Alerta de seguridad PHP del 21 de octubre: qué hacer con tu web

Si tu negocio recibe consultas, reservas o pedidos desde una web que utiliza PHP, esta alerta merece atención hoy. El 21 de octubre de 2026 se publicaron correcciones para dos vulnerabilidades críticas. Lo importante para tu negocio es confirmar quién aplica el parche, en qué sitios y cómo se comprueba el resultado. [1]

Información revisada el 21 de octubre de 2026. Las versiones indicadas corresponden a la corrección publicada ese día; consulta las fuentes oficiales para actualizaciones posteriores.

Qué se ha confirmado

Los avisos identifican CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS v4 de 9,2 sobre 10. Se relacionan con la gestión de memoria y de estados internos de PHP. No hace falta entender esos mecanismos para pedir una confirmación concreta de la corrección. [2]

El mensaje de The PHP Foundation del 20 de octubre era un aviso previo. La actualización ya se publicó el día 21. El FBI pidió actualizar, inventariar dónde se utiliza PHP y vigilar actividad sospechosa; si no es posible corregir de inmediato, recomendó desconectar el sistema hasta resolver la exposición. [3] [4]

¿Puede afectar a una web de negocio?

El aviso de PHP incluye instalaciones que atienden solicitudes web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP señala un riesgo especialmente alto en mod_php; usar otra modalidad no basta para descartar la revisión. [1]

WordPress utiliza PHP en el servidor. Tener WordPress actualizado no demuestra que el hosting haya actualizado también PHP: son componentes distintos. Pide comprobar el entorno que ejecuta cada sitio, aunque en el panel solo veas una etiqueta general como “PHP 8.3”. [5]

Qué versiones incorporan la corrección

Algunos proveedores aplican correcciones a sus propios paquetes sin adoptar exactamente esa numeración. En ese caso, solicita el aviso del proveedor y la identificación del paquete que corrige ambas CVE. PHP 8.1 y las ramas anteriores ya no reciben mantenimiento oficial del proyecto; su situación debe confirmarse con el proveedor o resolverse migrando a una rama con soporte. [1]

Cómo actuar sin perder el control de la operación

1. 1IdentificarSitios, versión activa y responsable.
2. 2PrepararRespaldo y pruebas que deben pasar.
3. 3CorregirAplicar el parche con el proveedor.
4. 4VerificarFunciones clave y evidencia del cambio.

Nuestra propuesta operativa es asignar un responsable y reunir los dominios que deben revisarse, incluidos subdominios y entornos de prueba expuestos. Acuerda con el hosting una intervención urgente y conserva un respaldo reciente de archivos y base de datos. La preparación debe acompañar la corrección, no convertirse en una razón para aplazarla indefinidamente.

Después del cambio, prueba lo que sostiene tu operación: abrir páginas, acceder al administrador, enviar una consulta, completar una reserva o recorrer el proceso de compra según corresponda. Documenta qué se probó y cuándo. No basta con que el proveedor diga “actualizado” si nadie ha verificado la web.

Si no puedes actualizar inmediatamente

Coordina con tu proveedor cómo reducir la exposición y si hace falta aislar temporalmente el servicio. El FBI y el Centro Canadiense de Ciberseguridad contemplan retirar de la exposición pública los sistemas que no puedan corregirse de inmediato. Una pausa debe tener responsable, aviso a usuarios y criterio de reapertura. [3] [6]

Las mitigaciones de configuración descritas por PHP cubren rutas concretas y no sustituyen el parche. No copies ajustes de memoria o sesiones sin que un administrador evalúe su efecto en el servidor y en la aplicación. Tampoco consideres que un firewall, el candado HTTPS o cambiar una contraseña certifican que estas vulnerabilidades quedaron corregidas. [2]

Qué pedir si aparecen señales sospechosas

Si el equipo técnico detecta procesos, archivos o conexiones inesperadas, debe investigar y preservar evidencias. El FBI recomienda aislar los sistemas afectados y conservar los registros de PHP y del servidor web ante indicios de compromiso. Actualizar corrige la vulnerabilidad, pero no demuestra por sí solo que no haya ocurrido una intrusión. [3]

Convierte la alerta en una tarea con responsable

La pregunta útil para cerrar esta revisión es: ¿tenemos evidencia del parche aplicado a cada sitio y de las pruebas posteriores? Usa la revisión siguiente para organizar la conversación con tu proveedor. Es una guía de coordinación, no un escaneo de seguridad.

¿Cuál es tu siguiente paso?

Esta revisión organiza tus tareas. No consulta tu servidor ni certifica que tu web esté protegida.

1. ¿Sabes qué versión de PHP y qué proveedor ejecutan tu web?

SíNoNo estoy seguro

2. ¿El proveedor confirmó un paquete que corrige ambas vulnerabilidades?

SíNoNo estoy seguro

3. ¿Se probaron las funciones clave después del cambio?

SíNoNo estoy seguro

Ver qué revisar primero

Sin registro. Las respuestas se usan en esta página y no se envían ni se guardan.

Mensaje listo para pedir la revisión a tu hosting

Completa los dominios antes de enviarlo. Copiar el mensaje no lo envía a ningún proveedor.

Hola. Necesitamos revisar la alerta PHP del 21/10/2026 (CVE-2026-109618 y CVE-2026-109619) para estos dominios: [añadir dominios]. Por favor, confirmen la versión y el paquete de PHP activos en cada sitio, si ambos parches están aplicados y la referencia de su aviso de seguridad si utilizan un backport. Indiquen el respaldo disponible, la intervención necesaria, la recarga o reinicio de los procesos que corresponda y las pruebas posteriores. Si no pueden corregir de inmediato, necesitamos acordar cómo reducir la exposición y cuándo quedará resuelto. Gracias.Copiar mensaje para el hosting

Qué puedes organizar en 10 minutos

Anotar dominios, proveedor y persona responsable de la revisión.Pedir confirmación del parche para ambas CVE y del respaldo disponible.Acordar las pruebas y quién confirma su resultado tras actualizar.

0 de 3 revisiones completadas. Las marcas no se guardan.

Fuentes y actualización

Consulta editorial: 21/10/2026. Para decidir una intervención técnica, revisa la versión más reciente del aviso y las instrucciones de tu proveedor.

1. PHP.net: aviso y versiones corregidas del 21/10/2026.
2. Aviso técnico CVE-2026-109618 y aviso técnico CVE-2026-109619.
3. FBI Cyber Division: aviso del 21/10/2026.
4. The PHP Foundation: aviso previo del 20/10/2026. Comunicado posterior a la publicación de los parches.
5. WordPress: requisitos del entorno de alojamiento.
6. Centro Canadiense de Ciberseguridad: alerta AL26-026.