PHP publica correcciones de emergencia: qué pedir al proveedor de alojamiento

PHP publicó el 21 de octubre actualizaciones de emergencia para corregir dos vulnerabilidades críticas que, según el proyecto, pueden permitir la ejecución remota de código sin autenticación. Para quien administra una web, la pregunta inmediata es si el entorno PHP que atiende sus visitas ya incorpora las correcciones.

Las versiones oficiales corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Que PHP las haya publicado no significa que el proveedor de alojamiento las haya instalado. Incluso un WordPress gestionado puede depender de una intervención del servidor que su propietario no puede realizar desde el escritorio.

La corrección corresponde al alojamiento

Los avisos de seguridad de PHP identifican las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619. El proyecto considera en riesgo las instalaciones que atienden solicitudes web y señala que actualizar es la única solución completa. Su aviso previo asignó a cada fallo una puntuación de 9,2 en CVSS v4.0.

El problema afecta a PHP, no a un único CMS o complemento. Actualizar WordPress, el tema o un plugin de copias de seguridad no demuestra por sí solo que el entorno de ejecución esté reparado. El aviso tampoco establece que todas las webs expuestas hayan sido comprometidas.

Pregunta al proveedor qué compilación procesa las solicitudes de tu sitio y si incluye las correcciones de ambos identificadores. Anunciar un mantenimiento pendiente no equivale a confirmar que el servicio en ejecución está actualizado.

El número de versión necesita contexto

Las versiones oficiales sirven como referencia inicial. Algunas distribuciones y proveedores de soporte prolongado incorporan los arreglos a paquetes anteriores sin adoptar el mismo número de versión. En esos casos, solicita un aviso técnico o un registro del paquete que confirme ambas correcciones.

PHP 8.1 y las ramas anteriores ya no reciben soporte de seguridad ordinario del proyecto. Las correcciones excepcionales de código fuente para ramas antiguas no restablecen ese soporte. Quienes las utilicen necesitan aclarar qué arreglo tienen disponible y preparar la migración.

En WordPress, la versión declarada aparece en Herramientas → Salud del sitio → Información → Servidor. Es un punto de partida para hablar con el alojamiento, especialmente si aplica parches a versiones anteriores.

Confirmar el arreglo y comprobar la web

La confirmación debe referirse al PHP que sirve las páginas, no solo a una instalación de consola distinta o a un paquete descargado. Después del mantenimiento conviene revisar páginas representativas, acceso y publicación. La guía de actualizaciones y recuperación explica cómo preparar la vuelta atrás.

PHP advierte de que las mitigaciones parciales no hacen segura una instalación. Una regla de WAF o un cambio de configuración no debe presentarse como equivalente al parche. Instalarlo tampoco permite determinar si hubo una intrusión anterior: ante indicios sospechosos, esa comprobación requiere una investigación separada.