Si tu web está hecha con WordPress, WooCommerce, PrestaShop, Joomla, Drupal, Magento o Laravel, esto te afecta. Hoy, 21 de octubre de 2026, el INCIBE-CERT ha publicado un aviso de importancia crítica (la máxima en su escala) sobre dos vulnerabilidades en PHP, el lenguaje sobre el que funcionan la gran mayoría de webs y tiendas online. Y lo más preocupante: ya se están usando para atacar servidores.
En MLG Diseño trabajamos a diario con webs y tiendas que dependen de PHP, así que queremos contarte, sin tecnicismos innecesarios, qué ha pasado, por qué es tan serio y qué tienes que hacer hoy mismo.
Qué ha pasado, en pocas palabras
El equipo de PHP ha corregido dos fallos graves en el propio núcleo de PHP, es decir, en el motor que ejecuta tu web, no en un plugin ni en un tema concreto. Ambos tienen una puntuación de gravedad de 9,2 sobre 10 y permiten algo que en seguridad es lo peor que puede pasar: que un atacante ejecute código en tu servidor de forma remota y sin necesidad de usuario ni contraseña.
Traducido al día a día de un negocio, eso puede significar:
- Que alguien instale una puerta trasera en tu web y vuelva a entrar cuando quiera.
- Que se roben datos de clientes, pedidos o formularios de contacto.
- Que tu web se use para enviar spam, alojar páginas fraudulentas o redirigir a tus visitantes a otros sitios.
- Que Google marque tu dominio como peligroso y pierdas posicionamiento y ventas.
¿Por qué es tan urgente?
Normalmente, cuando se descubre un fallo así, se corrige en silencio y se publica la solución antes de que nadie pueda aprovecharlo. Esta vez no ha sido así: parte de los detalles se filtraron antes de tiempo (en el sector ya se le conoce como «PHP2Shell») y, según recoge el propio INCIBE, se han registrado ataques contra servidores PHP antes incluso de que existiera el parche. Empresas de seguridad especializadas en WordPress como Patchstack confirmaron esta mañana varios incidentes de explotación activa, y el CERT de la Unión Europea también ha emitido su propia alerta.
Además, al estar el fallo en PHP y no en una aplicación concreta, no importa si tu WordPress o tu PrestaShop están perfectamente actualizados: si el servidor ejecuta una versión vulnerable de PHP, la web está expuesta.
Qué versiones de PHP están afectadas
La corrección se publicó hoy a las 16:00 (hora peninsular). Estas son las versiones seguras para cada rama:
| Si tu web usa… | Está en riesgo si es anterior a… | Versión segura |
|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.12 o superior |
| PHP 8.4 | 8.4.27 | 8.4.27 o superior |
| PHP 8.3 | 8.3.36 | 8.3.36 o superior |
| PHP 8.2 | 8.2.35 | 8.2.35 o superior |
| PHP 8.1, 8.0, 7.4 o anterior | Todas | No hay versión oficial: depende de tu proveedor (ver más abajo) |
Se consideran afectadas todas las instalaciones que sirven páginas web, uses el sistema que uses en el servidor (PHP-FPM, Apache con mod_php, LiteSpeed, FrankenPHP o php-cgi). El riesgo es especialmente alto en servidores con Apache y mod_php, donde se ha demostrado que el ataque funciona antes incluso de que llegue a ejecutarse el código de tu web.
Ojo si tu web funciona con PHP 8.1 o una versión más antigua
Estas ramas ya no reciben actualizaciones del proyecto PHP. Por la gravedad del caso, PHP ha publicado excepcionalmente parches para 7.4, 8.0 y 8.1, pero solo en código fuente, pensados para quien compila PHP por su cuenta. En la práctica, si tu web usa una de estas versiones, depende de que tu hosting aplique el parche. Si no puede garantizártelo, la solución pasa por migrar a una versión mantenida.
Y un aviso extra para quien esté en PHP 8.2: esta rama deja de recibir parches de seguridad el 31 de diciembre de 2026. Si vas a tocar tu servidor estos días, es buen momento para planificar el salto a 8.3 o superior y no volver a estar en esta situación dentro de dos meses.
Qué tienes que hacer hoy
1. Averigua qué versión de PHP usa tu web
- En WordPress: ve a Herramientas → Salud del sitio → Información y despliega el apartado Servidor. Ahí verás la versión exacta de PHP.
- En PrestaShop: entra en Parámetros avanzados → Información y busca la versión de PHP en la configuración del servidor.
- En cualquier caso: el panel de tu hosting (cPanel, Plesk, DirectAdmin…) suele mostrarla en la sección de configuración de PHP.
Fíjate en el número completo. No basta con que ponga «8.3»: tiene que ser 8.3.36 o superior (y lo mismo con el resto de ramas de la tabla).
2. Si tu versión es vulnerable, contacta hoy con tu hosting
En la mayoría de alojamientos compartidos es el proveedor quien actualiza PHP. Las distribuciones de Linux y los proveedores con soporte extendido recibieron los parches por adelantado, así que muchos ya estarán aplicándolos. Pregúntales directamente si sus servidores ya incluyen la corrección de los fallos CVE-2026-109618 y CVE-2026-109619. Si gestionas tu propio servidor o VPS, actualiza los paquetes de PHP y reinicia los servicios.
3. Haz una copia de seguridad antes de tocar nada
Actualizar PHP dentro de la misma rama (por ejemplo, de 8.3.35 a 8.3.36) no suele dar problemas. Pero si aprovechas para cambiar de rama (de 8.1 a 8.3, por ejemplo), algún plugin, módulo o tema antiguo podría dejar de funcionar. Una copia completa de archivos y base de datos te permite volver atrás en minutos.
4. Revisa que tu web no haya sido comprometida
Como ha habido ataques antes de que existiera el parche, actualizar cierra la puerta, pero no expulsa a quien ya haya podido entrar. Merece la pena revisar si aparecen usuarios administradores que no reconoces, archivos PHP nuevos o modificados recientemente, redirecciones extrañas o avisos de seguridad en Google Search Console.
¿Y si no puedo actualizar todavía?
PHP ha publicado una serie de ajustes de configuración temporales para reducir el riesgo (límites en el tamaño de las peticiones, desactivar el seguimiento de progreso de subidas en sesiones, etc.). Son ajustes delicados que deben hacerse a nivel de servidor, y tanto PHP como el INCIBE insisten en algo importante: estas medidas reducen la exposición, pero no protegen por completo; la única solución real es actualizar. De hecho, el INCIBE recomienda que, si un servidor expuesto a internet no puede actualizarse, se aísle de la red pública hasta que se pueda aplicar la corrección.
Si eres técnico o administras tu propio servidor, tienes el detalle completo de estas mitigaciones en el aviso oficial del INCIBE y en el anuncio de seguridad de PHP, que enlazamos al final.
Resumen rápido
- Dos fallos críticos en PHP permiten tomar el control de un servidor sin contraseña.
- Afectan a prácticamente cualquier web hecha con WordPress, PrestaShop y otros gestores basados en PHP.
- Ya se están explotando activamente.
- Versiones seguras: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Con PHP 8.1 o anterior, depende de tu proveedor.
- Comprueba tu versión hoy, habla con tu hosting y revisa que tu web esté limpia.
¿Necesitas ayuda? Nosotros lo revisamos por ti
Sabemos que para la mayoría de negocios esto suena a chino, y que lo último que quieres es descubrir dentro de unas semanas que tu tienda lleva días enviando spam o redirigiendo a tus clientes a otra web. En MLG Diseño podemos comprobar qué versión de PHP usa tu web, coordinar la actualización con tu hosting, verificar que todos tus plugins y módulos siguen funcionando después del cambio y revisar si hay indicios de que alguien haya entrado.
Escríbenos hoy mismo y te decimos en qué situación está tu web. Con un fallo de este calibre, cada día cuenta.
Fuentes oficiales:
