Una importante advertencia de seguridad afecta a miles de sitios web y tiendas online que funcionan con PHP. El 21 de octubre de 2026, el equipo de seguridad del lenguaje anunció correcciones para dos vulnerabilidades críticas, que, en determinadas circunstancias, podrían permitir la ejecución remota de código sin que el usuario se haya conectado previamente.
¿Cuáles son las versiones corregidas?
Según el comunicado oficial, las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 incluyen las correcciones. Las dos vulnerabilidades se han calificado de especialmente graves y la recomendación de los responsables de PHP es actualizar de inmediato. La serie PHP 8.2 también se acerca al final de su soporte, fijado para el 31 de diciembre de 2026.
PHP es el lenguaje que se ejecuta en el servidor detrás de muchos sistemas de gestión de contenidos y tiendas online. El visitante puede ver una página web normal sin saber qué versión utiliza el servidor que la aloja.
¿Por qué afecta esto también a WordPress?
WordPress se basa en PHP. Sin embargo, esto no significa que todas las páginas web de WordPress estén igualmente expuestas: el riesgo real depende de la versión de PHP, de cómo se ejecute y de la configuración del servidor. El comunicado hace referencia explícita a entornos como PHP-FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed, haciendo especial hincapié en determinadas configuraciones.
Actualizar WordPress o los plugins no sustituye a la actualización de PHP. Se trata de niveles diferentes del sistema. Si el servidor sigue utilizando una versión vulnerable, la actualización del tema o de WordPress no es suficiente para solucionar ese problema concreto.
Qué debe hacer el propietario de una página web
- Comprobar con el proveedor de alojamiento qué versión de PHP ejecuta el sitio web.
- Preguntar si se ha instalado la versión corregida de la misma serie compatible o si está prevista la actualización.
- Solicita una copia de seguridad y una breve comprobación de compatibilidad de los plugins críticos, el tema y el proceso de pago, antes de realizar cualquier cambio en el entorno de producción.
- Tras el cambio, comprueba los formularios, el inicio de sesión de los usuarios, los pedidos de la tienda online y el funcionamiento del panel de administración.
- Si se utiliza una versión obsoleta o sin soporte, organiza una transición segura a una versión con soporte.
Lo que no debemos hacer
No cambiemos a ciegas la configuración del servidor ni instalemos archivos de forma improvisada procedentes de fuentes desconocidas. Si hay un administrador o una empresa de alojamiento web, la actualización debe realizarla una persona autorizada que conozca bien esa instalación concreta. Esa es la combinación adecuada de seguridad y continuidad operativa.
Conclusión
El comunicado se refiere a vulnerabilidades realmente críticas en la infraestructura y no a una simple notificación sobre un plugin. Los administradores no deben entrar en pánico, pero sí deben comprobar hoy mismo la versión y el plan de actualización segura de su servidor.
Fuente original: PHP.net, Aviso de seguridad del 21/10/2026 · Noticias de WordPress.org.