Desde MomentodeCrear queremos informar a nuestros clientes sobre la vulnerabilidad crítica en PHP y los riesgos de seguridad que puede suponer para las páginas web desarrolladas con WordPress. Esta incidencia pone de manifiesto la importancia de mantener actualizadas las versiones de PHP, aplicar los parches de seguridad correspondientes y realizar un mantenimiento web preventivo para proteger los sitios frente a posibles ataques informáticos.
Este tipo de incidencias requiere especial atención por parte de propietarios de páginas web, administradores de sistemas y proveedores de alojamiento, ya que una vulnerabilidad en el entorno de ejecución puede comprometer la seguridad de las aplicaciones que dependen de él.
El objetivo de esta publicación es explicar el alcance técnico de la incidencia, sus posibles consecuencias y las medidas recomendadas para reducir los riesgos.
¡Alerta de seguridad! ¿Está en peligro tu web o tienda online por una vulnerabilidad crítica en PHP?
PHP es el lenguaje que permite a WordPress generar páginas dinámicas, procesar formularios, gestionar sesiones y ejecutar operaciones en el servidor.
Las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619, descritas en los avisos de seguridad publicados el 21 de octubre de 2026, afectan al funcionamiento interno de PHP. En determinadas condiciones, su explotación podría permitir la ejecución remota de código (Remote Code Execution, RCE) o comprometer información accesible desde el proceso afectado.
La gravedad de este tipo de vulnerabilidad radica en que un atacante podría llegar a ejecutar instrucciones en el servidor sin disponer previamente de una cuenta de usuario legítima, siempre que se cumplan las condiciones necesarias para explotar el fallo.
Entre las posibles consecuencias se encuentran:
- Modificación de archivos: alteración de archivos legítimos o incorporación de código malicioso.
- Exposición de información: acceso potencial a datos disponibles para el proceso comprometido.
- Compromiso de WordPress: modificación de componentes, creación de accesos no autorizados o instalación de mecanismos de persistencia.
- Interrupción del servicio: errores de ejecución, degradación del rendimiento o indisponibilidad de la página web.
Estas consecuencias son escenarios potenciales de explotación y no implican que todas las instalaciones que utilizan versiones vulnerables hayan sufrido una intrusión.
¿Qué versiones de PHP están afectadas?
Las ramas de PHP afectadas disponen de revisiones específicas que incorporan las correcciones de seguridad indicadas en los avisos correspondientes.
| Rama de PHP | Revisión corregida indicada |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Es importante comprobar el número completo de versión, ya que utilizar PHP 8.3 o PHP 8.4 no garantiza por sí solo que se hayan instalado las correcciones necesarias.
Las ramas antiguas que ya no reciben soporte de seguridad requieren una estrategia de migración a una versión mantenida y compatible con la aplicación.
Para confirmar las versiones afectadas y las revisiones corregidas, debe consultarse la documentación oficial de PHP y los avisos técnicos de seguridad correspondientes.
¿Qué medidas se recomiendan?
Desde MomentodeCrear recomendamos abordar este tipo de incidencias mediante varias medidas complementarias.
1. Actualización del entorno PHP
La prioridad es verificar la versión que ejecuta realmente el servidor y actualizar a una revisión que incluya las correcciones de seguridad aplicables.
En el entorno de MomentodeCrear se ha realizado el cambio de PHP 8.3.33 a PHP 8.4.27, seguido de las comprobaciones necesarias para verificar el funcionamiento de la web.
2. Comprobación de compatibilidad
Tras actualizar PHP, es necesario comprobar el acceso al administrador de WordPress, la carga de las páginas, el funcionamiento de Elementor, los formularios y las principales funcionalidades de la instalación.
También conviene revisar los registros de errores para detectar posibles incompatibilidades introducidas por el cambio de versión.
3. Actualización de WordPress, temas y plugins
El mantenimiento de seguridad debe incluir el núcleo de WordPress, los temas y los plugins instalados. Asimismo, se recomienda eliminar los componentes que no se utilicen y evitar extensiones procedentes de fuentes no fiables.
Una instalación actualizada reduce la exposición a vulnerabilidades conocidas, aunque no garantiza por sí sola la ausencia de otros riesgos.
4. Copias de seguridad verificadas
Disponer de copias de seguridad recientes y restaurables es fundamental para recuperar una web ante determinados incidentes.
Se recomienda mantener respaldos independientes del entorno de producción y comprobar periódicamente que pueden restaurarse correctamente.
5. Revisión de posibles accesos no autorizados
Cuando una web ha estado expuesta a una versión vulnerable, es importante valorar si existen indicios de explotación.
Una revisión técnica puede incluir el análisis de registros del servidor, modificaciones recientes de archivos, cuentas administrativas, tareas programadas y otros indicadores de compromiso.
La actualización de PHP corrige las vulnerabilidades correspondientes, pero no elimina automáticamente archivos maliciosos o accesos que pudieran haberse creado durante un ataque anterior.
¿Actualizar PHP garantiza que una web esté protegida?
No. La actualización es una medida esencial, pero la seguridad de una página web depende de varios factores: la configuración del alojamiento, los permisos de archivos, el estado de WordPress, las extensiones instaladas y la existencia de posibles mecanismos de persistencia.
Por este motivo, cuando existen indicios de intrusión, se recomienda realizar una auditoría de seguridad y no limitarse a instalar el parche.
También es importante diferenciar entre una instalación potencialmente vulnerable y una web cuyo compromiso haya sido confirmado. La presencia de una versión afectada no demuestra, por sí sola, que se haya producido un ataque.
Recomendaciones para propietarios de páginas web
Desde MomentodeCrear recomendamos a los propietarios de páginas web que soliciten a su proveedor de alojamiento la confirmación de la versión de PHP ejecutada y de las medidas aplicadas para corregir las vulnerabilidades identificadas.
En instalaciones WordPress, estas comprobaciones deben integrarse en una estrategia de mantenimiento que contemple actualizaciones periódicas, copias de seguridad, control de accesos y supervisión técnica.
La prevención y la respuesta temprana son fundamentales para reducir la probabilidad de incidentes y limitar sus posibles consecuencias.
Desde MomentodeCrear, la seguridad, la estabilidad y el mantenimiento técnico forman parte de una gestión web responsable. Mantener los sistemas actualizados y revisar periódicamente su estado es una medida fundamental para proteger la continuidad de los negocios digitales.
Fuentes de consulta recomendadas: documentación oficial de PHP, avisos de seguridad del proyecto PHP y publicaciones técnicas de organismos especializados en ciberseguridad.