El 21 de octubre de 2026, el equipo de seguridad de PHP publicó una actualización extraordinaria para corregir dos vulnerabilidades críticas que afectan a uno de los lenguajes de programación más utilizados en Internet.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, han recibido una puntuación de gravedad de 9,2 sobre 10 según el sistema CVSS 4.0. En determinadas condiciones, podrían permitir que un atacante ejecute código malicioso en un servidor sin necesidad de autenticarse.
El alcance potencial es importante. PHP está presente en numerosas aplicaciones corporativas, portales web, tiendas online y gestores de contenidos como WordPress, Drupal y Joomla.
Para las empresas, este incidente plantea una pregunta inmediata: ¿sabemos realmente qué servidores y aplicaciones utilizan PHP y si están actualizados?
En este artículo explicamos qué ha ocurrido, qué versiones están afectadas y qué medidas deberían adoptar las organizaciones para proteger su infraestructura tecnológica.
¿Qué ha ocurrido con la seguridad de PHP?
PHP es un lenguaje de programación que permite ejecutar aplicaciones web, procesar formularios, gestionar sesiones de usuario y conectar páginas con bases de datos, entre otras funciones.
El problema descubierto no reside en una página web concreta ni en un complemento de WordPress, sino en componentes internos del propio lenguaje.
Las dos vulnerabilidades afectan a la gestión de memoria y al tratamiento de determinados errores durante la ejecución de PHP.
En condiciones específicas, un atacante podría aprovechar estos fallos para manipular el comportamiento del servidor y conseguir ejecutar instrucciones no autorizadas.
CVE-2026-109618: corrupción de memoria
Esta vulnerabilidad está relacionada con la forma en que PHP gestiona determinadas situaciones en las que se alcanza un límite de memoria.
Cuando se produce un error de este tipo, algunos datos internos pueden quedar parcialmente inicializados y ser utilizados posteriormente de forma incorrecta.
El equipo de seguridad ha confirmado que, en entornos Apache con mod_php, se ha demostrado la ejecución remota de código mediante solicitudes sin autenticar. También se ha confirmado su explotación en PHP-FPM a través de determinadas rutas de ejecución de aplicaciones.
CVE-2026-109619: estado interno no restablecido correctamente
El segundo fallo afecta a información interna que puede permanecer referenciada después de que la memoria correspondiente haya sido liberada.
Si una solicitud posterior utiliza ese estado incorrecto, podría producirse una corrupción de memoria aprovechable por un atacante.
En ambos casos hablamos de vulnerabilidades que pueden afectar al propio servidor, más allá de la aplicación web que esté ejecutando.
¿Qué versiones de PHP están afectadas?
El equipo oficial de PHP publicó el 21 de octubre cuatro nuevas versiones que incorporan las correcciones de seguridad.
Las versiones corregidas son:
- PHP 8.5: actualizar a 8.5.12 o posterior.
- PHP 8.4: actualizar a 8.4.27 o posterior.
- PHP 8.3: actualizar a 8.3.36 o posterior.
- PHP 8.2: actualizar a 8.2.35 o posterior.
Las instalaciones que utilizan versiones anteriores dentro de estas ramas deben considerarse afectadas si todavía no han recibido la correspondiente corrección de seguridad.
La situación es especialmente delicada para PHP 8.1 y versiones anteriores, que ya no cuentan con soporte oficial del proyecto PHP. Algunos fabricantes ofrecen correcciones específicas para estas versiones mediante soporte extendido, pero es necesario verificarlo individualmente.
Además, PHP 8.2 llegará al final de su soporte de seguridad oficial el 31 de diciembre de 2026, por lo que conviene planificar su migración a una rama con mayor recorrido.
Es importante recordar que algunas distribuciones Linux incorporan parches de seguridad sin modificar necesariamente el número principal de versión. Por tanto, comprobar únicamente el resultado de php -v no siempre permite determinar si un sistema está protegido.
¿Por qué estas vulnerabilidades representan un riesgo para las empresas?
Una vulnerabilidad que permite ejecutar código de forma remota puede tener consecuencias importantes, especialmente cuando el servidor afectado está conectado a Internet.
Dependiendo de los permisos del proceso comprometido y de las protecciones existentes, un atacante podría intentar:
- Acceder a información almacenada o procesada por las aplicaciones.
- Manipular archivos y componentes del servidor.
- Interferir en el funcionamiento de servicios corporativos.
- Instalar herramientas maliciosas o establecer mecanismos de persistencia.
- Utilizar el sistema comprometido como punto de partida para otros ataques.
Esto no significa que todas las instalaciones de PHP hayan sido comprometidas. Significa que las organizaciones con versiones vulnerables deben evaluar su exposición y actuar con rapidez.
El riesgo también depende de la configuración del servidor, la tecnología utilizada para ejecutar PHP y las medidas de aislamiento aplicadas.
WordPress, aplicaciones corporativas y servidores: ¿dónde está el riesgo?
Muchas empresas utilizan PHP sin ser plenamente conscientes de ello. No se trata únicamente de su página web corporativa.
Este lenguaje también puede encontrarse en plataformas de gestión, aplicaciones internas y productos de terceros.
Webs corporativas y tiendas online
WordPress, Drupal, Joomla y numerosas plataformas de comercio electrónico utilizan PHP para ejecutar parte de sus funcionalidades.
Aunque el gestor de contenidos y sus extensiones estén actualizados, el servidor puede continuar utilizando una versión vulnerable del lenguaje.
Por eso, actualizar WordPress no equivale a actualizar PHP. Son componentes diferentes y requieren comprobaciones independientes.
Aplicaciones empresariales
Algunas herramientas de gestión documental, inventario, monitorización o administración incorporan PHP como parte de su arquitectura.
En estos casos, el departamento tecnológico debe verificar si el fabricante ha publicado una actualización o si existe alguna dependencia que impida instalar inmediatamente la versión corregida.
Servidores y contenedores Docker
Los entornos de virtualización y contenedores añaden otra dificultad: PHP puede estar integrado dentro de una imagen Docker que no se actualiza automáticamente con el sistema operativo anfitrión.
Una empresa podría tener su servidor Linux completamente actualizado y mantener, al mismo tiempo, un contenedor con una versión vulnerable de PHP.
Por tanto, también deben revisarse las imágenes utilizadas, sus dependencias y la política de actualización de los contenedores desplegados en producción.
Qué deben hacer las empresas para proteger sus servidores PHP
Ante vulnerabilidades de esta gravedad, la respuesta debe ser rápida, pero también organizada para evitar interrupciones innecesarias en servicios críticos.
Estas son las medidas que recomendamos priorizar.
1. Identificar todos los sistemas que utilizan PHP
El primer paso consiste en localizar las instalaciones existentes, incluyendo servidores físicos, máquinas virtuales, alojamientos web, aplicaciones internas y contenedores.
Es especialmente importante identificar los servicios accesibles desde Internet y aquellos que procesan información sensible.
2. Comprobar las versiones y los parches instalados
No basta con conocer la versión principal del lenguaje. También debe verificarse si los paquetes instalados incluyen las correcciones de seguridad publicadas por PHP o por el fabricante de la distribución.
En entornos administrados por terceros, es recomendable solicitar al proveedor una confirmación de las versiones corregidas y de su fecha de instalación.
3. Aplicar las actualizaciones de seguridad
La recomendación oficial es instalar cuanto antes una versión corregida.
En sistemas que utilizan versiones sin soporte, debe revisarse si existe mantenimiento extendido con los parches correspondientes o planificarse su migración.
Los mecanismos de mitigación temporal pueden reducir determinados vectores de ataque, pero el propio equipo de PHP advierte que no sustituyen la instalación de las correcciones.
4. Comprobar la compatibilidad de las aplicaciones
Actualizar PHP puede afectar a aplicaciones antiguas, bibliotecas, extensiones y desarrollos propios.
Siempre que sea viable, conviene validar los cambios en un entorno de pruebas antes de trasladarlos a producción, sin demorar innecesariamente la corrección de sistemas expuestos.
Una actualización bien planificada debería contemplar copias de seguridad verificadas, pruebas funcionales y un procedimiento de recuperación si aparece alguna incompatibilidad.
5. Revisar los registros y la actividad sospechosa
La instalación del parche corrige la vulnerabilidad, pero no demuestra que el servidor no haya sido comprometido previamente.
En sistemas potencialmente expuestos es recomendable revisar los registros del servidor web, los errores de PHP, los procesos inesperados y cualquier modificación sospechosa de archivos.
Si se detectan indicios de compromiso, debe iniciarse un procedimiento de respuesta a incidentes antes de considerar finalizada la intervención.
6. Mantener una política de actualizaciones continua
Este incidente demuestra la importancia de disponer de un inventario tecnológico actualizado y de procedimientos para aplicar correcciones de seguridad.
No debería ser necesario esperar a una alerta internacional para descubrir que una aplicación corporativa utiliza una versión de software obsoleta.
Un servicio de mantenimiento informático para empresas permite organizar estas revisiones, gestionar actualizaciones y coordinar intervenciones sobre sistemas críticos.
¿Es suficiente contar con un firewall para evitar estos ataques?
Los cortafuegos y las soluciones de protección de aplicaciones web pueden contribuir a reducir la exposición frente a determinados ataques, pero no eliminan los fallos presentes en el código de PHP.
Un firewall de aplicaciones web (WAF) puede bloquear ciertos patrones de tráfico malicioso. Sin embargo, su eficacia depende de que existan reglas capaces de identificar el intento de explotación.
Además, las vulnerabilidades descubiertas afectan a mecanismos internos del lenguaje y pueden presentar diferentes rutas de explotación.
Por este motivo, la instalación de las versiones corregidas continúa siendo la medida fundamental.
Las protecciones perimetrales, la segmentación de red, la limitación de privilegios y la monitorización deben considerarse capas adicionales dentro de una estrategia de seguridad más amplia.
La importancia del mantenimiento preventivo en la seguridad empresarial
Una de las principales lecciones de este incidente es que la seguridad tecnológica no depende únicamente de instalar antivirus o proteger el acceso a la red.
También es necesario conocer los componentes sobre los que funcionan las aplicaciones empresariales y mantenerlos actualizados.
En organizaciones con múltiples servidores, proveedores y aplicaciones, esta responsabilidad puede estar repartida entre distintos equipos.
Por ejemplo, el proveedor de alojamiento puede encargarse del sistema operativo, mientras que el mantenimiento de una aplicación específica depende de otro proveedor o del departamento tecnológico interno.
Si estas responsabilidades no están claramente definidas, determinadas actualizaciones pueden quedar pendientes sin que nadie tenga una visión global de la situación.
Desde Inmove IT Solutions ayudamos a las empresas a gestionar sus infraestructuras tecnológicas mediante servicios de administración de sistemas informáticos, mantenimiento y supervisión.
Nuestro enfoque se centra en prevenir incidencias, controlar el estado de los sistemas y facilitar la continuidad de los servicios empresariales.
Preguntas frecuentes sobre las vulnerabilidades críticas de PHP
Estas son algunas de las dudas más habituales que pueden surgir entre los responsables de empresas tras la publicación de las alertas de seguridad.
¿Todas las páginas web que utilizan PHP son vulnerables?
No necesariamente. Depende de la versión instalada, de las correcciones aplicadas y de la configuración del entorno. No obstante, las instalaciones que ejecutan versiones afectadas sin parchear deben considerarse en riesgo, especialmente si son accesibles desde Internet.
¿Actualizar WordPress protege frente a estas vulnerabilidades?
No por sí solo. WordPress y PHP son componentes diferentes. Aunque WordPress, sus temas y sus plugins estén actualizados, es imprescindible comprobar que el servidor ejecuta una versión de PHP corregida.
¿Cómo puedo saber qué versión de PHP utiliza mi empresa?
La versión puede consultarse desde las herramientas de administración del alojamiento, desde el propio servidor o mediante comandos como php -v. Sin embargo, en distribuciones con parches retroportados también debe comprobarse el estado de seguridad de los paquetes instalados.
¿Las versiones antiguas de PHP siguen siendo seguras?
Las versiones que han alcanzado el final de su soporte oficial dejan de recibir correcciones del proyecto PHP. Algunos proveedores ofrecen soporte extendido, pero es necesario comprobar que las vulnerabilidades recientes están corregidas. Mantener una versión obsoleta sin mantenimiento incrementa el riesgo.
¿Es necesario detener una aplicación si no se puede actualizar inmediatamente?
Depende de su exposición y de la evaluación del riesgo. Los organismos de ciberseguridad recomiendan considerar la desconexión temporal de sistemas vulnerables cuando no es posible corregirlos y no existen garantías suficientes para mantenerlos en funcionamiento.
¿Un contenedor Docker con PHP también puede verse afectado?
Sí. Si una imagen contiene una versión vulnerable de PHP, el contenedor puede estar expuesto aunque el sistema operativo anfitrión esté actualizado. Es necesario comprobar las imágenes, instalar versiones corregidas y volver a desplegar los contenedores afectados.
Inmove IT Solutions: protección y mantenimiento de infraestructuras empresariales
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 recuerdan que incluso las tecnologías ampliamente utilizadas pueden presentar fallos graves de seguridad.
La diferencia entre una vulnerabilidad corregida a tiempo y un incidente de seguridad puede depender de la capacidad de una empresa para identificar sus activos, gestionar sus actualizaciones y responder con rapidez.
En Inmove IT Solutions ofrecemos soluciones de mantenimiento y gestión de sistemas orientadas a empresas que necesitan mantener sus servicios tecnológicos operativos y protegidos.
¿Sabes si tus servidores y aplicaciones utilizan versiones de PHP afectadas? Podemos ayudarte a revisar tu infraestructura, valorar los riesgos y planificar las actualizaciones necesarias, teniendo en cuenta las necesidades de continuidad de tu negocio.
Descubre nuestros servicios de mantenimiento y soporte informático empresarial.
¿Necesitas asistencia especializada? Contacta con nosotros y estudiaremos las necesidades tecnológicas de tu empresa.
