--- title: "Falla crítica en PHP (CVE-2026-109618 y CVE-2026-109619): qué hacer hoy si tu web usa WordPress" description: "PHP publicó parches de emergencia para dos fallas que permiten ejecutar código sin contraseña. Te explicamos si te afecta, qué versión necesitas y qué pedirle a tu hosting hoy." canonical: "https://webbooster.com.co/php2shell-vulnerabilidad-php-wordpress-que-hacer/" published: 2026-10-21 updated: 2026-10-22 author: "Web Booster" category: "Seguridad" --- *Última actualización: 22 de octubre de 2026. Aclaramos cómo comprobar la versión de PHP si tu servidor usa paquetes de una distribución como Ubuntu. Situación en desarrollo: revisa el aviso oficial en php.net.* El 21 de octubre de 2026 el proyecto PHP publicó parches de emergencia para dos fallas críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código en un servidor sin necesidad de contraseña. Si tu sitio usa WordPress o WooCommerce, corre sobre PHP y este tema te toca. Abajo explicamos si te afecta, qué versión necesitas y qué pedirle hoy a tu proveedor de hosting. ## Qué pasó, en palabras simples Las dos fallas están en el núcleo de PHP, el lenguaje sobre el que funcionan WordPress, WooCommerce y muchas otras aplicaciones. Son de ejecución remota sin autenticación: quien ataca no necesita iniciar sesión ni conocer una contraseña y, según el aviso oficial, puede actuar antes de que corra cualquier código de tu aplicación. Por eso mantener los plugins al día no basta: la falla está por debajo de ellos. En el aviso previo del 20 de octubre, PHP calificó ambas con 9,2 sobre 10 según CVSS 4.0. El aviso oficial menciona un exploit demostrado, sin precisar si es público. Hasta ahora no encontramos confirmación independiente de ataques masivos en curso, así que no lo presentamos como un incidente generalizado. Aun así, es una falla grave que conviene corregir cuanto antes, y la situación puede cambiar en las próximas horas. ## ¿Me afecta? Si tu sitio corre PHP en un servidor sin actualizar, sí. El aviso incluye todas las instalaciones que atienden peticiones web: Apache con mod_php, PHP-FPM, php-cgi, LiteSpeed y FrankenPHP, y señala que el riesgo es mayor con mod_php. Un sitio estático, que no ejecuta PHP en producción, no se ve afectado. Lo que cambia de un caso a otro es quién aplica el parche. En hosting compartido, en general, lo hace el proveedor; en un servidor que administras tú, te toca a ti. Por eso importa saber quién administra el tuyo, algo que explicamos en [hosting administrado: por qué tu agencia debería incluirlo](/hosting-administrado-por-que-tu-agencia-deberia-incluirlo/). ## Qué versión de PHP necesitas | Tu rama de PHP | Versión corregida (PHP oficial) | |---|---| | 8.5 | 8.5.12 | | 8.4 | 8.4.27 | | 8.3 | 8.3.36 | | 8.2 | 8.2.35 | | 8.1, 8.0 y 7.4 | Sin versión oficial de actualización | > **Ojo con esta tabla.** Son los números de la versión original de PHP. Muchas distribuciones de Linux, como Ubuntu, corrigen la falla dentro de su propio paquete sin cambiar el número de versión, así que un servidor puede mostrar una versión "más vieja" y estar protegido. Por ejemplo, Ubuntu 24.04 LTS la corrige en el paquete `php8.3` 8.3.6-0ubuntu0.24.04.13, que a simple vista parece más antiguo que 8.3.36. La forma correcta de comprobarlo es revisar el aviso de seguridad de tu distribución (el de Ubuntu es el USN-8948-1) o preguntarle a tu proveedor, no comparar números a ojo. Las ramas 8.1, 8.0 y 7.4 ya no reciben actualizaciones regulares del proyecto PHP, que solo publicó parches mínimos para quienes compilan desde el código fuente. Eso no significa que todas queden sin corrección: según el aviso de PHP, algunas distribuciones y proveedores de soporte extendido publican parches propios. Ubuntu, por ejemplo, corrigió el PHP 8.1 de su versión 22.04 LTS. Pregunta a tu proveedor si tiene la corrección para tu versión, o migra a una versión soportada. Ten en cuenta también que PHP 8.2 deja de recibir actualizaciones de seguridad el 31 de diciembre de 2026. Si hoy usas 8.2, actualízala a 8.2.35 ahora y planea el paso a 8.3 o superior. ## Qué hacer hoy Lo primero es saber qué versión de PHP usa tu sitio, con el número completo. En WordPress la encuentras en Herramientas, Salud del sitio, pestaña Información, sección Servidor. Si tu PHP viene directamente del proyecto PHP, el número debe ser igual o superior al de la tabla: 8.3.36 y no solo "8.3". Si viene de un paquete de tu distribución, como en Ubuntu, el número puede parecer menor y estar corregido, según explicamos arriba. Si no la ves o no sabes de dónde viene, pídela a tu proveedor. Después, pregúntale por escrito si ya aplicó los parches de CVE-2026-109618 y CVE-2026-109619 y si reinició PHP. Un parche instalado sin reinicio sigue sin protegerte, porque el proceso anterior continúa en memoria. En hosting compartido, elegir "PHP 8.3" en el panel no garantiza el parche: la versión exacta la define tu proveedor, y su confirmación por escrito es la prueba que necesitas. Si administras tú un servidor Ubuntu, el aviso de Ubuntu indica que, en general, una actualización normal del sistema aplica los cambios necesarios; después confirma que PHP se reinició. El aviso oficial incluye medidas de configuración provisionales para quien no puede actualizar de inmediato, pero advierte que no hacen seguro un servidor: la solución completa es actualizar. Un firewall o una capa de protección ayuda como barrera adicional, pero tampoco reemplaza el parche. ## Si el servidor estuvo expuesto Si tu servidor estuvo expuesto antes de aplicar el parche, pide a quien lo administra una revisión de los archivos nuevos o modificados en la carpeta pública, de las tareas programadas y de los usuarios creados recientemente. Antes de tocar nada, conserva los registros del servidor. Si hay sospecha de intrusión, cambia las contraseñas del panel, de la base de datos y de las claves del sitio. Y ten presente que un sitio comprometido puede terminar marcado como peligroso por Google, algo que explicamos en [Mi página aparece bloqueada: categorización errónea, alertas rojas y listas negras](/pagina-web-bloqueada-reputacion-dominio/). ## Y si tu sitio no necesita PHP Muchos sitios de empresa son informativos o de catálogo: presentan servicios, productos y datos de contacto, pero no necesitan procesar pedidos ni cuentas de usuario en cada visita. Para ellos, cada falla como esta es un trabajo de mantenimiento que existe solo porque la plataforma lo exige. Un sitio que se entrega como archivos ya construidos, desde una red global, no ejecuta PHP en cada visita, y por eso esta falla no lo alcanza. Así funcionan los sitios del [Motor Performance WB](/portal-web-performance/). Esto no es una solución de emergencia: hoy lo urgente sigue siendo parchear el servidor que tienes. Y si tu negocio sí necesita PHP (una tienda con WooCommerce, reservas, un CRM), lo adecuado es mantenerlo actualizado en un servidor con soporte. Si quieres saber qué tipo de sitio es el tuyo, lo explicamos en [Sitio web sin PHP: qué es y para qué negocios sirve](/sitio-web-sin-php-que-es-y-para-que-negocios-sirve/). --- **¿No sabes qué versión de PHP usa tu sitio, o tu proveedor no te responde?** Escríbenos por WhatsApp y lo revisamos contigo. Si tu sitio está en nuestro hosting administrado o en un plan con cPanel, la actualización de esta vulnerabilidad está incluida y nos encargamos de aplicarla y de reiniciar el servicio. En los VPS la aplicamos cuando el servidor tiene soporte contratado; si no lo tiene, te lo notificamos y te ofrecemos hacerlo. Los sitios con Motor Performance WB no ejecutan PHP en producción, así que esta falla no los alcanza. **[Escríbenos por WhatsApp →](https://api.whatsapp.com/send?phone=573248754453)** ## Fuentes - PHP, *Security advisory: Critical remote code execution vulnerabilities, update now* (21 oct. 2026) y aviso previo con la calificación CVSS 4.0 de 9,2 (20 oct. 2026): https://www.php.net/archive/2026.php - Ubuntu, *USN-8948-1: PHP vulnerabilities* (21 oct. 2026), con las versiones corregidas de los paquetes por versión de Ubuntu: https://ubuntu.com/security/notices/USN-8948-1 - Ubuntu, *CVE-2026-109618* (prioridad crítica y estado por versión): https://ubuntu.com/security/CVE-2026-109618