Dos fallos críticos permiten ejecutar código de forma remota y han provocado el cierre preventivo de servicios públicos y páginas de organizaciones. Desde Informática Alhaurín recomiendan a empresas y propietarios de webs comprobar cuanto antes la versión de PHP de sus servidores.
Una alerta mundial de ciberseguridad ha puesto esta semana bajo vigilancia a millones de páginas web. Dos vulnerabilidades críticas detectadas en PHP, una de las tecnologías más utilizadas para construir y ejecutar sitios en Internet, han llevado a gobiernos, empresas y organizaciones a desconectar temporalmente algunos de sus servicios mientras actualizan sus sistemas.
La situación afecta potencialmente a servidores de todo el mundo y resulta especialmente relevante para propietarios de páginas web, empresas y administradores de sistemas. Plataformas tan extendidas como WordPress funcionan sobre PHP, aunque esto no significa que exista un fallo específico en WordPress ni que todas sus instalaciones sean vulnerables automáticamente.
Desde Informática Alhaurín, empresa tecnológica de Alhaurín de la Torre, señalan que la prioridad en estos momentos es comprobar qué versión de PHP está ejecutando cada alojamiento y verificar que se hayan aplicado las actualizaciones de seguridad correspondientes.
Dos vulnerabilidades con una gravedad de 9,2 sobre 10
Los fallos han sido identificados como CVE-2026-109618 y CVE-2026-109619 y ambos han recibido una puntuación de gravedad de 9,2 sobre 10.
El principal riesgo es especialmente serio: bajo determinadas condiciones podrían permitir que un atacante ejecute código de forma remota en el servidor sin necesidad de estar previamente autenticado.
Esto podría abrir la puerta al control del sistema afectado, al acceso a información almacenada o a la utilización del servidor para posteriores acciones maliciosas.
Las vulnerabilidades afectan a diferentes formas de ejecutar PHP en servidores web, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Webs desconectadas de forma preventiva en varios países
La alerta ha tenido consecuencias visibles en numerosos países. Organismos públicos y empresas han suspendido temporalmente páginas o servicios mientras aplicaban las actualizaciones de seguridad.
Entre las organizaciones que han adoptado medidas preventivas figuran servicios gubernamentales, hospitales, empresas e infraestructuras de importancia internacional.
También la Fundación Wikimedia, responsable de Wikipedia, ha actuado sobre sistemas que utilizan PHP y ha desconectado preventivamente algunos servicios hasta completar las actualizaciones.
En muchos de estos casos no se ha producido un ataque confirmado. La decisión de retirar temporalmente las páginas ha sido precisamente una medida de precaución para evitar una posible explotación antes de instalar los parches.
¿Qué ocurre con las páginas creadas con WordPress?
WordPress utiliza PHP para funcionar, por lo que millones de páginas dependen de esta tecnología. Sin embargo, conviene evitar alarmismos: el problema no está directamente en WordPress, sino en determinadas versiones de PHP instaladas en los servidores.
Por tanto, actualizar únicamente WordPress o sus plugins no soluciona esta vulnerabilidad.
La comprobación debe realizarse también en el servidor o alojamiento web para conocer qué versión de PHP está utilizando cada dominio.
Estas son las versiones de PHP corregidas
El equipo responsable de PHP ha publicado actualizaciones de seguridad y recomienda instalarlas inmediatamente.
Las versiones corregidas son:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Las instalaciones que utilicen versiones anteriores dentro de estas ramas deben actualizarse.
Especial atención requieren PHP 8.1 y versiones todavía más antiguas, que ya se encuentran fuera del ciclo ordinario de soporte del proyecto. Algunos proveedores pueden ofrecer parches específicos para sistemas antiguos, pero la recomendación general es migrar hacia una versión actualmente soportada.
Informática Alhaurín recomienda revisar servidor, web y copias de seguridad
Desde Informática Alhaurín aconsejan a empresas, autónomos y responsables de páginas web que no se limiten a comprobar si WordPress está actualizado.
La revisión debe incluir la versión de PHP utilizada por el dominio, las actualizaciones del servidor, WordPress y sus extensiones, así como la existencia de copias de seguridad recientes que permitan recuperar la página ante cualquier incidencia.
En servidores administrados mediante paneles como Plesk o cPanel, la versión de PHP puede consultarse normalmente desde la configuración correspondiente a cada dominio.
Actualizar PHP tampoco debería hacerse a ciegas. Las páginas con desarrollos antiguos, determinados plugins o plantillas que llevan años sin actualizarse pueden presentar incompatibilidades al cambiar de versión.
Por este motivo, antes de realizar modificaciones importantes es recomendable disponer de una copia completa de la web y de su base de datos y comprobar posteriormente que todos los servicios continúan funcionando correctamente.
Informática Alhaurín recomienda además que quienes no sepan qué versión utiliza su página contacten con su proveedor de alojamiento o con su servicio técnico para solicitar una revisión.
Desconectar antes que permanecer expuesto
La gravedad de la alerta explica por qué algunas organizaciones han preferido dejar temporalmente inaccesibles sus páginas.
Cuando no sea posible instalar inmediatamente las actualizaciones necesarias, puede ser necesario limitar temporalmente la exposición del sistema afectado hasta que pueda ser parcheado y verificado.
Las medidas alternativas pueden reducir determinados riesgos, pero la actualización continúa siendo la principal herramienta para proteger los sistemas afectados.
Una alerta que afecta a una pieza fundamental de Internet
PHP lleva décadas formando parte de la infraestructura sobre la que funcionan millones de páginas y aplicaciones web.
Precisamente esa enorme implantación convierte una vulnerabilidad de estas características en un problema global. La aparición de información técnica sobre los fallos aumenta además la urgencia para administradores y proveedores de alojamiento.
Para el usuario normal probablemente todo ocurra de manera transparente. Para empresas, autónomos y propietarios de páginas web, estos días toca realizar una comprobación bastante sencilla pero importante: conocer qué versión de PHP está utilizando su servidor y asegurarse de que está correctamente actualizada.
