiento de servidores PHP
En Multiconversion te ayudamos a revisar el entorno, corregir las versiones vulnerables y mantener la web operativa. Trabajamos desde Valencia con empresas que necesitan coordinar el alojamiento y su aplicación, tanto en WordPress y tiendas online como en desarrollos a medida. El alcance se define después de revisar tu servidor, sus accesos y sus dependencias.
Revisión de seguridad y actualización de PHP
Identificamos las versiones utilizadas por tus sitios, comprobamos los parches disponibles y preparamos la intervención. Revisamos la compatibilidad de la aplicación y dejamos constancia de la versión instalada y de las comprobaciones realizadas. Si el alojamiento lo administra un tercero, coordinamos con él las actuaciones necesarias.
Optimización del servidor según tu aplicación
Después del parcheo, podemos revisar PHP-FPM, OPcache, cachés, base de datos y consumo de CPU y memoria. Los ajustes se basan en la carga y las necesidades reales de la web. Medimos el comportamiento antes y después para comprobar si mejoran los tiempos de respuesta y la estabilidad; no existe una configuración universal para todos los servidores.
Mantenimiento preventivo y seguimiento
Podemos incorporar un plan de actualizaciones, revisión de avisos de seguridad, comprobación de copias, supervisión de disponibilidad y seguimiento de errores. Acordamos contigo la periodicidad, el alcance y las condiciones de atención. El objetivo es anticipar los cambios de versión y reducir la acumulación de componentes sin soporte.
Este trabajo se coordina con nuestros servicios de desarrollo y mantenimiento web y de desarrollo de software a medida, para revisar conjuntamente el servidor y la aplicación.
Preguntas frecuentes sobre la vulnerabilidad de PHP de 2026
¿La vulnerabilidad afecta solo a WordPress?
No. Los fallos están en PHP. WordPress es uno de los sistemas que lo utiliza, pero también debes revisar cualquier otra aplicación que dependa de una instalación afectada. La exposición concreta depende del entorno y de su configuración.
¿PHP 8.2.34 está actualizado frente a estos fallos?
La primera corrección oficial de la rama 8.2 es PHP 8.2.35. Una instalación 8.2.34 necesita actualizarse o disponer de un parche del proveedor que documente la corrección de ambos CVE. Lo mismo ocurre con 8.3.35, 8.4.26 y 8.5.11 en sus respectivas ramas.
¿Tengo que cambiar directamente a PHP 8.5?
No necesariamente. Puedes instalar la versión corregida de una rama que siga mantenida y planificar después la migración. La elección debe considerar la compatibilidad de la web, sus extensiones y el tiempo de soporte que queda.
¿Cuánto cuesta actualizar y mantener mi servidor?
Depende del número de webs, las versiones instaladas, el estado de la aplicación, las integraciones y el mantenimiento que necesites. Tras revisar el entorno, te proponemos un alcance y un presupuesto. Así puedes distinguir la actuación urgente del mantenimiento periódico y de las mejoras de rendimiento.
Revisa tu versión de PHP y prepara la actualización
Si no sabes qué versión utiliza tu web o necesitas ayuda para actualizarla, cuéntanos qué aplicación tienes, dónde está alojada y qué problema quieres resolver. En Multiconversion podemos ayudarte con la revisión de seguridad, la actualización de PHP y el mantenimiento de tu servidor. No envíes contraseñas por el formulario: acordaremos el acceso necesario durante la intervención.
