PHP publicó este miércoles una actualización urgente para corregir dos fallas que permiten ejecutar código en servidores web sin iniciar sesión. Para quienes administran un sitio, la tarea es comprobar que el servicio de alojamiento ya incorporó el parche.
El aviso oficial del 21 de octubre identifica las versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El proyecto pide actualizar de inmediato y advierte que los ajustes temporales de configuración no ofrecen una solución completa.
La corrección se aplica en el servidor
Las vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, afectan al procesamiento de solicitudes web. El equipo de PHP considera especialmente alto el riesgo en Apache con mod_php, donde demostró un ataque que se activa antes de que se ejecute el código de la aplicación.
El problema está en la tecnología que ejecuta el sitio. Actualizar WordPress, sus plugins o el tema no sustituye la corrección de PHP en el alojamiento.
Qué revisar si tienes un sitio en WordPress
Wordfence explica que la versión de PHP puede consultarse desde el panel de WordPress, en Herramientas → Salud del sitio → Información → Servidor.
Si el sitio utiliza una versión antigua, el siguiente paso es consultar al proveedor de hosting. Antes de cambiar a otra rama de PHP, conviene probar la compatibilidad: los plugins y temas antiguos pueden dejar de funcionar en versiones más nuevas.
PHP también señala que algunas distribuciones de Linux y proveedores con soporte extendido incorporan las correcciones a sus propios paquetes. En esos casos, el proveedor debe confirmar que el parche está aplicado, aunque la numeración del paquete sea distinta.
