En octubre de 2026 se han descubierto varias vulnerabilidades graves en PHP, una de las tecnologías más utilizadas para crear páginas web. Los problemas han provocado alertas internacionales, actualizaciones urgentes y la detección de ataques que ya están aprovechando algunos de estos fallos.
Pero ¿qué es exactamente PHP? ¿Por qué lo utilizan tantas páginas web? ¿Y qué significa que se haya descubierto una vulnerabilidad en él? Vamos a explicarlo de forma sencilla.
¿Qué es PHP y para qué sirve?
PHP es un lenguaje de programación que nació en 1995 y que permite crear páginas web dinámicas, es decir, páginas cuyo contenido puede cambiar dependiendo de lo que haga cada visitante.
Para entenderlo, imaginemos una tienda online. Cuando entramos, buscamos un producto, lo añadimos al carrito o iniciamos sesión, hay un programa trabajando detrás para que todo funcione.
PHP puede encargarse de muchas de estas tareas:
- Mostrar productos y sus precios en una tienda online.
- Gestionar usuarios y contraseñas.
- Publicar noticias y artículos.
- Procesar formularios de contacto.
- Consultar y guardar información en bases de datos.
- Gestionar pedidos, reservas y otras operaciones.
Lo interesante es que PHP trabaja en el servidor donde está alojada la página web. El visitante normalmente no lo ve: simplemente recibe la página ya preparada en su navegador.
Podríamos compararlo con la cocina de un restaurante. Los clientes ven los platos terminados, pero no todo el trabajo que se realiza para prepararlos. PHP sería parte de esa cocina.
¿Cuántas páginas web utilizan PHP?
Muchas más de las que podríamos imaginar.
Según las estadísticas de W3Techs de octubre de 2026, aproximadamente el 69 % de las páginas web cuyo lenguaje de programación del servidor se ha podido identificar utilizan PHP.
Esto significa que, de cada 10 páginas web con una tecnología de servidor conocida, aproximadamente 7 utilizan PHP.
Es importante aclarar que este porcentaje no representa necesariamente todas las páginas de Internet, ya que no siempre es posible conocer qué tecnología utiliza una web.
Fuente: Estadísticas de uso de PHP de W3Techs.
WordPress, Joomla, Drupal y PrestaShop también utilizan PHP
PHP no solamente se utiliza para crear páginas web desde cero. También es la base de numerosos gestores de contenidos, conocidos como CMS.
Un CMS es un programa que permite crear y administrar una página web sin necesidad de escribir todo su código manualmente.
Entre los más conocidos que utilizan PHP encontramos:
- WordPress: utilizado para blogs, páginas de empresas, periódicos digitales y tiendas online mediante WooCommerce.
- PrestaShop: especializado en la creación de tiendas online.
- Joomla: utilizado para páginas corporativas, portales y comunidades.
- Drupal: empleado en portales de contenidos y proyectos web de diferentes tamaños.
- Moodle: una plataforma muy conocida para cursos y formación online.
Para hacernos una idea de su importancia, WordPress está presente en aproximadamente el 40 % de todas las páginas web, según W3Techs.
En otras palabras, casi 4 de cada 10 páginas web utilizan WordPress, y este gestor funciona con PHP.
Esto ayuda a entender por qué un problema de seguridad en PHP puede tener repercusiones tan importantes.
¿Qué vulnerabilidades se han descubierto?
El 21 de octubre de 2026, los responsables de PHP publicaron actualizaciones urgentes para corregir dos fallos de seguridad identificados como CVE-2026-109618 y CVE-2026-109619.
Ambos recibieron una puntuación de gravedad de 9,2 sobre 10, considerada crítica.
Sin entrar en explicaciones demasiado técnicas, los problemas están relacionados con la forma en que PHP administra la memoria del servidor.
En determinadas circunstancias, un atacante podría aprovechar estos errores para conseguir que el servidor ejecutase instrucciones que no debería ejecutar.
Lo preocupante es que, en algunas configuraciones vulnerables, el ataque podría realizarse desde Internet sin necesidad de conocer una contraseña o tener una cuenta de usuario.
¿Qué podría hacer un atacante?
Las consecuencias dependerían de cómo estuviera configurado el servidor y de los permisos disponibles, pero una explotación exitosa podría permitir:
- Acceder a información privada almacenada en el servidor.
- Modificar archivos o contenidos de una página web.
- Robar datos a los que pudiera acceder el proceso afectado.
- Instalar programas maliciosos.
- Interrumpir el funcionamiento de la web.
Esto no significa que todas las páginas que utilizan PHP hayan sido atacadas ni que cualquier atacante pueda acceder automáticamente a ellas.
Significa que existe un fallo grave que debe corregirse cuanto antes.
¿Se han solucionado estos problemas?
Sí. El equipo de desarrollo de PHP publicó versiones corregidas el mismo 21 de octubre:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Estas versiones y las posteriores de cada rama incorporan las correcciones correspondientes a las dos vulnerabilidades iniciales.
Las versiones antiguas que ya no reciben soporte oficial de PHP requieren especial atención. Algunos proveedores de sistemas operativos y alojamiento ofrecen parches de seguridad propios para ellas, pero lo recomendable es migrar a una versión que siga teniendo soporte.
Los ataques ya se están produciendo
La situación ha evolucionado desde que se anunciaron las vulnerabilidades. El 26 de octubre de 2026, la Agencia de Ciberseguridad de Estados Unidos (CISA) incorporó los dos fallos a su catálogo de vulnerabilidades explotadas activamente.
Esto significa que ya existen evidencias de que los atacantes están aprovechando estos problemas en sistemas reales. No se trata únicamente de una posibilidad teórica.
Por este motivo, las autoridades de ciberseguridad recomiendan instalar las actualizaciones con la máxima urgencia, especialmente en servidores accesibles desde Internet.
Una tercera vulnerabilidad descubierta pocos días después
El 23 de octubre también se publicó información sobre una tercera vulnerabilidad, identificada como CVE-2026-115560.
Este nuevo problema afecta a determinadas configuraciones relacionadas con la gestión de sesiones de PHP, que permiten, por ejemplo, mantener a un usuario identificado mientras navega por una página web.
A diferencia de las dos vulnerabilidades anteriores, este fallo requiere una combinación poco habitual de configuraciones y comportamientos de la aplicación, por lo que no afecta de la misma manera a todos los servidores.
Además, las actualizaciones publicadas el 21 de octubre no solucionaban este tercer problema.
Los administradores deben consultar los avisos oficiales y aplicar las correcciones o medidas de mitigación correspondientes a su configuración.
Esto demuestra que la seguridad informática requiere una vigilancia constante, incluso después de instalar una actualización importante.
¿Tengo que hacer algo si mi página utiliza WordPress?
Si tienes una página web creada con WordPress, PrestaShop, Joomla o cualquier otro sistema basado en PHP, lo primero es comprobar que tu proveedor de alojamiento haya actualizado PHP.
Hay algo importante que conviene entender: actualizar WordPress o sus plugins no significa necesariamente que PHP también se haya actualizado.
Son componentes diferentes. WordPress es el programa que gestiona la página y PHP es una de las tecnologías que permiten ejecutarlo.
Por eso, aunque tengamos WordPress completamente actualizado, el servidor podría seguir utilizando una versión vulnerable de PHP.
En muchos alojamientos, las actualizaciones de seguridad de PHP son responsabilidad del proveedor de hosting. Si tienes dudas, puedes consultar con él.
¿Qué ocurre con las páginas que necesitan versiones antiguas de PHP?
Existe otro problema bastante habitual: muchas páginas web antiguas utilizan versiones de PHP que ya no reciben actualizaciones oficiales.
Por ejemplo, una aplicación desarrollada hace muchos años puede necesitar PHP 5.6 o PHP 7.4 para funcionar correctamente. Si se cambia directamente a una versión moderna, es posible que aparezcan errores o que algunas funciones dejen de funcionar.
La solución ideal es actualizar la aplicación para que sea compatible con una versión de PHP que todavía tenga soporte oficial. Sin embargo, esto no siempre puede hacerse inmediatamente, especialmente en proyectos antiguos o desarrollos a medida.
El repositorio de Ondřej Surý: una alternativa para sistemas antiguos
En servidores que utilizan Linux, especialmente Debian y Ubuntu, existe un repositorio de software muy conocido mantenido por Ondřej Surý, desarrollador de Debian y colaborador con una larga trayectoria en el mantenimiento de paquetes de PHP.
Un repositorio es, de forma sencilla, una fuente desde la que un sistema operativo puede descargar e instalar programas y sus actualizaciones.
Este repositorio permite instalar diferentes versiones de PHP, incluso algunas que ya han dejado de recibir soporte oficial por parte del proyecto.
Una de sus ventajas es que determinadas versiones antiguas pueden recibir correcciones de seguridad incorporadas directamente a los paquetes, sin necesidad de cambiar inmediatamente a una versión más moderna.
De hecho, con motivo de las vulnerabilidades descubiertas en octubre de 2026, se publicaron paquetes corregidos para varias ramas antiguas de PHP, incluidas versiones de PHP 5.6, 7.4, 8.0 y 8.1.
Esto puede ayudar a los administradores de servidores a mantener temporalmente aplicaciones antiguas mientras preparan su actualización.
Sin embargo, hay una diferencia importante: que una versión antigua reciba determinados parches de seguridad no significa que vuelva a tener soporte oficial ni que estén corregidas todas sus vulnerabilidades.
Por tanto, este tipo de repositorios puede ser una solución temporal, pero no debería utilizarse como excusa para mantener indefinidamente software obsoleto.
Además, su instalación y mantenimiento deben realizarse por personas con conocimientos de administración de servidores, comprobando siempre qué actualizaciones están realmente disponibles para cada versión.
Más información: Repositorio de PHP de Ondřej Surý.
¿Significa esto que PHP es inseguro?
No. Que se descubran vulnerabilidades no significa que una tecnología sea necesariamente insegura.
Los fallos de seguridad pueden aparecer en prácticamente cualquier programa, sistema operativo o lenguaje de programación.
Lo importante es que se investiguen, se publiquen las correcciones y se instalen las actualizaciones correspondientes.
PHP lleva más de 30 años formando parte de Internet y continúa siendo una tecnología fundamental para millones de proyectos.
La importancia de mantener una web actualizada
Este incidente nos recuerda algo que muchas veces pasa desapercibido: una página web necesita mantenimiento, aunque aparentemente funcione perfectamente.
Detrás de cada web hay diferentes componentes que deben mantenerse al día: el servidor, el lenguaje de programación, el gestor de contenidos, sus extensiones y otros programas.
Una web puede seguir funcionando con software antiguo durante años, pero eso no significa que esté protegida frente a los problemas de seguridad que se descubren con el tiempo.
La mejor protección es mantener el software actualizado, realizar copias de seguridad y contar con un alojamiento que aplique las correcciones de seguridad.
Y, sobre todo, recordar que la seguridad de una página web no depende únicamente de lo que vemos en pantalla, sino también de toda la tecnología que trabaja detrás.
Deja tu comentario
Comentarios
Aún no hay comentarios publicados.