El 21 de octubre, el equipo de PHP publicó actualizaciones para corregir dos vulnerabilidades críticas que permitían a un atacante ejecutar código en un servidor sin necesidad de autenticarse. La respuesta fue inusual por lo coordinada. El Centro Nacional de Ciberseguridad del Reino Unido y la Agencia de Seguridad Nacional de Estados Unidos recomendaron actualizar de inmediato, y varios gobiernos europeos desconectaron servicios digitales mientras aplicaban el parche.
La alerta deja sobre la mesa una pregunta incómoda. ¿Cuándo fue la última vez que alguien revisó la seguridad de tu página web?
En Lujhon actuamos el mismo día. Todas las webs que alojamos quedaron actualizadas a la versión corregida, así que nuestros clientes no estuvieron expuestos en ningún momento.
PHP no suele ser algo en lo que pienses cuando administras tu web, pero es una parte fundamental de su funcionamiento. WordPress usa este lenguaje para ejecutar sus funciones, procesar información y mostrar contenido. Por eso actualizar PHP en WordPress no es solo una cuestión de rendimiento, también es una medida para mantener tu web protegida.
Qué pasó con PHP el 21 de octubre
El proyecto PHP publicó dos actualizaciones de seguridad para corregir las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas en conjunto como PHP2Shell. Ambas recibieron una puntuación CVSS de 9,2 sobre 10, que corresponde a gravedad crítica.
En qué consistía el problema. Bajo determinadas condiciones, un atacante remoto sin cuenta ni contraseña podía aprovechar estos fallos para ejecutar código en un servidor vulnerable. Eso puede comprometer la información almacenada, afectar el funcionamiento de la web o abrir la puerta a otras acciones maliciosas.
Hay un detalle que explica por qué se enteró todo el mundo al mismo tiempo. Los fallos llevaban años en el código sin que nadie los detectara, y los encontró una inteligencia artificial revisando el código, no un atacante. Por eso hubo tiempo de preparar la corrección antes de hacerla pública.
El riesgo no se limitaba a WordPress. Cualquier aplicación que use una instalación de PHP afectada para atender solicitudes web podía estar expuesta.
Para corregir los fallos, el proyecto publicó estas versiones.
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Si tu servidor usa una de estas ramas, necesitas comprobar que tiene la actualización correspondiente. No basta con saber que tienes PHP 8.3, también hay que revisar el número completo de la versión.
¿PHP sigue siendo importante para WordPress?
Sí. PHP es el lenguaje que permite que WordPress ejecute buena parte de sus funciones. Cuando alguien visita una página, abre una entrada del blog o compra en tu tienda de WooCommerce, PHP participa en el procesamiento que hace posible esa experiencia.
Es parte de la infraestructura que pasa desapercibida mientras todo funciona bien. Mantenerlo actualizado importa por dos motivos.
Seguridad. Las nuevas versiones corrigen vulnerabilidades que podrían comprometer el servidor o las aplicaciones que aloja.
Compatibilidad. WordPress, los temas y los plugins evolucionan. Usar versiones antiguas de PHP puede provocar errores y limitar las actualizaciones disponibles para tu web.
Esto no significa que debas cambiar de versión sin comprobar nada. Una actualización importante puede afectar componentes antiguos, así que conviene revisar la compatibilidad antes de hacer el cambio. Lo que no conviene es dejar pasar las actualizaciones indefinidamente por temor a que algo deje de funcionar. La salida es planificar el cambio y comprobar que todo responde bien después de aplicarlo.
Cómo saber qué versión de PHP usa tu WordPress
Antes de actualizar necesitas saber en qué versión estás. Puedes comprobarlo de tres maneras.
Desde el panel de WordPress
- Entra al administrador de tu página web.
- Ve a Herramientas y después a Salud del sitio.
- Abre la pestaña Información y despliega la sección Servidor.
- Busca el dato de la versión de PHP.
Es la forma más sencilla y no necesitas ninguna herramienta adicional.
Desde el panel de tu alojamiento web
Si tu proveedor usa Plesk, el panel permite consultar y configurar la versión de PHP de cada dominio por separado. Si usa cPanel, esa configuración suele estar en MultiPHP Manager, el mismo panel desde el que se gestionan los correos corporativos.
En los dos casos, la versión disponible y las opciones de actualización dependen de cómo esté configurado el servidor.
Preguntándole a tu proveedor de hosting
Si no encuentras la información o no tienes permisos para cambiarla, escríbele a tu proveedor. Pregúntale qué versión de PHP usa tu página, si ya tiene las correcciones de seguridad del 21 de octubre y si hace falta alguna actualización adicional.
Si tienes contratado soporte o mantenimiento, esto es parte de lo que pagas.
Qué pasa si tu web usa una versión antigua de PHP
No todas las versiones de PHP reciben soporte durante el mismo periodo. Cuando una rama llega al final de su ciclo de vida, deja de recibir las actualizaciones ordinarias de seguridad del proyecto.
Esta es la situación de cada rama.
| Versión | Qué comprobar |
|---|---|
| PHP 7.4, 8.0 y 8.1 | Están fuera del soporte ordinario. Consulta si existe un parche específico para tu distribución o proveedor, y planifica la migración |
| PHP 8.2 | La 8.2.35 corrige los fallos, pero el soporte de seguridad de esta rama termina el 31 de diciembre de 2026 |
| PHP 8.3 | La 8.3.36 corrige los fallos y la rama sigue dentro de su periodo de soporte |
| PHP 8.4 y 8.5 | Las versiones 8.4.27 y 8.5.12 incluyen las correcciones, y ambas ramas siguen con soporte |
Un matiz importante. Que una rama esté fuera de soporte no siempre significa que sea técnicamente imposible recibir una corrección. Algunos proveedores distribuyen parches específicos para versiones antiguas. Por eso hay que comprobar qué paquete está instalado y si la corrección está disponible en ese entorno.
Si tu web usa PHP 7.4, 8.0 u 8.1, no te limites a cambiar el número desde el panel. Revisa la compatibilidad de WordPress, del tema y de los plugins, y prepara la actualización a una rama con soporte cuando sea viable.
Y si usas PHP 8.2, conviene planificar la siguiente actualización antes de que termine su soporte.
Qué ganas al actualizar PHP en WordPress
La seguridad es la razón principal, pero no la única.
Mejor compatibilidad. Los desarrolladores actualizan sus temas y plugins para adaptarlos a las versiones actuales. Si mantienes PHP mucho tiempo sin actualizar, empiezan a aparecer incompatibilidades y pierdes acceso a funciones nuevas.
Posibles mejoras de rendimiento. Las versiones recientes de PHP suelen ser más rápidas y eficientes. El resultado real depende de la aplicación, del código, de los plugins y de la configuración del servidor, así que no existe un porcentaje de mejora que aplique a todas las webs por igual.
Menos problemas de mantenimiento. Trabajar con versiones que todavía reciben soporte facilita aplicar correcciones y mantener una instalación compatible con las herramientas actuales.
En una web corporativa esto se traduce en una experiencia estable para quien la visita. En una tienda con WooCommerce hay que comprobar además que funcionen bien las fichas de producto, el carrito, el proceso de compra y las integraciones de pago.
Cómo actualizar PHP sin romper tu página web
Cambiar la versión de PHP puede tomar un par de minutos desde el panel. Lo que toma tiempo es prepararlo, y es lo que marca la diferencia entre un cambio tranquilo y un domingo apagando incendios.
1. Haz una copia de seguridad completa. Los archivos de WordPress y la base de datos. Comprueba que la copia se puede restaurar y, siempre que sea posible, guárdala fuera del servidor que vas a actualizar.
2. Revisa la compatibilidad. Confirma que tu versión de WordPress, el tema y los plugins funcionan con la versión de PHP a la que quieres migrar. Presta atención a los plugins antiguos, a las personalizaciones y a las integraciones externas.
3. Actualiza WordPress, los plugins y el tema. Hazlo antes de cambiar la versión de PHP. La mayoría de los errores vienen de un componente desactualizado, no de PHP.
4. Prueba el cambio en un entorno de pruebas, si lo tienes. Un entorno de staging permite verificar que todo funciona sin afectar a quien visita tu web. Si no dispones de uno, planifica el cambio con una copia de seguridad que sepas que se puede recuperar.
5. Comprueba la web después de actualizar. No te quedes en la portada. Revisa los formularios, el acceso al administrador, las funciones principales y, si vendes, el carrito y el proceso de compra.
Si aparece un error, revisa los registros del servidor para identificar qué componente lo está provocando antes de seguir cambiando cosas.
Si no administras el servidor o no tienes experiencia con esto, lo sensato es coordinar la actualización con tu proveedor de hosting o con quien lleve el mantenimiento de tu web.
Qué hacer ahora
Lo primero es comprobar qué versión de PHP usa tu WordPress y si tiene instaladas las correcciones del 21 de octubre.
Si estás en una versión antigua, no pospongas la revisión. Pregúntale a tu proveedor qué medidas aplicó y qué pasos hacen falta para dejar tu instalación segura y compatible.
Si tu web está alojada con nosotros, ya está protegida. Aplicamos la actualización el mismo día en todos los servidores, así que no tienes que hacer nada.
La seguridad tampoco depende de una sola actualización. Hay que mantener al día los demás componentes de la infraestructura y revisar periódicamente las aplicaciones alojadas.
Si no sabes en qué versión está tu web, si tu alojamiento necesita una revisión o si quieres saber cómo está tu página en general, podemos ayudarte.
Solicita un diagnóstico gratuito de tu presencia digital. Revisamos velocidad, visibilidad en Google, seguridad y la experiencia de quien visita tu web, y te decimos qué conviene mejorar.
