Fallo crítico en PHP, actualiza tu web
PHP es el motor invisible que mueve una enorme parte de internet —incluida la mayoría de webs hechas con WordPress—. Esta semana se han destapado dos fallos críticos en PHP que, sin necesidad de contraseña, permiten a un atacante tomar el control del servidor. Si tienes web, esto te toca de cerca.
Qué está pasando
El equipo de seguridad de PHP publicó una actualización de emergencia (21/10/2026) para dos
vulnerabilidades de ejecución remota de código, ambas con una gravedad de 9,2 sobre 10
(CVE-2026-109618 y CVE-2026-109619). Permiten a un atacante no autenticado ejecutar código
con los permisos del servidor web: acceder a datos, alterar el sistema o colarse en la red. Están
afectadas las versiones de PHP anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Detalle y aviso oficial
en INCIBE-CERT.
Por qué te afecta (pyme / asociación)
- Si tu web está hecha con WordPress, PrestaShop, Joomla o casi cualquier CMS, corre sobre PHP: una versión sin parchear es una puerta abierta.
- No es "solo la web": desde ese servidor un atacante puede saltar a datos de clientes, correo o la red interna.
- Es de las que se explotan en cuestión de días, porque el fallo ya es público y hay millones de servidores expuestos.
Qué hacer
- Averigua qué versión de PHP usa tu web (te lo dice tu proveedor de hosting o tu partner IT).
- Actualiza ya a la versión corregida; mientras tanto, aísla de internet cualquier servidor que no puedas parchear al momento.
- Revisa también los CMS y plugins: un PHP al día con un WordPress desactualizado sigue siendo un riesgo.
- Vigila accesos extraños en los días posteriores (ficheros nuevos, usuarios que no reconoces).
¿No sabes si tus webs y servidores están al día? En ITCM Solutions lo revisamos y lo dejamos parcheado antes de que te lo encuentren los malos. Hablemos.