PHP publica una actualización de emergencia por dos vulnerabilidades críticas

Noticia del 21 de octubre de 2026. El proyecto PHP ha publicado una actualización de seguridad de emergencia que corrige dos vulnerabilidades críticas de ejecución remota de código. Están catalogadas como CVE-2026-109618 y CVE-2026-109619 y puntúan 9,2 sobre 10 en gravedad.

Si ya confías en nuestro hosting Linux, estás en buenas manos: aplicamos la actualización en menos de 12 horas desde que se publicó. Así lo hacemos.

Qué ha pasado

• Dos fallos críticos en PHP: pueden permitir que un atacante ejecute código en el servidor sin necesidad de identificarse.
• Afectan al propio PHP, no a tu web: una web con código impecable también puede quedar expuesta si el servidor usa una versión de PHP sin parchear.
• Ya hay intentos de explotación: se han detectado primeros ataques, aunque sin brechas confirmadas en el momento de la noticia.

Qué versiones corrigen el problema

Son las versiones con soporte oficial. Para las ramas antiguas el proyecto PHP no ha publicado una versión nueva: te lo explicamos en el apartado siguiente.

¿Y si uso una versión antigua de PHP?

• Siguen afectadas. Las versiones sin soporte oficial de PHP (la 8.1 y anteriores) tienen el mismo fallo y el proyecto PHP no publica versión nueva para ellas.
• Las distribuciones Linux con soporte han publicado paquetes corregidos, y una actualización normal del sistema los aplica.
• Las versiones muy antiguas de una distribución pueden recibir la corrección solo con soporte ampliado de pago.
• El paquete corregido conserva el número antiguo, así que el número de versión no dice si está parcheado. Comprueba con tu proveedor que ha aplicado la actualización.
• Un plus en nuestro hosting Linux: además de lo que incluye la distribución, mantenemos otras ramas de PHP y les aplicamos la misma corrección.
• Si no puedes actualizar ya, hay medidas temporales (desactivar la opción session.upload_progress, limitar la memoria y el tamaño de las subidas o restringir el acceso público), pero reducen el riesgo, no lo eliminan.
• La solución es migrar a una versión con soporte, algo que en webs muy antiguas conviene planificar y probar antes.

Qué significa para tu empresa

• Actualizar PHP es la única solución completa. Las medidas temporales reducen el riesgo, pero no cubren todas las variantes.
• WordPress, tiendas online y otras webs funcionan sobre PHP, así que dependen de que el servidor esté al día.
• Si tu hosting no lo gestiona un tercero, alguien tiene que aplicar la actualización cuanto antes.

Qué hacer ahora

1. Averigua qué versión de PHP usa tu web y quién se encarga de actualizarla.
2. Pide a tu proveedor que confirme que ya ha aplicado la versión corregida.
3. Si usas una versión antigua, planifica el salto a una versión con soporte.
4. Mantén copias de seguridad recientes antes de cualquier actualización.

Fuentes

Aviso de seguridad de PHP recogido por CERT-EU, Qualys y Sansec.

¿Quieres olvidarte de las actualizaciones?

En nuestro hosting Linux nos encargamos de mantener PHP y el sistema al día. Descubre cómo lo hacemos.

Cuéntanos tu caso.