Actualiza PHP en tu WordPress: evita vulnerabilidades críticas y protege tu web

El 21 de octubre de 2026, el proyecto PHP lanzó actualizaciones de emergencia para dos vulnerabilidades críticas, con el potencial de permitir a un atacante no autenticado ejecutar código a través del servicio PHP que maneja el tráfico web. Estas vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación CVSS de 9.2 sobre 10. Es importante destacar que no se trata de vulnerabilidades en el núcleo de WordPress ni en sus plugins o temas, sino en PHP, el lenguaje de programación subyacente en el que WordPress opera. Por lo tanto, la actualización de WordPress no instalará automáticamente los parches necesarios.

Consideraciones técnicas para entornos de producción

La situación se torna crítica si el paquete PHP que sirve el sitio web se encuentra afectado. Ambas vulnerabilidades permiten la ejecución remota de código sin necesidad de autenticación, lo que significa que un atacante podría acceder a los mismos archivos, credenciales y datos que el propio sitio. Esto puede comprometer gravemente la seguridad del sitio, permitiendo leer credenciales de la base de datos, modificar archivos del sitio, robar información o incluso instalar puertas traseras persistentes.

Las versiones de PHP que contienen los parches son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Se recomienda que los administradores y propietarios de sitios web verifiquen que su proveedor de hosting ha aplicado estos parches. En la mayoría de los entornos de hosting compartido y gestionado, el proveedor controla el servicio PHP, por lo que es responsabilidad del administrador del sitio o el proveedor asegurarse de que se realicen las actualizaciones necesarias. Los operadores de servidores propios deben actualizar el paquete PHP o la imagen por su cuenta y luego reiniciar PHP para asegurar que todos los procesos en ejecución utilicen el nuevo código.

Protocolos de implementación recomendados

Las siguientes acciones son cruciales para mitigar riesgos:

  • Verificar la versión de PHP: En WordPress, se puede consultar la versión de PHP utilizada en Herramientas > Salud del sitio > Información > Servidor.
  • Clientes de hosting gestionado: Solicitar la confirmación del proveedor de hosting de que tanto CVE-2026-109618 como CVE-2026-109619 han sido corregidos y que PHP ha sido reiniciado.
  • Operadores autogestionados: Actualizar PHP, reiniciar servicios como Apache o PHP-FPM y reconstruir contenedores a partir de una imagen actualizada.
  • Agencias y proveedores de hosting: Revisar todos los sitios y entornos, incluidos entornos de staging y contenedores antiguos, no solo el sitio público principal.
  • Preservar copias de seguridad y registros: Es recomendable mantener copias de seguridad y registros de servidor, PHP, firewall y sistema que cubran al menos 48 horas antes de la actualización.

¿Quién debería actuar y quién puede esperar?

Si se utiliza una versión de PHP que no ha sido actualizada y no se tiene la confirmación del proveedor de que se aplicaron las correcciones, se recomienda actuar con urgencia. Los sitios que ejecutan versiones inferiores a PHP 8.2.35 deberán ser actualizados inmediatamente para evitar riesgos de explotación.

Conclusión

Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 son fallos críticos en PHP que pueden comprometer la seguridad de cualquier instalación de WordPress si el servicio PHP subyacente no recibe los parches necesarios. Se debe realizar la actualización del paquete PHP correspondiente o del paquete proporcionado por el proveedor que confirme la inclusión de las correcciones y reiniciar PHP.

Sobre este contenido: WordPress Zaragoza utiliza automatización e inteligencia artificial para procesar novedades del ecosistema WordPress y convertirlas en análisis técnicos en español. Para cambios relevantes en producción, se recomienda contrastar siempre la información con la documentación oficial del proyecto, plugin o plataforma correspondiente.

Puedes consultar el artículo original aquí: https://www.wordfence.com/blog/2026/10/critical-php-update-wordpress-vulnerabilities-testing/

Published On: 22 de octubre de 2026Categories: Wordfence