Actualiza PHP: la solución que protegerá tu sistema ante vulnerabilidades.
El equipo de seguridad de PHP ha anunciado un próximo lanzamiento de seguridad crítico, programado para el miércoles 21 de octubre de 2026 a las 14:00 UTC (10:00 AM hora del Este). Este lanzamiento abordará dos vulnerabilidades críticas, ambas evaluadas con un 9.2 en la escala CVSS v4.0.
Dado que PHP es el lenguaje de programación sobre el que se construye WordPress, cada sitio de WordPress opera en un servidor con PHP instalado, lo que significa que esta actualización es relevante para todos los propietarios de sitios WordPress, independientemente de los plugins o temas que utilicen.
Actualmente, el equipo de PHP no ha proporcionado detalles sobre qué versiones están afectadas, cuáles son las vulnerabilidades específicas o qué versiones incluirán la solución. Esta información se publicará junto con el lanzamiento.
Además, el equipo ha mencionado que podría adelantar el lanzamiento si se hacen públicos los detalles de alguna de las vulnerabilidades o si observa evidencia de explotación activa.
No hay nada que instalar en este momento. Lo que se puede hacer hoy es determinar quién es responsable de actualizar PHP en su sitio y asegurarse de que esa actualización pueda llevarse a cabo rápidamente una vez que esté disponible.
Consideraciones técnicas para entornos de producción
PHP no forma parte de WordPress en sí; es un software de servidor que generalmente está instalado y gestionado por el proveedor de alojamiento. Esto conlleva dos consecuencias prácticas importantes:
- Las actualizaciones automáticas de WordPress no aplicarán esta solución. Actualizar WordPress, los plugins o los temas no cambia la versión de PHP que ejecuta su servidor.
- Quién aplica la actualización depende de cómo esté alojado su sitio. En la mayoría de los alojamientos compartidos y gestionados, el anfitrión actualiza PHP por usted. En un VPS, servidor dedicado o cualquier servidor que administre usted mismo, usted o su desarrollador son responsables de instalar la actualización.
Un puntaje de CVSS mide la severidad de una vulnerabilidad en una escala de 0 a 10, y un 9.2 se encuentra en el rango crítico. Aún no sabemos cómo se pueden desencadenar estas vulnerabilidades, por lo que no podemos determinar cuán fácilmente podrían ser utilizadas contra un sitio de WordPress. Este es un cambio que se debe aplicar tan pronto como esté disponible.
Protocolos de implementación recomendados
Antes de la fecha de lanzamiento, se recomienda a los administradores de sitios seguir estos pasos:
- Identificar quién gestiona PHP en su servidor. Si utiliza un proveedor de alojamiento, verifique su página de estado o consulte al soporte técnico sobre si tienen planes de aplicar el lanzamiento de seguridad de PHP y en qué momento. Muchos proveedores actualizan PHP automáticamente, pero vale la pena confirmarlo.
- Si gestiona su propio servidor, planifique una ventana de mantenimiento para poco después de las 14:00 UTC del miércoles. Si instala PHP desde los paquetes de su sistema operativo, un panel de control o imágenes de contenedor, esas actualizaciones pueden llegar en un horario diferente al del lanzamiento oficial de php.net. Verifique con esa fuente.
- Realizar una copia de seguridad completa de los archivos y la base de datos de su sitio antes de cambiar cualquier cosa en el servidor, y asegúrese de que puede restaurarla.
- Si tiene un sitio de staging, esté preparado para probar la actualización allí antes de aplicarla a su sitio en vivo.
- Estar atento a los canales oficiales. La página principal de php.net anunciará el lanzamiento, y podría llegar antes de lo previsto.
¿Quién debería actuar y quién puede esperar?
Esta actualización debe ser considerada como una acción urgente para todos los propietarios de sitios que dependen de PHP. Dado que las vulnerabilidades son críticas y pueden tener un impacto significativo en la seguridad de los sitios de WordPress, es crucial que los administradores tomen medidas rápidamente para aplicar el parche en cuanto esté disponible.
Conclusión
El equipo de seguridad de PHP lanzará una solución para dos vulnerabilidades críticas de PHP el miércoles 21 de octubre de 2026 a las 14:00 UTC, o antes si se divulgan detalles o comienza la explotación. Dado que PHP se ejecuta en el núcleo de cada sitio de WordPress, esta actualización es de vital importancia para todos los propietarios, y no será instalada mediante las actualizaciones de WordPress. Se aconseja revisar la versión actual de PHP que ejecuta su sitio, confirmar si su alojamiento o su propio equipo aplicará la actualización y realizar una copia de seguridad. Cuando se haga disponible el lanzamiento, aplíquelo tan pronto como le sea seguro hacerlo.
Sobre este contenido: WordPress Zaragoza utiliza automatización e inteligencia artificial para procesar novedades del ecosistema WordPress y convertirlas en análisis técnicos en español. Para cambios relevantes en producción, se recomienda contrastar siempre la información con la documentación oficial del proyecto, plugin o plataforma correspondiente.
Puedes consultar el artículo original aquí: https://www.wordfence.com/blog/2026/10/psa-upcoming-critical-php-security-release/