Esta semana se han dado a conocer dos fallos de seguridad muy graves en PHP, y la reacción ha sido poco habitual: organismos públicos de Países Bajos, Finlandia, Dinamarca y Francia han desconectado temporalmente sus webs mientras las actualizan. Si tu empresa tiene página web, tienda online o un área de clientes, esto también va contigo. Te lo explicamos sin tecnicismos y te contamos qué revisar esta misma semana, estés en Valencia o en cualquier otro sitio.
¿Qué ha pasado exactamente?
El 21 de octubre de 2026, el equipo de PHP publicó una actualización de seguridad urgente para corregir dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619). Las dos tienen una puntuación de gravedad de 9,2 sobre 10, según el propio aviso oficial de PHP. Un día antes ya habían avisado de que la actualización estaba en camino para que las empresas se fueran preparando.
¿Qué es PHP y por qué importa tanto?
PHP es una de las tecnologías que hacen funcionar las webs por dentro, en el servidor: la parte que no se ve. Se encarga, por ejemplo, de mostrar el contenido, consultar la base de datos o procesar un pedido antes de que la página llegue a tu pantalla.
Su peso es enorme. Según W3Techs, PHP está presente en el 69,3% de las webs cuyo lenguaje de servidor se puede identificar. WordPress, el gestor de webs más usado del mundo, funciona con PHP, igual que muchas tiendas online. Ojo: el fallo no está en WordPress, sino en PHP, pero cualquier web montada sobre PHP depende de que esté actualizado.
¿Qué puede hacer un atacante con este fallo?
Aquí está lo preocupante. Si se dan ciertas condiciones, una persona de fuera puede conseguir que el servidor de tu web ejecute órdenes suyas sin haber iniciado sesión, es decir, sin usuario ni contraseña. En lenguaje técnico se llama «ejecución remota de código sin autenticación», y es de lo peor que puede tener un fallo de seguridad.
No hablamos de que la web se caiga un rato, sino de que alguien pueda llegar a controlar el servidor: instalar programas maliciosos, robar datos de clientes o usar tu web para atacar a otros.
¿Hay ataques reales o es solo teoría?
Ya hay actividad real. Cloudflare, una de las grandes empresas de seguridad web, asegura haber detectado tráfico de ataque dirigido contra webs que siguen siendo vulnerables. Eso no quiere decir que las administraciones que han apagado sus webs hayan sido atacadas: de momento no hay pruebas de ello. Han desconectado por precaución, que es justo lo que recomiendan las autoridades de ciberseguridad cuando no se puede actualizar a tiempo.
¿Cómo se soluciona?
Actualizando PHP. El propio equipo de PHP insiste en que es la única solución completa: hay medidas temporales para reducir el riesgo, pero no dejan la web segura del todo. Las versiones corregidas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si tu web funciona con PHP 8.1 o una versión anterior, ya no recibe arreglos oficiales. En ese caso hay que hablar con el proveedor o plantear la migración a una versión con soporte. Y un apunte para planificar: PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026.
¿Quién tiene que actualizar mi web?
Esta es la pregunta clave para la mayoría de empresas. PHP vive en el servidor, así que muchas veces no lo controlas tú, sino tu proveedor de hosting o la empresa que te gestiona la web. Por eso el primer paso es sencillo: averigua quién se encarga del servidor de tu web y pregúntale directamente si ya ha actualizado PHP. Si la respuesta es clara, perfecto. Si no saben contestarte o te dan largas, conviene que alguien lo revise cuanto antes.
Preguntas frecuentes
¿Mi web está afectada si usa WordPress? WordPress funciona con PHP, así que tu web depende de que el PHP del servidor esté actualizado. El fallo no está en WordPress, por lo que actualizar plugins o el propio WordPress no lo soluciona: hay que actualizar PHP en el servidor.
¿Afecta a mi ordenador o a mi móvil? No directamente. El problema está en los servidores donde se alojan las webs, no en los equipos desde los que se navega.
¿Basta con que mi web vaya bien para estar tranquilo? No. Una web vulnerable funciona con total normalidad hasta que alguien aprovecha el fallo. Que no notes nada raro no significa que esté protegida.
¿Qué hago si mi proveedor no puede actualizar todavía? Las autoridades de ciberseguridad, como el NCSC británico, recomiendan aplicar las medidas temporales que ha publicado PHP y, si no es posible, valorar desconectar la web hasta que esté protegida. También aconsejan revisar si ha habido algún acceso extraño antes de actualizar.
Cómo te ayudamos desde Vnet
En Vnet Informática revisamos gratis si la web de tu empresa está expuesta a este fallo: comprobamos qué versión de PHP está usando, hablamos con tu proveedor si hace falta y te decimos con claridad si estás protegido o qué hay que hacer. Sin tecnicismos y sin compromiso.
Llamada a la acción: ¿No sabes si tu web está afectada? Pide tu revisión gratuita. 📞 961 11 28 34 · WhatsApp · vnet24h.es
Fuentes consultadas
-
- PHP.net — Security advisory: Critical remote code execution vulnerabilities (21/10/2026) — CVEs, gravedad 9,2 (CVSS v4.0), versiones corregidas, fin de soporte de PHP 8.2
- NCSC (Reino Unido) — Critical security issue affecting PHP — recomendaciones, incluida la desconexión si no se puede actualizar
- Xataka — Un fallo crítico en PHP pone en jaque a medio Internet — organismos europeos desconectados, dato de Cloudflare, dato de W3Techs
