Vulnerabilidad PHP 2026: alerta crítica de seguridad que pone en riesgo millones de sitios web

?El 21 de octubre de 2026 se confirmó una alerta de seguridad crítica que afecta a PHP, uno de los lenguajes de programación más utilizados en el desarrollo de páginas web y aplicaciones empresariales.

El equipo oficial de PHP publicó información sobre dos vulnerabilidades de seguridad que podrían permitir la ejecución de código malicioso en servidores vulnerables, incluso sin que un atacante tenga que iniciar sesión.

Los problemas, identificados como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de gravedad de 9,2 sobre 10, considerada crítica dentro del sistema CVSS.

Esta noticia representa una advertencia importante para propietarios de páginas web, tiendas virtuales, empresas y administradores de servidores. A continuación, explicamos qué ocurrió, cuáles son las versiones afectadas y qué medidas deben tomarse para proteger un sitio web.

¿Qué pasó con PHP el 21 de octubre de 2026?

PHP es una tecnología que permite ejecutar buena parte de la lógica interna de millones de páginas web. Se utiliza en sistemas de administración de contenido, tiendas virtuales, aplicaciones empresariales y plataformas desarrolladas a medida.

El 21 de octubre de 2026, el equipo de seguridad de PHP confirmó dos fallos importantes en el funcionamiento interno del lenguaje.

Estas vulnerabilidades pueden afectar directamente al entorno donde se ejecuta una aplicación y no dependen necesariamente de errores cometidos por los desarrolladores del sitio web.

Esto significa que incluso una plataforma correctamente desarrollada podría encontrarse expuesta si utiliza una versión vulnerable de PHP en su servidor.

¿Por qué este problema de vulnerabilidad PHP tiene alcance mundial?

Para comprender su importancia, basta con observar qué tan extendido se encuentra PHP en Internet.

Según estadísticas de W3Techs , en octubre de 2026 PHP era utilizado por aproximadamente el 69 % de los sitios web cuyo lenguaje de programación del servidor se conoce.

Esto convierte a PHP en una tecnología de enorme relevancia dentro de la infraestructura mundial de Internet.

Sin embargo, es importante aclarar que esta estadística no significa que el 69 % de las páginas web estén hackeadas o necesariamente sean vulnerables.

El riesgo real depende de la versión instalada, de los parches aplicados y de la configuración del servidor.

¿Cuáles son las vulnerabilidades críticas de PHP descubiertas en 2026?

Las dos vulnerabilidades identificadas se relacionan con la gestión de memoria y el estado interno del intérprete PHP.

1. CVE-2026-109618: corrupción de memoria

Esta vulnerabilidad está relacionada con la manera en que PHP gestiona determinadas situaciones en las que se agota la memoria disponible.

Bajo ciertas condiciones, PHP puede interrumpir una operación mientras algunos datos internos todavía se encuentran parcialmente inicializados.

El tratamiento posterior de esos datos podría provocar corrupción de memoria y abrir la puerta a la ejecución de código no autorizado.

2. CVE-2026-109619: utilización de memoria liberada

Este segundo problema está relacionado con información interna que puede mantenerse accesible después de que la memoria asociada haya sido liberada.

En determinados escenarios, una petición posterior podría utilizar ese estado residual antes de que PHP lo reinicialice correctamente.

Su explotación puede comprometer la integridad y la seguridad del proceso que ejecuta PHP.

Ambas vulnerabilidades tienen una gravedad crítica de 9,2 sobre 10 y fueron documentadas oficialmente por el equipo de PHP.

¿Qué podría pasar si una página web utiliza una versión vulnerable de PHP?

Los problemas de vulnerabilidad PHP no deben tomarse a la ligera. Si un atacante consigue explotar alguno de estos fallos, las consecuencias pueden ser importantes.

Dependiendo de la configuración y los permisos del servidor, podrían presentarse situaciones como:

• Hackeo de la página web: ejecución de instrucciones no autorizadas en el servidor.
• Robo de información: posible acceso a datos privados, archivos o información de los usuarios.
• Modificación de contenido: alteración de archivos o elementos de una aplicación web.
• Interrupción del servicio: fallos que podrían dejar una página web temporalmente fuera de funcionamiento.
• Compromiso de aplicaciones: afectación de otros servicios accesibles desde el proceso vulnerable.

Estos son riesgos potenciales, no una afirmación de que todos los sitios afectados hayan sufrido un ataque.

¿Qué versiones de PHP están afectadas?

El comunicado de seguridad recomienda actualizar cuanto antes a las versiones corregidas.

Estas son las versiones publicadas el 21 de octubre de 2026:

Rama de PHP	Versión corregida
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

Atención: PHP 8.1 y las ramas anteriores ya no reciben actualizaciones oficiales regulares del proyecto PHP. Algunos proveedores ofrecen parches propios o soporte extendido.

Por esta razón, si una página utiliza una versión antigua, debe verificarse si su proveedor suministra un parche específico o si es necesario migrar a una versión compatible y con soporte.

¿Cómo saber si mi página web tiene esta vulnerabilidad PHP?

La primera medida consiste en identificar la versión real de PHP que ejecuta la página web en producción.

Este dato puede consultarse desde el panel del hosting, la configuración del servidor o mediante herramientas de administración.

En servidores con acceso a una terminal se puede ejecutar el siguiente comando:

php -v

Sin embargo, este comando muestra la versión de PHP utilizada por la terminal, que no necesariamente coincide con la versión que atiende las solicitudes de la página web.

Por lo tanto, también es necesario comprobar la versión utilizada por el servidor web, especialmente en configuraciones con PHP-FPM, Apache, LiteSpeed u otros entornos.

Una revisión técnica debe confirmar si existen parches del proveedor y verificar que todos los procesos PHP expuestos se encuentren correctamente actualizados.

¿Cómo solucionar las vulnerabilidades de PHP en 2026?

La solución recomendada es instalar una versión de PHP corregida y comprobar que la aplicación continúe funcionando correctamente.

Aunque el procedimiento depende del hosting y de la infraestructura utilizada, normalmente debe incluir las siguientes tareas:

1. Revisar el servidor y la versión instalada

Se identifica la versión de PHP en uso, la configuración del servidor y la disponibilidad de actualizaciones de seguridad.

2. Realizar una copia de seguridad

Antes de efectuar cambios importantes, es recomendable disponer de respaldos de los archivos, bases de datos y configuraciones necesarias para restaurar el servicio si ocurre algún inconveniente.

3. Instalar las actualizaciones de seguridad

Se aplican las versiones corregidas desde una fuente confiable o los paquetes de seguridad suministrados por el proveedor.

4. Comprobar la compatibilidad de la aplicación

Algunas aplicaciones pueden depender de funciones, extensiones o librerías que requieran ajustes al actualizar PHP.

Por eso, además del servidor, puede ser necesario revisar el código o las dependencias de la página web.

5. Reiniciar los servicios correspondientes

Cuando corresponda, se reinician los procesos o servicios PHP para garantizar que utilicen efectivamente la versión corregida.

6. Verificar el funcionamiento del sitio web

Finalmente, se comprueban las principales funcionalidades: inicio de sesión, formularios, conexiones con bases de datos, cargas de archivos y demás procesos relevantes.

¿Es necesario dejar la página web fuera de servicio para actualizar PHP?

Depende de la infraestructura y del tipo de actualización que se deba realizar.

En algunos servidores, la actualización puede requerir reiniciar servicios y generar una breve interrupción.

En otros entornos es posible realizar despliegues controlados que reducen considerablemente el tiempo de inactividad.

Lo importante es ejecutar el procedimiento de manera planificada, verificar la compatibilidad de la aplicación y confirmar que todos los servicios vuelvan a funcionar correctamente.

¿Las páginas desarrolladas con Laravel y WordPress también pueden estar afectadas?

Sí. Las aplicaciones desarrolladas con Laravel, WordPress y otras soluciones basadas en PHP pueden encontrarse expuestas si el servidor utiliza una versión vulnerable.

Esto no significa que Laravel o WordPress tengan necesariamente el mismo fallo. En este caso, el problema se encuentra en el intérprete PHP sobre el que funcionan estas aplicaciones.

Por ello, mantener actualizado un framework o un sistema de administración de contenido no sustituye la necesidad de mantener actualizado PHP.

¿Qué pasa si no actualizo PHP?

Mantener una versión vulnerable puede prolongar innecesariamente la exposición de una página web a fallos de seguridad conocidos.

Aunque eso no garantiza que se produzca un ataque, sí representa un riesgo que debe ser evaluado y corregido.

El equipo de seguridad de PHP ha señalado que las medidas temporales de mitigación no sustituyen la actualización.

Por eso, la recomendación principal es aplicar los parches correspondientes lo antes posible.

Preguntas frecuentes sobre la vulnerabilidad PHP 2026

¿Mi página web puede ser hackeada por esta vulnerabilidad PHP?

Existe la posibilidad de que un atacante aproveche el fallo en un entorno vulnerable. Sin embargo, el riesgo concreto depende de la versión de PHP, la configuración y las medidas de protección del servidor.

¿Actualizar PHP elimina estas dos vulnerabilidades?

Instalar una versión corregida o el parche adecuado del proveedor es la medida recomendada para solucionar estos fallos. Esto no elimina automáticamente otras vulnerabilidades que pueda tener una aplicación.

¿Se puede actualizar PHP sin perder información?

Sí, una actualización correctamente ejecutada debe preservar los archivos y datos de la aplicación. De todos modos, es recomendable realizar respaldos antes de comenzar.

¿Cuánto tarda actualizar PHP?

El tiempo depende del servidor, la cantidad de sitios alojados y la compatibilidad de las aplicaciones. Una actualización sencilla puede ser rápida, mientras que una migración de versiones antiguas podría requerir más trabajo.

¿Esta vulnerabilidad PHP afecta solamente a WordPress?

No. El problema afecta al entorno de ejecución de PHP, por lo que puede involucrar diferentes aplicaciones, frameworks y gestores de contenido que utilicen versiones vulnerables.

Protege tu página web: soporte y seguridad PHP con Viewgital

En Viewgital sabemos que la seguridad de una página web es fundamental para proteger la información, mantener la confianza de los clientes y garantizar la continuidad de las operaciones digitales.

Si tu sitio web utiliza PHP y no sabes si está actualizado, es importante realizar una revisión técnica.

Podemos ayudarte con la evaluación de tu sitio web, la revisión de versiones, la actualización del servidor y los ajustes de compatibilidad que sean necesarios.

No esperes a sufrir un problema de seguridad para revisar tu página web. Actuar preventivamente puede evitar inconvenientes mucho más costosos.

Solicita asesoría de seguridad web con Viewgital

Conclusión: actualizar PHP es una prioridad de seguridad

Las vulnerabilidades de PHP descubiertas en octubre de 2026 demuestran la importancia de mantener actualizados los servidores y las aplicaciones web.

Los problemas CVE-2026-109618 y CVE-2026-109619 son fallos críticos que requieren atención, especialmente en sitios web que todavía utilizan versiones anteriores a las corregidas.

Si administras una página web, tienda virtual o plataforma empresarial, verifica cuanto antes qué versión de PHP utiliza tu servidor.

Mantener la tecnología actualizada es una de las medidas fundamentales para reducir los riesgos de seguridad y proteger tu presencia digital.

Fuentes oficiales y referencias

• PHP.net: comunicado oficial de seguridad del 21 de octubre de 2026
• Google Cloud: análisis de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619
• W3Techs: estadísticas de utilización de PHP en Internet

Artículo publicado por Viewgital. Información de seguridad actualizada al 22 de octubre de 2026.

?

??