Versiones PHP afectadas en 2026: comprueba si tu web está en riesgo
Las versiones PHP afectadas por las nuevas vulnerabilidades de seguridad detectadas en octubre de 2026 han provocado que el Instituto Nacional de Ciberseguridad (INCIBE) emita una alerta crítica. Estos fallos pueden permitir ataques contra servidores web y comprometer la información alojada en ellos.
Si tienes una página web corporativa, una tienda online o utilizas WordPress, es importante comprobar qué versión de PHP tienes instalada y asegurarte de que está actualizada. Te explicamos qué versiones están afectadas, cómo comprobar la tuya y qué medidas debes tomar para proteger tu página web.
¿Qué ha ocurrido con PHP y por qué es importante?
El 21 de octubre de 2026 se publicaron dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, con una gravedad de 9,2 sobre 10. Estos fallos pueden permitir que un atacante ejecute código malicioso de forma remota en determinados servidores vulnerables, incluso sin disponer de usuario ni contraseña. INCIBE ha clasificado esta alerta con el nivel máximo de importancia: 5 – Crítica.
PHP es una tecnología fundamental para el funcionamiento de numerosas páginas web, incluidas las desarrolladas con WordPress, Joomla o PrestaShop. Esto significa que una web puede estar actualizada en cuanto a plugins y contenido, pero continuar expuesta si utiliza una versión vulnerable de PHP. Además, el 26 de octubre INCIBE incorporó información sobre una tercera vulnerabilidad, CVE-2026-115560, relacionada con configuraciones específicas de sesiones.
PHP es una tecnología fundamental para el funcionamiento de numerosas páginas web, incluidas las desarrolladas con WordPress, Joomla o PrestaShop. Esto significa que una web puede estar actualizada en cuanto a plugins y contenido, pero continuar expuesta si utiliza una versión vulnerable de PHP. Además, el 26 de octubre INCIBE incorporó información sobre una tercera vulnerabilidad, CVE-2026-115560, relacionada con configuraciones específicas de sesiones.
¿Cuáles son las versiones PHP afectadas y cuáles están corregidas?
Las vulnerabilidades afectan a distintas versiones de PHP utilizadas en servidores y alojamientos web. Para corregir los dos fallos críticos iniciales se publicaron nuevas versiones el 21 de octubre de 2026. Las instalaciones que todavía utilizan versiones anteriores a las corregidas deben actualizarse lo antes posible o verificar que su proveedor haya aplicado los parches correspondientes.
Las versiones PHP 8.1 y anteriores también requieren especial atención, ya que han finalizado su soporte oficial. Aunque algunos proveedores ofrecen correcciones específicas para determinadas versiones antiguas, lo recomendable es migrar a una rama mantenida. Tener una versión corregida es fundamental para reducir el riesgo de ataques, sin olvidar que la nueva vulnerabilidad comunicada el 26 de octubre requiere revisar determinadas configuraciones adicionales.| Rama PHP | Versiones afectadas | Primera versión corregida* |
|---|---|---|
| PHP 8.5 | Anteriores a 8.5.12 | 8.5.12 |
| PHP 8.4 | Anteriores a 8.4.27 | 8.4.27 |
| PHP 8.3 | Anteriores a 8.3.36 | 8.3.36 |
| PHP 8.2 | Anteriores a 8.2.35 | 8.2.35 |
| PHP 8.1 o anterior | Fuera de soporte oficial | Migrar o consultar al proveedor |
* Nota de seguridad: Las versiones corregidas indicadas solucionan las vulnerabilidades
CVE-2026-109618 y CVE-2026-109619.
La vulnerabilidad CVE-2026-115560 necesita una comprobación adicional
de configuración mientras se publica su actualización correspondiente.
¿Cómo comprobar qué versión de PHP utiliza tu página web?
Si tu página está desarrollada con WordPress, puedes comprobarlo directamente desde el panel de administración. Accede a Herramientas → Salud del sitio → Información → Servidor y busca el apartado «Versión de PHP». Allí aparecerá el número de versión que utiliza tu web. Compáralo con la tabla anterior para saber si necesita una actualización de seguridad.
Si utilizas otro gestor de contenidos o un alojamiento con panel de control, también puedes consultar la versión desde herramientas como Plesk o cPanel, normalmente dentro de la configuración de PHP del dominio. Es importante recordar que actualizar WordPress no significa actualizar automáticamente PHP, ya que son componentes diferentes. Si no encuentras esta información, puedes solicitarla directamente a tu proveedor de alojamiento web.
Si utilizas otro gestor de contenidos o un alojamiento con panel de control, también puedes consultar la versión desde herramientas como Plesk o cPanel, normalmente dentro de la configuración de PHP del dominio. Es importante recordar que actualizar WordPress no significa actualizar automáticamente PHP, ya que son componentes diferentes. Si no encuentras esta información, puedes solicitarla directamente a tu proveedor de alojamiento web.
¿Qué debes hacer si tu página web utiliza una versión vulnerable?
Si descubres que tu página web utiliza una versión afectada, lo más importante es planificar y realizar la actualización cuanto antes. Antes de modificar PHP, conviene disponer de una copia de seguridad completa de los archivos y la base de datos, comprobar la compatibilidad con WordPress, los plugins y el tema utilizado y, cuando sea posible, realizar las pruebas en un entorno de desarrollo. Una actualización sin estas comprobaciones podría provocar errores de funcionamiento.
Desde Riberinfo recomendamos mantener actualizados tanto PHP como WordPress y el resto de los componentes de la página web. También es importante revisar las copias de seguridad y realizar comprobaciones periódicas de seguridad. Para ampliar la información sobre esta incidencia puedes consultar el aviso oficial de INCIBE sobre las vulnerabilidades de PHP, que incluye las recomendaciones técnicas y las actualizaciones disponibles.
¿Cómo puedo saber si mi página WordPress está afectada?
Accede a Herramientas → Salud del sitio → Información → Servidor y consulta la versión PHP instalada. Después, compárala con las versiones corregidas indicadas en este artículo. También conviene verificar con tu proveedor de hosting que se hayan aplicado los parches de seguridad correspondientes.
¿Actualizar WordPress también actualiza la versión de PHP?
No. WordPress y PHP son componentes diferentes. Aunque tengas WordPress, sus plugins y temas completamente actualizados, tu servidor podría seguir utilizando una versión vulnerable de PHP.
¿Qué puede ocurrir si no actualizo PHP?
Una versión vulnerable puede facilitar ataques que comprometan la seguridad de la página web, permitan el acceso no autorizado a información o afecten a su funcionamiento. Tener una versión afectada no significa necesariamente que tu web haya sufrido un ataque, pero sí que existe un riesgo que debe corregirse.
¿Puedo actualizar PHP sin que mi página web deje de funcionar?
Generalmente sí, pero depende de la compatibilidad de tu página web, sus plugins y sus aplicaciones. Por eso es recomendable realizar una copia de seguridad y comprobar el funcionamiento antes de aplicar cambios importantes en un entorno de producción.
¿Quién debe encargarse de actualizar PHP en mi página web?
Normalmente la actualización se realiza desde el panel de alojamiento web o por parte del proveedor de hosting. Si dispones de un servicio de mantenimiento profesional, el equipo técnico puede encargarse de verificar las versiones, realizar las actualizaciones y comprobar que la web siga funcionando correctamente.
