Dos vulnerabilidades críticas en PHP: ¿cómo proteger tu sitio web?

Los avisos de seguridad de PHP identifican CVE-2026-109618, relacionada con la gestión de una falta de memoria, y CVE-2026-109619, relacionada con un estado interno que se conserva entre peticiones. Ambas están clasificadas como críticas, con una puntuación CVSS v4 de 9,2 sobre 10. Una explotación exitosa puede permitir ejecutar código en un servidor vulnerable sin autenticación.

El riesgo afecta a las instalaciones de PHP que procesan peticiones web, entre ellas PHP-FPM, Apache con mod_php, CGI, FrankenPHP y LiteSpeed. Las condiciones de explotación varían según el entorno. El CERT-FR informó el 22 de octubre de la existencia de pruebas de concepto para determinados despliegues; esto no permite cuantificar los sitios realmente comprometidos.

A 23 de octubre de 2026, W3Techs estima que PHP se utiliza en el 69,3 % de los sitios cuyo lenguaje del lado del servidor es conocido. Ese alcance importa: no se refiere a todos los sitios de la Web ni a un inventario de las instalaciones que siguen siendo vulnerables.

Para tu empresa, la pregunta útil es, por tanto, la que se refiere a su propia instalación. Un logotipo de WordPress, una página que responde con normalidad o una versión mostrada por una herramienta pública no bastan para confirmar que se han aplicado los dos parches.

El proyecto PHP publicó las siguientes versiones el 21 de octubre de 2026. Si tu instalación utiliza una distribución directa de PHP, comprueba la rama utilizada y adopta una versión corregida de esa rama o una versión posterior compatible con tu aplicación.

Las distribuciones Linux pueden adaptar un parche a una versión anterior sin adoptar esa numeración. Por ejemplo, Ubuntu ha corregido ambas CVE en el paquete 8.3.6-0ubuntu0.24.04.13 para Ubuntu 24.04. Solicita el número completo del paquete y el boletín correspondiente del proveedor antes de sacar conclusiones a partir del número de versión de PHP por sí solo.

PHP 8.1 y las ramas anteriores ya no cuentan con el soporte general del proyecto PHP. Existen parches específicos adaptados a esas versiones, pero no restablecen dicho soporte: comprueba la cobertura de tu proveedor y prepara una migración compatible. El soporte de PHP 8.2 finaliza el 31 de diciembre de 2026.

Empieza por identificar a la persona que puede modificar el entorno PHP. En un alojamiento compartido, esta intervención suele corresponder al proveedor. En un servidor administrado por tu empresa, debe organizarse con tu responsable técnico o proveedor de administración de sistemas. Quien modifica tus páginas no necesariamente tiene acceso al servidor.

WordPress, sus plugins, su tema y PHP son componentes distintos. Que el panel de WordPress esté actualizado no confirma que el entorno PHP haya recibido su parche. Es necesario mantener ambos niveles y verificar la compatibilidad antes de cambiar de rama de PHP.

PHP indica que ninguna medida de mitigación ofrece una protección completa que sustituya a la actualización. El CERT-FR describe medidas provisionales que no ha validado: algunas solo reducen una parte de la superficie de ataque y pueden alterar funciones del sitio. Un cortafuegos de aplicaciones web puede contribuir a una protección temporal, sin sustituir el parche.

Si no es posible corregir el problema de inmediato, determina con el responsable del alojamiento las restricciones o el aislamiento temporal necesarios. Si hay indicios de intrusión, una actualización por sí sola no demuestra que el servidor esté limpio: conserva los registros disponibles y solicita una investigación del incidente.

Un mantenimiento útil deja un registro comprensible: los componentes incluidos, sus responsables, las operaciones realizadas y las comprobaciones efectuadas. También prevé la sustitución de las versiones cuyo soporte está a punto de finalizar. Sin este marco, una alerta puede poner de manifiesto un sitio cuyo alojamiento ya nadie sabe actualizar.

Solicita un alcance por escrito: PHP y sistema, CMS y plugins, código específico, copias de seguridad, pruebas de restauración y supervisión. Aclara quién recibe las alertas y quién autoriza una intervención urgente. El resultado esperado es un procedimiento utilizable y documentado; ningún servicio puede prometer la ausencia de toda vulnerabilidad.

¿No sabes qué versión utiliza tu sitio, quién administra PHP o qué actualizaciones priorizar? La auditoría técnica de Oryon permite evaluar la situación dentro del alcance acordado, clasificar los riesgos y proponer medidas. La auditoría y la ejecución de las correcciones son servicios cuyo alcance debe definirse por separado.

Para el seguimiento de servidores Linux, nuestro servicio de administración de sistemas combina inventario, actualizaciones, supervisión y copias de seguridad con restauración probada. Para un sitio WordPress, nuestro acompañamiento incluye, entre otros aspectos, la recuperación de proyectos, la mejora de la seguridad y el mantenimiento, con preparación de las intervenciones y comprobaciones conforme al presupuesto. Determinamos contigo qué corresponde al proveedor de alojamiento, al sitio y al código específico.

Para preparar la conversación, indica la dirección del sitio, tu proveedor de alojamiento, el CMS utilizado si lo conoces y la respuesta que ya hayas recibido sobre estas dos CVE. No envíes ninguna contraseña mediante el formulario de contacto. Así podremos definir las comprobaciones y la intervención adecuadas a tu situación.