Vulnerabilidad PHP: actualiza hoy, WordPress no basta

Dos vulnerabilidades críticas en PHP permiten ejecutar código a distancia en un servidor sin necesidad de iniciar sesión. El proyecto PHP publicó el 21 de octubre de 2026 las versiones corregidas y pide actualizar de inmediato, mientras varios gobiernos europeos apagaban webs por precaución. Si cuidas un sitio en PHP, actualizar WordPress no te protege.

Dos fallas críticas que no se tapan actualizando WordPress

El 21 de octubre de 2026, el proyecto PHP liberó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para cerrar dos vulnerabilidades que permiten la ejecución remota de código sin autenticación. El aviso oficial en php.net se titula, sin rodeos, "actualiza ahora". La calificación es de 9.2 sobre 10 (CVSS v4.0): gravedad crítica, aunque con una complejidad de ataque alta.

El punto que más confusión genera es este: no es un fallo de WordPress. Como aclaró WordPress.org, las fallas afectan a cualquier servidor que ejecute una aplicación en PHP, y no habrá —ni hace falta— una actualización de WordPress por esto. El riesgo mayor está en las configuraciones con mod_php, donde una petición maliciosa puede atacar antes incluso de que corra el código de la aplicación. En términos simples: las dos fallas tienen que ver con cómo PHP maneja ciertos errores de memoria durante una petición, y pueden dejar al servidor en un estado inseguro que un atacante aprovecha para ejecutar instrucciones no autorizadas.

Cómo saber en un minuto qué PHP corre tu sitio

Si usas WordPress, la versión de PHP aparece en Herramientas › Salud del sitio › Información › Servidor. Es el primer dato que conviene mirar, porque de ahí depende todo lo demás.

Casi la mitad de los sitios con PHP se quedó sin parche oficial

Aquí está la mala noticia. Según W3Techs, PHP 8.1 y las versiones anteriores ya no reciben actualizaciones del proyecto. Y el parque instalado es enorme: la versión 7 todavía mueve el 27 % de los sitios con PHP y la 5, un 7,7 %. En el mundo WordPress, el 36,4 % de los sitios corre 8.1 o anterior. Por si fuera poco, PHP 8.2 pierde el soporte de seguridad el 31 de diciembre de 2026.

¿De verdad "medio internet"? Lo que medimos

Se repitió mucho que PHP mueve el 70 % de la web. El dato real, de W3Techs (21 de octubre), es 69,3 %… pero de los sitios cuyo lenguaje de servidor se conoce, no de todo internet. Y hay matices que importan: Facebook migró casi todo su PHP a Hack sobre HHVM, y Slack hizo lo mismo, así que no están entre los afectados; Wikipedia, en cambio, sí corre PHP (8.3, una rama con parche).

En nuestra propia comprobación, en contenedores aislados, la imagen oficial parchada ya reporta 8.3.36; pero un Ubuntu 24.04 recién actualizado sigue mostrando 8.3.6 pese a estar corregido por la distribución. Por eso un verificador que solo mira el número de versión llega a marcar como "vulnerable" un sistema que en realidad ya tiene el parche: el número no cuenta toda la historia.

Qué hacer hoy según dónde vive tu sitio

• Hosting administrado: Automattic confirmó que WordPress.com, WordPress VIP, WP Cloud, Pressable y Tumblr ya están protegidos.
• Debian: corregido en bookworm (8.2.35) y trixie (8.4.27).
• Ubuntu: 24.04 corregida en 8.3.6-0ubuntu0.24.04.13; 22.04 en 8.1.2-1ubuntu2.28; versiones más viejas solo con Ubuntu Pro.
• Red Hat (RHEL 9 y 10) y Amazon Linux 2023: seguían sin parche al momento de la consulta.
• Docker: las imágenes oficiales de PHP con el parche ya están publicadas.
• PHP 8.1 o anterior: el CSIRT Nacional de Chile recomienda migrar o pedir parches al proveedor.

Entre la amenaza real y el ruido

¿Hay ataques? Cloudflare detectó tráfico de ataque contra sus clientes y atacantes que cambiaban la carga para saltarse sus reglas; watchTowr observa intentos reales. Pero hasta ahora nadie ha confirmado una intrusión exitosa: ni CISA ni Sophos habían visto explotación activa al publicar sus avisos. Aun así, CISA y el NCSC del Reino Unido llegaron a recomendar desconectar los sistemas que no se puedan actualizar a tiempo, y en Europa se apagaron por precaución servicios tan sensibles como DigiD en Países Bajos o el portal tributario de Francia.

Un detalle que dice mucho del momento que vivimos: la falla la encontró un investigador con ayuda de un modelo de inteligencia artificial (GPT-5.6 Sol, según OpenAI)… la misma falla que la fundación PHP ya había detectado en una auditoría en 2024, cuando el arreglo se trabó. La conclusión práctica es sencilla y la repite php.net: solo actualizar es una solución completa; un firewall de aplicaciones web ayuda a ganar tiempo, pero no deja segura la instalación.