Dos fallos críticos de PHP: cómo proteger tu web o tienda online
PHP corrige dos fallos críticos que afectan al servidor, no solo a WordPress. Qué revisar en tu hosting y cómo actualizar también si usas PrestaShop.
PHP ha publicado una actualización urgente para corregir dos fallos que pueden permitir ejecutar código en el servidor sin iniciar sesión. No son vulnerabilidades propias de WordPress: también pueden afectar a PrestaShop, aplicaciones Laravel y cualquier otra web ejecutada sobre un PHP vulnerable.
1. Qué está fallando
Los errores están en la gestión interna de memoria: uno aparece al manejar situaciones de memoria agotada; el otro permite reutilizar un estado interno cuya memoria ya se ha liberado. Una petición preparada podría aprovecharlos para ejecutar código. El aviso incluye PHP-FPM, mod_php y otros modos de ejecución; señala un riesgo especialmente alto con mod_php, incluso antes de que arranque la aplicación.
Actualizar el CMS o instalar un plugin de seguridad no corrige PHP. La reparación se aplica en el servidor.
2. Versiones que incorporan la corrección
- PHP 8.2 → 8.2.35.
- PHP 8.3 → 8.3.36.
- PHP 8.4 → 8.4.27.
- PHP 8.5 → 8.5.12.
Son las versiones publicadas el 21 de octubre. Algunas distribuciones aplican el parche sin cambiar a esa numeración: pide confirmación al proveedor. Si usas PHP 8.1 o anterior, confirma si dispone de un parche mantenido por tu proveedor o prepara la migración a una rama soportada.
3. Qué hacer hoy
- Comprueba el PHP de cada dominio en Plesk, cPanel o el panel de tu hosting. En WordPress también aparece en Herramientas → Salud del sitio → Información → Servidor. No des por hecho que todos tus dominios usan el mismo PHP.
- Pide al hosting que aplique los parches y confirme el reinicio de los procesos PHP. Puedes enviar: «¿Está el PHP de mi dominio corregido frente a CVE-2026-109618 y CVE-2026-109619? ¿Se han reiniciado sus procesos tras actualizar?».
- Actualiza dentro de tu rama compatible, con copia de seguridad, y comprueba acceso, formularios, subida de imágenes y, en una tienda, carrito y pago. Pasar de 8.2.34 a 8.2.35 no es lo mismo que saltar a 8.5: ese cambio requiere revisar compatibilidad del CMS y sus módulos.
Si no puedes actualizar de inmediato, pide al proveedor medidas temporales o aislamiento. Un WAF no sustituye el parche. No cambies límites de memoria copiando ajustes sueltos: la mitigación debe valorarla quien administra el servidor.