Italiano
English
Deutsch
Español
Français
Polski
Português
Noticias 5 min de lectura
Alerta de seguridad en PHP: dos vulnerabilidades críticas ponen en riesgo páginas web y servidores. Actualizaciones urgentes
Se han descubierto dos graves problemas de seguridad que pueden permitir a los hackers tomar el control de los servidores sin conocer ninguna contraseña. Se han publicado las correcciones oficiales: quienes gestionen páginas web, tiendas online (e-commerce) y aplicaciones PHP deben actuar de inmediato.
El 21 de octubre de 2026 se emitió una importante alerta de seguridad informática que afecta a PHP, uno de los lenguajes de programación más utilizados del mundo para el desarrollo de páginas web y aplicaciones online.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, se han clasificado como críticas y pueden permitir la ejecución remota de código (Remote Code Execution, RCE) sin necesidad de autenticación.
En términos prácticos, un atacante podría aprovechar estas brechas para comprometer un servidor vulnerable, ejecutar comandos no autorizados, acceder a información confidencial o instalar software malicioso.
La gravedad de la situación ha llevado a la publicación de avisos por parte de importantes organismos nacionales e internacionales de ciberseguridad, entre ellos el National Cyber Security Centre (NCSC) británico y el CERT-AGID italiano.
¿Qué páginas web y aplicaciones están en riesgo?
Las vulnerabilidades afectan directamente a PHP y no a un CMS o producto de software en particular.
En consecuencia, pueden verse afectadas las páginas web y aplicaciones basadas en:
WordPress y WooCommerce, utilizados para páginas web corporativas, portales y tiendas online.
PrestaShop, una de las plataformas más extendidas para el comercio electrónico.
Joomla y Drupal, empleados en la gestión de contenidos y portales.
XenForo, software dedicado a la creación de foros y comunidades.
Laravel y aplicaciones PHP personalizadas, utilizados para sistemas de gestión, plataformas empresariales y servicios online.
El problema también puede afectar a infraestructuras que utilizan Apache, Nginx con PHP-FPM, LiteSpeed y otras configuraciones de ejecución de PHP.
Atención: actualizar WordPress, PrestaShop u otro CMS no es suficiente. La vulnerabilidad afecta al motor PHP instalado en el servidor, que debe actualizarse o corregirse directamente.
¿Qué versiones de PHP deben actualizarse?
El equipo oficial de PHP publicó el 21 de octubre de 2026 cuatro nuevas versiones que corrigen las vulnerabilidades:
Rama de PHP | Versión corregida |
|---|---|
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
Las instalaciones que utilizan PHP 8.1 o versiones anteriores también requieren especial atención, ya que se trata de ramas que ya no cuentan con soporte oficial.
Algunas distribuciones de Linux y algunos proveedores de servicios pueden distribuir correcciones de seguridad mediante paquetes específicos, sin modificar necesariamente el número de la versión principal. Por ello, es importante comprobar que los parches se han aplicado realmente, en lugar de limitarse a consultar el número de versión que aparece en el panel de hosting.
El riesgo no es solo teórico: ya hay herramientas disponibles para explotar las vulnerabilidades
La situación es especialmente delicada porque ya se han hecho públicas herramientas de demostración y técnicas para explotar las vulnerabilidades.
Las autoridades de ciberseguridad han advertido del riesgo de ataques a los sistemas expuestos a Internet y, en algunos casos, de noticias sobre intentos de explotación ya en curso.
La existencia de exploits públicos aumenta la posibilidad de que incluso atacantes con conocimientos técnicos limitados intenten comprometer sistemas sin actualizar.
Un servidor vulnerable podría utilizarse para sustraer datos, comprometer las páginas web alojadas, modificar contenidos, instalar backdoors o llevar a cabo otras actividades maliciosas, según la configuración y los privilegios disponibles.
¿Qué deben hacer de inmediato las empresas y los administradores de páginas web?
La prioridad es comprobar la versión de PHP utilizada y asegurarse de que se han instalado las correcciones de seguridad.
Además, conviene:
Revisar todas las páginas web y los servicios PHP, incluidos los alojados en servidores dedicados, VPS y hosting compartido.
Aplicar las actualizaciones de seguridad, comprobando previamente la compatibilidad de las aplicaciones.
Revisar los registros del sistema y los accesos, para detectar posibles actividades sospechosas.
Comprobar la integridad de archivos, aplicaciones y configuraciones, descartando la presencia de modificaciones no autorizadas.
Revisar la seguridad de los datos y de las copias de seguridad, sobre todo si contienen información personal, comercial o confidencial.
Es fundamental subrayar que la instalación de una actualización no garantiza que un servidor que antes era vulnerable no haya sido ya comprometido.
Cuando existan indicios de un ataque, es necesario realizar también un análisis de seguridad orientado a detectar posibles accesos no autorizados, modificaciones de archivos y mecanismos de persistencia.
Leonardo Network: asistencia para actualizaciones urgentes y comprobaciones de seguridad
Leonardo Network S.r.l. pone a su disposición su experiencia en desarrollo de software, administración de servidores y ciberseguridad para asistir a empresas y profesionales en la gestión de esta emergencia.
Podemos intervenir en páginas web, tiendas online, aplicaciones personalizadas e infraestructuras de servidores para llevar a cabo:
Comprobación de las vulnerabilidades y de las versiones de PHP instaladas.
Actualización y aplicación de parches de seguridad, con comprobaciones de compatibilidad.
Análisis de servidores y aplicaciones potencialmente comprometidos, mediante revisiones técnicas y análisis de los logs disponibles.
Búsqueda de malware, backdoors y modificaciones no autorizadas.
Limpieza y restauración de los sistemas comprometidos, según las condiciones detectadas.
Securización y refuerzo de las infraestructuras, para reducir el riesgo de nuevos ataques.
¿Tiene una página web o un servidor PHP? Contacte con nosotros ahora mismo.
Si no sabe qué versión de PHP utiliza su página web, no consigue aplicar las actualizaciones o sospecha que su servidor ya ha sufrido una intrusión, contacte con Leonardo Network para solicitar una revisión técnica y una intervención de seguridad.
No espere a que un problema de seguridad se convierta en una interrupción de los servicios, una pérdida de datos o un compromiso de la infraestructura de su empresa.
