PHP publicó actualizaciones para corregir dos vulnerabilidades críticas que podrían permitir ejecutar código sin autenticación. Qué versiones revisar y cómo proteger un sitio web sin afectar su funcionamiento.
Una página web puede cargar correctamente, recibir consultas y funcionar con normalidad, pero utilizar una versión vulnerable de PHP. El 21 de octubre de 2026, el equipo responsable de este lenguaje de programación publicó actualizaciones urgentes para corregir dos fallas críticas que afectan a los servidores que ejecutan aplicaciones PHP. La advertencia es relevante para sitios institucionales, tiendas online, plataformas de gestión y otros servicios web.
Qué ocurrió y por qué es importante
Las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619 recibieron una calificación de 9,2 sobre 10 en CVSS v4.0. Ambas pueden permitir, en determinadas condiciones, la ejecución remota de código sin autenticación: un atacante podría ejecutar instrucciones en un servidor vulnerable sin disponer previamente de una cuenta de usuario.
Los problemas se encuentran en el funcionamiento interno de PHP, relacionados con la administración de memoria y el estado de las solicitudes. Por eso, un sitio no necesita tener un error evidente en su código para depender de un entorno que requiera estas correcciones. El proyecto PHP señaló que las instalaciones que atienden solicitudes web deben revisar sus versiones, incluidas las que funcionan con PHP-FPM, Apache, LiteSpeed y otras modalidades de ejecución.
Qué versiones de PHP incorporan las correcciones
El 21 de octubre se publicaron PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 y PHP 8.5.12. Estas versiones incorporan los parches para las dos vulnerabilidades mencionadas. Quienes tengan una versión anterior dentro de esas ramas deben verificar la actualización correspondiente. En sistemas mantenidos por proveedores de Linux también pueden existir parches retroportados, por lo que corresponde confirmar el estado real con el administrador o el servicio de hosting.
Las ramas PHP 8.1 y anteriores ya no reciben mantenimiento regular del proyecto PHP. Además, el soporte de seguridad de PHP 8.2 finalizará el 31 de diciembre de 2026. Por ese motivo, no alcanza con aplicar un parche puntual: también conviene planificar una migración a una rama que mantenga soporte.
Que una página web funcione normalmente no demuestra que su servidor esté actualizado. Del mismo modo, la existencia de una vulnerabilidad no significa que todos los sitios hayan sido atacados.
Cómo revisar el sitio y actualizar sin generar problemas
Primero, identificá la versión de PHP utilizada por el sitio. En muchos hostings compartidos aparece en el panel de control, en secciones como selector de PHP o MultiPHP Manager. Si la versión no es visible, pedí al proveedor que confirme la versión efectiva y los parches de seguridad aplicados. Evitá publicar archivos de diagnóstico que expongan configuraciones internas del servidor.
Antes de actualizar, realizá una copia de seguridad completa. El respaldo debe incluir los archivos del sitio y, cuando corresponda, las bases de datos. Verificá que el archivo generado sea legible y que exista una forma documentada de restaurarlo. La copia no reemplaza la actualización: permite recuperar el servicio si aparece una incompatibilidad.
Después, comprobá la compatibilidad y probá las funciones críticas. Una actualización de versión puede afectar código antiguo, extensiones o integraciones. Conviene revisar los formularios de contacto, el inicio de sesión, los paneles administrativos, los pagos, los correos automáticos y cualquier herramienta que intercambie información con otros sistemas. En proyectos complejos, lo más prudente es probar primero en un entorno de ensayo.
El aviso adicional del 23 de octubre
El 23 de octubre, PHP informó además sobre CVE-2026-115560, un posible vector adicional de ejecución remota de código que requiere una combinación poco habitual de configuración y tratamiento de sesiones. Es una advertencia diferente de las dos vulnerabilidades corregidas el 21 de octubre. Según PHP, el escenario exige un cambio específico del controlador de serialización de sesiones durante la ejecución de la aplicación, por lo que no afecta de la misma forma a las configuraciones habituales.
Como medida temporal para los entornos afectados, el equipo PHP recomendó desactivar session.upload_progress.enabled y reiniciar los procesos del servicio hasta que se publique la corrección prevista en el ciclo regular. Este ajuste corresponde al administrador del servidor y debe evaluarse según las funciones que utiliza cada aplicación; no sustituye la instalación de las versiones corregidas del 21 de octubre.
Qué significa para comercios y empresas
Para un comercio que utiliza su página para recibir consultas, ventas o presupuestos, y para una empresa que depende de un sistema administrativo, el mantenimiento del entorno web forma parte de la continuidad del negocio. Un proveedor puede administrar el hosting, pero el propietario del sitio también necesita saber quién verifica las actualizaciones, quién conserva los respaldos y qué procedimiento se sigue antes de modificar una versión.
La recomendación es actuar con criterio técnico y sin alarmismo. Revisar la versión, aplicar los parches necesarios, mantener respaldos verificables y comprobar la funcionalidad del sitio reduce riesgos concretos. Desde CompuBahía promovemos el mantenimiento preventivo y la información verificable como parte de una infraestructura digital más segura.