Descripción: Guía sencilla sobre PHP, cómo funciona una web, diferencias con SQL, riesgos de acceso y pasos para revisar y actualizar.
¿Internet dejará de funcionar a una hora concreta?
La fecha del 21 de octubre de 2026 a las 14:00 UTC no marcaba el fin de Internet: era la hora prevista de llegada de los parches de PHP. Los parches ya se han publicado. Para quienes administran sitios web, toca aplicarlos y comprobarlos, no seguir esperando.
Actualizar solo WordPress o reforzar la contraseña del panel no corrige necesariamente el PHP del servidor. Quien solo navega debe desconfiar de correos que exijan una supuesta verificación urgente.
¿Qué hace PHP? Imagina la trastienda de una tienda
PHP es un lenguaje que ejecuta tareas en el servidor de una web. Pulsas Comprar y el sistema puede revisar tu sesión, consultar existencias y precios, registrar el pedido y devolver una respuesta. WordPress, muchas tiendas y portales internos utilizan PHP. El cobro puede corresponder a un proveedor distinto. PHP trabaja detrás del mostrador.
¿Se puede ver PHP al pulsar F12?
En las herramientas del navegador, HTML describe la estructura, CSS el aspecto y JavaScript muchas interacciones. PHP se ejecuta en el servidor, así que el navegador normalmente recibe el resultado, no el código interno. Ves el plato, no la receta.
En Chrome: F12 → Network → recargar → petición del documento → Headers. Una cabecera X-Powered-By: PHP/... o una dirección acabada en .php son pistas, pero pueden ocultarse. F12 no demuestra si existe una vulnerabilidad.
| Tecnología | Para qué sirve |
|---|---|
| HTML / CSS | Estructura / estilo visual |
| JavaScript | Interacción del navegador y también servidores |
| PHP | Lógica del servidor, acceso a datos y sesiones |
| Python / Java / Go | Otros lenguajes que pueden crear aplicaciones web |
| SQL | Consultar o modificar bases de datos |
| P2P | Comunicación directa entre equipos, no un lenguaje |
SQL suele trabajar junto a PHP. No lo sustituye.
Lo confirmado y lo que aún no se sabe
Situación oficial al 22 de octubre de 2026: PHP publicó cuatro versiones corregidas para dos vulnerabilidades, cada una con una gravedad de 9,2/10 según CVSS v4.0. Esa cifra no es un 92 % de probabilidad de robo de datos.
| Rama PHP | Versión corregida |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
CVE-2026-109618 afecta a la gestión de la memoria cuando se agota; CVE-2026-109619, al estado interno que persiste indebidamente entre peticiones. Ambas pueden permitir ejecutar código remoto sin iniciar sesión en determinadas condiciones. En Apache mod_php se ha demostrado un ataque incluso antes de que se ejecute el código de la aplicación. También deben revisarse PHP-FPM y otros entornos web.
PHP ya no ofrece soporte ordinario a 8.1 y versiones anteriores. Algunos proveedores de sistemas operativos y soporte prolongado incorporan los arreglos a versiones antiguas; el proyecto publicó además parches excepcionales de código fuente para 7.4, 8.0 y 8.1. Hay que consultar al proveedor, no fiarse únicamente del número que muestra el servidor. PHP 8.2 dejará de recibir soporte el 31 de diciembre de 2026.
La historia tiene un giro: los indicios del primer fallo aparecieron ya en 2024. La PHP Foundation reconoce que las dificultades técnicas y los recursos limitados retrasaron la solución. Demostrar que una vulnerabilidad puede explotarse no significa que todos los sitios hayan sido atacados. En la divulgación oficial, la fundación no había identificado pruebas de concepto funcionales entre las que circulaban; esto no garantiza que no aparezcan después.
Saltarse una contraseña no es lo mismo que ejecutar órdenes en el servidor
Eludir el inicio de sesión supone engañar al control de identidad. La ejecución remota de código (RCE) consiste en provocar que el servidor ejecute instrucciones no autorizadas. PHP ya confirmó que ambas vulnerabilidades pueden facilitar RCE sin autenticación bajo condiciones concretas.
En Apache mod_php, el primer fallo se ha explotado en una demostración antes de que se ejecutara la aplicación. PHP-FPM también presenta escenarios dependientes del programa. El daño posible depende de los permisos de PHP, las bases de datos y el acceso a la red; no equivale a afirmar que todos los sitios sufrieron filtraciones.
Tabla de prioridad: web pública o red interna
| Situación | Urgencia | Motivo y medida |
|---|---|---|
| Pública, sin parche, muchos datos personales | Máxima | Se puede alcanzar desde fuera y una fuga sería grave: parchear, limitar acceso y conservar registros |
| Pública, sin parche, conectada a base interna | Máxima | Puede servir de entrada a la red privada: limitar permisos y conexiones, actualizar |
| Pública, sin parche, pocos datos sensibles | Alta | Riesgo de modificación o uso como puente: actualizar |
| Solo red interna, sin parche, datos importantes | Alta | Un equipo infectado o una VPN pueden abrir camino: parchear y revisar accesos |
| Solo red interna, sin parche, pocos datos | Media-alta | Posible avance hacia otros equipos: aislar y corregir |
| Corregida, con datos importantes | Investigar | Puede haber rastros de ataques anteriores |
| Sin PHP confirmado | Sin impacto directo | Revisar servicios auxiliares |
La exposición, el valor de los datos, los permisos de PHP, las conexiones internas y la ausencia del parche se suman. Una intranet no es una barrera mágica.
Cómo comprobar si tu web está afectada
Sigue este orden: dónde se usa PHP → versión que realmente atiende la web → lista oficial de versiones afectadas → parche instalado.
En WordPress: Herramientas → Salud del sitio → Información → Servidor. Actualizar WordPress o sus plugins no significa necesariamente haber actualizado PHP. Con alojamiento contratado, pregunta quién hará la actualización; con servidor propio, php -v muestra la versión de consola, que puede ser distinta de la utilizada en la web. Comprueba también PHP-FPM, contenedores y paquetes del sistema. No realices pruebas intrusivas en servidores ajenos.
¿Actualizar WordPress es suficiente?
Ya están disponibles PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Hay que actualizar el PHP del servidor, además de WordPress.
Una actualización de WordPress o sus extensiones no implica necesariamente que PHP se haya actualizado en el servidor. Consulta Herramientas → Salud del sitio → Información → Servidor. Con alojamiento gestionado, revisa los avisos del proveedor. Si administras tu servidor, identifica dónde se utiliza PHP y prepara copias de seguridad, una vía de recuperación y una persona responsable.
El parche ya está publicado: compara las versiones afectadas, sigue las instrucciones oficiales y comprueba el acceso, la publicación y los formularios. Cambiar la configuración de producción a ciegas sería una lotería especialmente cara.
Qué hacer antes y después de corregir
Ya están disponibles PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Hay que actualizar el PHP del servidor, además de WordPress.
Haz inventario de los servidores, designa responsables y prepara copias recuperables de datos, archivos y configuración. Ahora que la versión corregida está disponible, sigue las instrucciones del proyecto PHP o del proveedor, actualiza el entorno que sirve las páginas y reinicia lo necesario. Comprueba la versión real y prueba inicio de sesión, publicaciones, formularios, compras e integraciones.
Si no puedes actualizar, reduce accesos públicos y privilegios de base de datos; un cortafuegos web puede ayudar, pero no sustituye el parche. Bloquear una opción de subida de archivos tampoco demuestra que ambos fallos estén mitigados. En sistemas de alto impacto, considera detener o aislar temporalmente el servicio.
Ante sospechas de intrusión, conserva registros y pruebas, examina cuentas, archivos y comunicaciones anómalas y solicita asistencia técnica. Cambiar una cerradura no recupera los datos que ya se han llevado. La IA puede acelerar la búsqueda de objetivos, pero una alerta no significa que todas las webs hayan sido atacadas.
¿Y si la web no utiliza PHP?
Una web estática o un servicio JavaScript/TypeScript sin ejecutar PHP no está directamente expuesto a un fallo propio de PHP. Aun así, revisa servicios externos, herramientas de administración y otros equipos. Utilizar Cloudflare no demuestra que el servidor de origen esté corregido.
Pregúntate dónde se usa PHP, quién lo actualiza y cómo se comprobará después.
¿Qué debe hacer un visitante?
No puedes instalar parches en servidores ajenos. Si recibes un correo inesperado de «verificación urgente», abre la aplicación o la web oficial por tu cuenta en lugar de seguir sus enlaces.
Preguntas rápidas
¿Cambiar PHP por Python basta? Rehacer todo el sitio suele ser innecesario para resolver este fallo; aplica la corrección oficial.
¿Todo usuario debe cambiar ya la contraseña? No por esta noticia solamente. Si hay un aviso real de filtración, entra por la web oficial.
¿Cloudflare me protege del todo? Puede ayudar, pero no confirma que el servidor PHP esté corregido.
¿9,2 equivale al 92 % de probabilidad de sufrir un ataque? No, es una puntuación de gravedad.
¿Explotará Internet cuando llegue el parche?
La hora señalada no era una explosión de Internet, sino la entrega de repuestos para reparar el servidor. Ya están disponibles: corresponde identificar qué PHP atiende realmente la web, actualizarlo y verificar el resultado. Actualizar WordPress sin tocar PHP es como estrenar letrero y dejar la cerradura rota. Información actualizada el 21 de octubre de 2026, 16:26 UTC.
PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
PHP official support periods: https://www.php.net/supported-versions.php
PHP Security Advisory, 2026-10-21: https://www.php.net/archive/2026.php
PHP Foundation, background and disclosure, 2026-10-21: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
CVE-2026-109618 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
