En los últimos días se han detectado dos vulnerabilidades críticas en PHP que, debido a su uso tan extendido, tenían el potencial de afectar a un gran número de proyectos.
Tabla de contenidos
- 1 ¿Qué ha ocurrido exactamente?
- 2 ¿Por qué estas vulnerabilidades eran especialmente importantes?
- 3 ¿Qué se puede hacer cuando todavía no existe un parche?
- 4 El papel del firewall de aplicaciones mientras llegaba la actualización
- 5 De la mitigación al parche definitivo
- 6 ¿Qué significa esto para una web alojada en Webempresa?
- 7 Seguridad: mucho más que instalar un parche
¿Qué ha ocurrido exactamente?
El equipo de seguridad de PHP anunció la existencia de dos vulnerabilidades críticas en el núcleo del lenguaje:
- CVE-2026-109618
- CVE-2026-109619
Ambas recibieron una puntuación CVSS 9,2 sobre 10, lo que las sitúa dentro de la categoría de vulnerabilidades críticas. En determinadas condiciones, un atacante podía aprovechar la vulnerabilidad para ejecutar código en el servidor sin necesidad de tener una cuenta o acceso previo a la web.
Aunque las webs de nuestros clientes podían verse potencialmente expuestas por utilizar PHP, los propietarios de las webs no tuvieron que realizar ninguna acción específica para corregir estas vulnerabilidades, ya que las actualizaciones necesarias se aplicaron directamente sobre nuestra infraestructura de hosting.
¿Por qué estas vulnerabilidades eran especialmente importantes?
Hay varias razones.
La primera es simplemente la enorme implantación de PHP. Es una tecnología fundamental para plataformas como WordPress, pero también para muchos otros CMS, aplicaciones y desarrollos web.
La segunda es que las vulnerabilidades estaban en PHP Core, no en WordPress ni en un determinado plugin o tema.
Eso significa que mantener WordPress, los plugins y los temas correctamente actualizados —algo que sigue siendo fundamental— no solucionaba este problema concreto.
La vulnerabilidad se encontraba en una capa inferior de la tecnología sobre la que funciona la aplicación.
Y la tercera razón es especialmente importante: potencialmente podían explotarse sin autenticación previa.
Por eso la respuesta tenía que producirse a nivel de infraestructura.
¿Qué se puede hacer cuando todavía no existe un parche?
Aquí es donde un buen equipo de seguridad marca realmente la diferencia: cuando todavía no existe una solución definitiva y hay que reaccionar rápido para reducir la exposición y proteger los sistemas.
Cuando se conoció la existencia de las vulnerabilidades, las versiones corregidas de PHP todavía no estaban disponibles.
PHP informó públicamente el 20 de octubre de 2026 de que había dos vulnerabilidades críticas y anunció que publicaría una actualización de seguridad al día siguiente.
La vigilancia de nuevas vulnerabilidades forma parte del trabajo diario de nuestro equipo de seguridad y en cuanto se conocieron estos fallos en PHP, activamos medidas de mitigación para reducir el riesgo mientras llegaban los parches oficiales.
Estas medidas ayudaban a reducir algunas de las vías de ataque conocidas, pero no eliminaban por completo el riesgo ni sustituían al parche.
Por eso, durante ese periodo, la protección no dependía solo de aplicar una medida concreta, sino de combinar mitigación y monitorización constante: reducir la exposición por un lado y, al mismo tiempo, vigilar de cerca cualquier comportamiento anómalo o nueva información sobre posibles formas de explotación.
El papel del firewall de aplicaciones mientras llegaba la actualización
Otra capa de protección importante fue actuar antes de que las peticiones llegasen a PHP, utilizando un Web Application Firewall (WAF).
Nuestros servidores tienen incorporado el servicio de Imunify360, que añade una capa de seguridad activa delante de las webs y del propio PHP. No evita que exista una vulnerabilidad en PHP, pero puede ayudar a detectar y bloquear intentos de explotación conocidos antes de que lleguen al componente vulnerable.
Contar con una capa de protección como esta es especialmente importante en situaciones de este tipo, porque permite aplicar rápidamente nuevas reglas de seguridad para detectar y bloquear patrones de ataque conocidos mientras se prepara y despliega la actualización definitiva. No sustituye al parche, pero añade una barrera adicional y reduce la exposición durante ese periodo crítico.
En otras palabras, aporta tiempo y una barrera adicional en ese periodo de tiempo que transcurre entre “sabemos que existe el problema” y “ya está desplegada la corrección definitiva”.
Este tipo de protección por capas es clave en hosting: no depende de una única medida, sino de combinar monitorización, WAF, mitigaciones y actualizaciones para reducir el riesgo en cada momento.
De la mitigación al parche definitivo
El 21 de octubre se publicaron finalmente las versiones corregidas de PHP.
A partir de ese momento comenzó la segunda fase de la respuesta: aplicar las correcciones definitivas para solucionar las vulnerabilidades, manteniendo las medidas de protección habituales de nuestra infraestructura.
Cuando PHP publica una nueva actualización de seguridad, esta debe adaptarse y prepararse para que pueda instalarse en los distintos sistemas operativos y entornos de servidor. Por este motivo, las actualizaciones no siempre están disponibles de forma inmediata después de su publicación oficial.
En Webempresa utilizamos versiones de PHP proporcionadas por CloudLinux, que adapta las correcciones de seguridad a nuestros entornos de servidor. Este proceso permite incorporar los parches necesarios tanto a las versiones actuales como a las versiones antiguas de PHP, incluso cuando estas últimas ya no reciben actualizaciones oficiales.
Gracias a este sistema, podemos aplicar correcciones de seguridad a todas las versiones de PHP utilizadas por nuestros clientes, sin necesidad de cambiar la versión que utilizan sus webs. Esto significa que una versión de PHP puede contar con las últimas correcciones de seguridad aunque su número de versión no coincida exactamente con el publicado por el equipo oficial de PHP.
En cuanto estuvieron disponibles los parches y paquetes necesarios, iniciamos su despliegue en nuestra infraestructura.
En un entorno de hosting, aplicar una actualización crítica no consiste únicamente en instalar un paquete.
También hay que comprobar que:
- la versión corregida se distribuye correctamente;
- los diferentes entornos reciben la actualización;
- los servicios PHP continúan funcionando correctamente;
- no aparecen incompatibilidades o errores inesperados;
- y las webs alojadas continúan operando con normalidad.
Actualmente, las correcciones de seguridad necesarias para solucionar estas vulnerabilidades ya están aplicadas en toda nuestra infraestructura de hosting.
¿Qué significa esto para una web alojada en Webempresa?
En este incidente, hemos mantenido nuestros servicios 100% operativos, sin ninguna interrupción, y nuestros clientes no han tenido que realizar ninguna acción específica. Desde Webempresa nos hemos encargado de proteger la infraestructura antes, durante y después de la publicación de los parches: aplicando medidas preventivas, monitorizando la situación y desplegando las actualizaciones necesarias.
Aunque aplicamos actualizaciones y parches de seguridad en nuestros servidores para proteger los servicios de todos nuestros clientes, mantener PHP actualizado a una versión con soporte oficial sigue siendo una de las principales recomendaciones para mejorar la seguridad, el rendimiento y la compatibilidad de tu web.
Si utilizas una versión antigua de PHP, debes actualizarla a una versión con soporte oficial lo antes posible. Antes de hacerlo, comprueba que tu web, sus plugins, temas y aplicaciones sean compatibles con la nueva versión.
Si tu página web todavía necesita utilizar una versión antigua de PHP, disponemos del servicio PHP Legacy Addon, que permite seguir utilizando versiones sin soporte oficial.
La seguridad de una página web es una responsabilidad compartida entre el proveedor de hosting y el usuario. Nosotros nos encargamos de proteger la infraestructura y mantener nuestros servidores seguros, pero también es fundamental que cada cliente mantenga su web actualizada y siga buenas prácticas de seguridad: utilizar versiones de PHP con soporte oficial, mantener al día WordPress, sus temas y plugins, y proteger adecuadamente las credenciales de acceso.
¿Cómo informamos a nuestros clientes durante una incidencia de seguridad?
La comunicación durante una incidencia de seguridad requiere especial cuidado. Es importante ofrecer información clara, transparente y actualizada, pero también asegurarse de que sea rigurosa y tenga en cuenta las circunstancias particulares de cada servicio.
Durante esta situación, nuestro equipo de soporte ha seguido disponible las 24 horas del día, atendiendo las consultas de nuestros clientes a través de los canales habituales y ofreciendo respuestas adaptadas a cada caso.
Para mantener informados a todos nuestros clientes, publicamos un aviso en el área de cliente y un artículo de acceso público en nuestras Guías de Cliente, donde explicamos lo ocurrido y compartimos información actualizada sobre las medidas y los trabajos realizados en Webempresa para hacer frente a estas vulnerabilidades.
De esta forma, cualquier usuario puede consultar la información general sobre la situación, mientras que las consultas relacionadas con un servicio concreto se atienden a través de nuestros canales de soporte. Esto nos permite revisar las particularidades de cada caso, ofrecer respuestas precisas y proteger la privacidad de nuestros clientes, evitando interpretaciones erróneas o información que pueda no ajustarse a su situación.
Seguridad: mucho más que instalar un parche
La seguridad de una infraestructura de hosting no depende únicamente de reaccionar ante las vulnerabilidades conocidas, sino de trabajar continuamente para prevenir y reducir los riesgos. Por eso, en Webempresa combinamos la monitorización constante de nuestros sistemas, las herramientas de protección y la aplicación de actualizaciones de seguridad para anticiparnos a posibles amenazas y actuar con rapidez cuando es necesario.
Este incidente es un ejemplo de la importancia de contar con una estrategia de seguridad preventiva y con un equipo especializado. Nuestro trabajo no termina cuando se aplica un parche: seguimos supervisando nuestros sistemas, evaluando posibles riesgos y mejorando las medidas de protección para ofrecer a nuestros clientes un entorno de hosting seguro y fiable.
Y recuerda que nuestro equipo de soporte está siempre a tu disposición, las 24 horas del día, los 7 días de la semana, a través de nuestro sistema de tickets, para resolver cualquier duda y ofrecerte ayuda personalizada sobre tu servicio.
¿Te ha resultado útil este artículo?
Profesional del marketing digital y la comunicación, especializada en la creación de contenidos digitales. Me apasiona transformar ideas complejas en mensajes claros, cercanos y capaces de conectar con las personas.
