Actualiza PHP: la solución necesaria para cerrar vulnerabilidades críticas

Recientemente, el proyecto PHP ha lanzado las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para abordar dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que permiten la ejecución remota de código no autenticado. Dado el alto riesgo de estas vulnerabilidades, se recomienda encarecidamente a todos los usuarios de PHP que actualicen sus sistemas de inmediato.

La ejecución remota de código implica que un atacante podría ejecutar su propio código en el servidor de la víctima sin necesidad de autenticación. Según el equipo de seguridad de PHP, ambas vulnerabilidades han recibido una puntuación de 9.2 en la escala CVSS v4.0, lo que las sitúa en la categoría crítica.

Es importante destacar que todas las instalaciones de WordPress operan sobre PHP, por lo que estas vulnerabilidades afectan directamente a las instalaciones de WordPress. Sin embargo, dado que son fallos en el propio PHP y no en WordPress, los mecanismos de actualización automática de WordPress no resolverán este problema. La actualización de PHP debe realizarse directamente en el servidor.

Consideraciones técnicas para entornos de producción

Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 pueden tener graves consecuencias en la estabilidad y seguridad de los sitios web. A continuación se detallan algunos aspectos técnicos relevantes:

• Estabilidad: La falta de actualización de PHP podría dejar los sitios expuestos a ataques, lo que podría afectar la disponibilidad y el rendimiento.
• Seguridad: La explotación de estas vulnerabilidades permitiría a un atacante ejecutar código malicioso, lo que podría comprometer la integridad del servidor y la información del sitio.
• Compatibilidad: Todas las instalaciones que utilicen PHP, incluida la mayoría de las configuraciones de WordPress, están en riesgo. Es fundamental mantener versiones actualizadas para asegurar la compatibilidad con plugins y themes.
• Mantenimiento: Los administradores de sistemas y desarrolladores deben planificar actualizaciones periódicas de PHP como parte de su estrategia de mantenimiento general para minimizar riesgos de seguridad.

Protocolos de implementación recomendados

Para gestionar estas actualizaciones de manera adecuada y reducir los riesgos asociados a las vulnerabilidades mencionadas, se recomienda seguir estos pasos:

• Verificar la versión de PHP: Acceder al panel de administración de WordPress, ir a Herramientas > Salud del sitio, abrir la pestaña Info y expandir la sección Servidor. Esto permitirá confirmar si se está utilizando una versión vulnerable.
• Consultar al proveedor de hosting: Si el proveedor se encarga de la gestión de PHP, es conveniente contactar con ellos para verificar que han actualizado a una de las versiones corregidas.
• Actualizar PHP si se gestiona el servidor propio: Hacer una copia de seguridad y luego instalar los paquetes actualizados desde la distribución de Linux o proveedor de LTS. La documentación de PHP ofrece descargas de código fuente y binarios para Windows.
• Comprobar repositorios externos: Para aquellos que utilizan el repositorio remirepo, es importante estar al tanto de cualquier actualización y, si es posible, considerar el uso de paquetes de distribución o la compilación desde código fuente para aplicar actualizaciones inmediatas.

¿Quién debería actuar y quién puede esperar?

Es prioritario que todos los administradores de sistemas que gestionen entornos en producción realicen las actualizaciones a la mayor brevedad posible. Se aconseja lo siguiente:

• Actuación urgente: Cualquier instalación en producción que utilice versiones de PHP vulnerables debe ser actualizada de inmediato.
• Actualización recomendable: Para entornos de prueba o desarrollo, aún es importante realizar la actualización, aunque se puede programar para un tiempo conveniente.
• Casos donde puede esperarse: Aquellos que utilicen versiones de PHP que no están activamente mantenidas (PHP 8.1 y anteriores) no podrán aplicar las actualizaciones oficiales; sin embargo, deben buscar soluciones alternativas o comunicarse con sus proveedores de soporte.

Sobre este contenido: WordPress Zaragoza utiliza automatización e inteligencia artificial para procesar novedades del ecosistema WordPress y convertirlas en análisis técnicos en español. Para cambios relevantes en producción, se recomienda contrastar siempre la información con la documentación oficial del proyecto, plugin o plataforma correspondiente.

Puedes consultar el artículo original aquí: https://www.wordfence.com/blog/2026/10/psa-php-security-updates-available-for-two-critical-vulnerabilities-update-now/