El pasado miércoles 21 de octubre de 2026 el proyecto PHP publicó actualizaciones de seguridad urgentes para corregir varias vulnerabilidades críticas en el núcleo del lenguaje. Ese mismo día el INCIBE-CERT emitió el aviso «Múltiples vulnerabilidades en PHP» con importancia 5 sobre 5 (crítica).
Como varios clientes nos habéis preguntado, os resumimos qué ha pasado y, sobre todo, qué hemos hecho en UNIKA para proteger vuestras webs.
Qué hemos hecho en UNIKA
- Miércoles 21 por la mañana: nuestros proveedores nos enviaron una alerta temprana y empezamos a revisar todos nuestros servidores.
- Miércoles 21 por la tarde y jueves 22: en cuanto estuvieron disponibles las versiones corregidas, actualizamos todos nuestros servidores VPS, los paneles Plesk y las versiones de PHP.
- Al día siguiente del aviso todos los servidores que gestionamos estaban actualizados y parcheados.
Si tu web o tu tienda online está alojada con nosotros, no tienes que hacer nada. Ya está funcionando con versiones de PHP que corrigen estas vulnerabilidades.
Qué ha pasado
PHP es el lenguaje con el que funcionan WordPress, WooCommerce y la gran mayoría de webs. Se han descubierto dos fallos graves en su núcleo que permitirían a un atacante, sin necesidad de usuario ni contraseña, ejecutar código en el servidor con los permisos de la web. Ambos tienen una puntuación de gravedad de 9,2 sobre 10 (CVSS v4.0), y se han comunicado ataques contra servidores PHP incluso antes de que salieran los parches.
Días después se añadió un tercer fallo relacionado, que solo afecta a una combinación poco habitual de configuración y código. Los identificadores son CVE-2026-109618, CVE-2026-109619 y CVE-2026-115560.
Versiones afectadas y versiones corregidas
| Rama de PHP | Afectadas | Versión corregida |
|---|---|---|
| PHP 8.5 | anteriores a 8.5.12 | 8.5.12 o superior |
| PHP 8.4 | anteriores a 8.4.27 | 8.4.27 o superior |
| PHP 8.3 | anteriores a 8.3.36 | 8.3.36 o superior |
| PHP 8.2 | anteriores a 8.2.35 | 8.2.35 o superior |
| PHP 8.1, 8.0 y 7.4 | sin soporte oficial | parches retroportados o migrar a una versión mantenida |
¿Y si mi web no está alojada con UNIKA?
- Pregunta a tu proveedor de hosting si ya ha aplicado las actualizaciones de PHP de octubre de 2026.
- Comprueba que tu web usa una de las versiones corregidas de la tabla anterior.
- Si todavía funciona con PHP 8.1 o anterior, es el momento de actualizar: esas versiones ya no reciben mantenimiento regular.
Si tienes cualquier duda o quieres que revisemos tu web, contacta con nosotros y te ayudamos.
Fuente: aviso del INCIBE-CERT «Múltiples vulnerabilidades en PHP» (21/10/2026, actualizado el 26/10/2026).