{"id":10203,"date":"2026-10-22T10:33:39","date_gmt":"2026-10-22T08:33:39","guid":{"rendered":"https:\/\/www.hostingtg.com\/blog\/?p=10203"},"modified":"2026-10-22T10:36:13","modified_gmt":"2026-10-22T08:36:13","slug":"vulnerabilidad-critica-en-php","status":"publish","type":"post","link":"https:\/\/www.hostingtg.com\/blog\/vulnerabilidad-critica-en-php\/","title":{"rendered":"Vulnerabilidad cr\u00edtica en PHP: qu\u00e9 servidores est\u00e1n afectados y c\u00f3mo proteger tu web"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">La aparici\u00f3n de una <strong>vulnerabilidad cr\u00edtica en PHP<\/strong> ha puesto en alerta a administradores de sistemas, proveedores de hosting y responsables de p\u00e1ginas web de todo el mundo. El 21 de octubre de 2026, el Centro Criptol\u00f3gico Nacional (CCN-CERT) public\u00f3 una alerta de seguridad advirtiendo de dos fallos graves que podr\u00edan permitir la ejecuci\u00f3n remota de c\u00f3digo en servidores vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las vulnerabilidades, identificadas como <strong>CVE-2026-109618 y CVE-2026-109619<\/strong>, han recibido una puntuaci\u00f3n de gravedad de 9,2 y afectan al propio int\u00e9rprete de PHP, una tecnolog\u00eda utilizada por millones de p\u00e1ginas web y aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y aqu\u00ed est\u00e1 precisamente el problema: <strong>tener WordPress, PrestaShop o cualquier otra aplicaci\u00f3n actualizada no garantiza que el servidor est\u00e9 protegido frente a estas vulnerabilidades<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Llevo m\u00e1s de dos d\u00e9cadas trabajando con servidores, administrando alojamientos web y resolviendo incidencias de seguridad. Si algo he aprendido durante todos estos a\u00f1os es que un servidor puede funcionar perfectamente y, aun as\u00ed, estar expuesto a problemas de seguridad importantes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG, empresa que fundamos en 2004, hemos actuado ante esta alerta actualizando nuestros servidores con los \u00faltimos parches de seguridad disponibles y revisando las versiones de PHP instaladas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En este art\u00edculo voy a explicar qu\u00e9 ha sucedido, qu\u00e9 versiones de PHP est\u00e1n afectadas, cu\u00e1les incorporan las correcciones y qu\u00e9 deber\u00edas comprobar para saber si tu p\u00e1gina web est\u00e1 realmente protegida.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Alerta por dos vulnerabilidades cr\u00edticas en PHP: qu\u00e9 ha ocurrido<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El 21 de octubre de 2026, el CCN-CERT public\u00f3 la alerta <strong>CCN-CERT AL 11\/26<\/strong>, clasificando como cr\u00edtico el riesgo asociado a dos vulnerabilidades descubiertas en PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La advertencia no afecta \u00fanicamente a p\u00e1ginas web con una determinada aplicaci\u00f3n o plugin. Estamos ante errores de seguridad en el propio entorno que ejecuta el c\u00f3digo PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto resulta especialmente preocupante porque PHP es una de las tecnolog\u00edas m\u00e1s utilizadas para desarrollar p\u00e1ginas web din\u00e1micas, tiendas online, plataformas de gesti\u00f3n y aplicaciones empresariales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">WordPress, <a href=\"https:\/\/www.hostingtg.com\/blog\/que-es-woocommerce\/\">WooCommerce<\/a>, <a href=\"https:\/\/www.hostingtg.com\/blog\/si-tienes-prestashop-necesitas-actualizar\/\">PrestaShop<\/a>, WHMCS y numerosos desarrollos personalizados dependen de PHP para funcionar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, un fallo en este componente puede afectar a servicios muy diferentes, incluso cuando sus aplicaciones est\u00e1n correctamente actualizadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El CCN-CERT recomienda identificar los sistemas afectados, aplicar inmediatamente las actualizaciones de seguridad y aislar los servicios expuestos a Internet que no sean indispensables cuando no sea posible corregir el problema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde mi punto de vista, esta recomendaci\u00f3n resume perfectamente c\u00f3mo debemos afrontar una alerta de estas caracter\u00edsticas: identificar, actualizar y comprobar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No basta con saber que existe una vulnerabilidad. Hay que verificar si afecta a nuestra infraestructura y tomar las medidas necesarias.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">La alerta del CCN-CERT del 21 de octubre de 2026<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El aviso oficial del Centro Criptol\u00f3gico Nacional tiene un mensaje claro: las organizaciones deben actuar cuanto antes para reducir su exposici\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La gravedad de estas vulnerabilidades est\u00e1 relacionada con la posibilidad de que un atacante pueda ejecutar c\u00f3digo de forma remota, bajo determinadas condiciones, sin disponer previamente de credenciales v\u00e1lidas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso no significa que cualquier p\u00e1gina web pueda ser comprometida autom\u00e1ticamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La explotaci\u00f3n depende de factores como la versi\u00f3n de PHP, la configuraci\u00f3n del servidor, el modo de ejecuci\u00f3n utilizado y las condiciones que hacen posible activar cada fallo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, cuando existe una vulnerabilidad conocida que puede comprometer un servidor, retrasar las actualizaciones supone asumir un riesgo innecesario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante a\u00f1os he visto c\u00f3mo algunas empresas posponen este tipo de intervenciones porque sus p\u00e1ginas web siguen funcionando correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El problema es que <strong>la ausencia de errores visibles no demuestra que un sistema sea seguro<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una web puede cargar r\u00e1pidamente, recibir pedidos y funcionar con total normalidad mientras utiliza componentes vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso considero fundamental prestar atenci\u00f3n a las alertas de seguridad incluso cuando aparentemente no sucede nada.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 son CVE-2026-109618 y CVE-2026-109619<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Las dos vulnerabilidades afectan a mecanismos internos de gesti\u00f3n de memoria y procesamiento de solicitudes de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque presentan diferencias t\u00e9cnicas, ambas pueden provocar situaciones peligrosas en sistemas vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-109618<\/strong> est\u00e1 relacionada con la gesti\u00f3n de errores cuando PHP se queda sin memoria durante el procesamiento de determinadas solicitudes. En esas circunstancias, algunos datos internos pueden quedar parcialmente inicializados y provocar un tratamiento incorrecto durante la limpieza de la solicitud.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-109619<\/strong> afecta al tratamiento de informaci\u00f3n interna asociada a solicitudes anteriores. Determinados datos pueden seguir siendo utilizados despu\u00e9s de que la memoria que los conten\u00eda haya sido liberada, provocando un comportamiento inseguro.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estos problemas pertenecen a una categor\u00eda de fallos de memoria especialmente delicada, porque pueden comprometer la integridad del proceso que ejecuta una aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La consecuencia m\u00e1s grave es la posibilidad de ejecuci\u00f3n remota de c\u00f3digo, conocida como RCE (<em>Remote Code Execution<\/em>).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En otras palabras, un atacante podr\u00eda llegar a ejecutar instrucciones no autorizadas dentro del contexto del proceso PHP vulnerable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El alcance real depender\u00e1 de los permisos de ese proceso, de las medidas de aislamiento y de la configuraci\u00f3n de seguridad del servidor.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Qu\u00e9 es PHP2Shell y por qu\u00e9 estos fallos son tan peligrosos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El t\u00e9rmino <strong>PHP2Shell<\/strong> se ha utilizado para identificar p\u00fablicamente esta alerta de seguridad relacionada con las dos vulnerabilidades cr\u00edticas del int\u00e9rprete PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque el nombre pueda recordar a determinadas t\u00e9cnicas de ataque contra p\u00e1ginas web, el aspecto realmente importante es que los fallos afectan a un componente situado por debajo de aplicaciones como WordPress o PrestaShop.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto cambia considerablemente la forma de afrontar el problema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando aparece una <a href=\"https:\/\/www.hostingtg.com\/blog\/vulnerabilidad-critica-en-elementor-pro-cve-2026-32475\/\">vulnerabilidad en un plugin<\/a>, normalmente podemos resolverla actualizando ese complemento, desactiv\u00e1ndolo temporalmente o sustituy\u00e9ndolo por otro.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando la vulnerabilidad afecta al int\u00e9rprete PHP, la soluci\u00f3n requiere intervenir sobre los paquetes y servicios del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y esa tarea no siempre est\u00e1 al alcance del propietario de una p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En <a href=\"https:\/\/www.hostingtg.com\/blog\/que-es-hosting-compartido\/\">alojamientos compartidos<\/a>, por ejemplo, suele ser el proveedor de hosting quien administra las versiones de PHP y distribuye las actualizaciones correspondientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso es tan importante <a href=\"https:\/\/www.hostingtg.com\/hosting-wordpress\/\">elegir un servicio de alojamiento que mantenga su infraestructura actualizada<\/a> y responda con rapidez cuando aparecen nuevas amenazas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">C\u00f3mo funciona la ejecuci\u00f3n remota de c\u00f3digo<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La ejecuci\u00f3n remota de c\u00f3digo permite que un atacante llegue a ejecutar instrucciones en un sistema vulnerable desde una ubicaci\u00f3n externa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No debemos confundir este concepto con el acceso normal de un usuario a una aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En condiciones habituales, un visitante solicita una p\u00e1gina y el servidor ejecuta \u00fanicamente las operaciones previstas por el desarrollador.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo puede alterar ese comportamiento y permitir acciones que nunca deber\u00edan estar disponibles para una persona no autorizada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dependiendo de c\u00f3mo est\u00e9 configurado el servidor, las consecuencias pueden incluir el acceso a archivos, la modificaci\u00f3n de informaci\u00f3n, la ejecuci\u00f3n de procesos o el compromiso de las aplicaciones alojadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso s\u00ed, conviene explicar algo importante: <strong>ejecutar c\u00f3digo mediante una vulnerabilidad no significa necesariamente obtener privilegios de administrador o controlar autom\u00e1ticamente todo el servidor<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El da\u00f1o potencial depende, entre otras cosas, de los permisos disponibles y del aislamiento existente entre usuarios, aplicaciones y servicios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Precisamente por eso utilizamos diferentes capas de protecci\u00f3n en los entornos de alojamiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero esas medidas complementarias no sustituyen a los parches de seguridad.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 consecuencias puede tener para un servidor vulnerable<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Las consecuencias de una vulnerabilidad cr\u00edtica en PHP pueden variar enormemente entre dos servidores aparentemente similares.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un entorno correctamente aislado puede limitar el alcance de una intrusi\u00f3n, mientras que una configuraci\u00f3n inadecuada puede facilitar que el incidente afecte a otros componentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre los riesgos que debemos contemplar se encuentran:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Compromiso de p\u00e1ginas web:<\/strong> modificaci\u00f3n de archivos o ejecuci\u00f3n de c\u00f3digo malicioso.<\/li>\n\n\n\n<li><strong>Acceso a informaci\u00f3n sensible:<\/strong> exposici\u00f3n de datos a los que tenga acceso el proceso afectado.<\/li>\n\n\n\n<li><strong>Interrupci\u00f3n del servicio:<\/strong> errores, ca\u00eddas o comportamientos inesperados.<\/li>\n\n\n\n<li><strong>Manipulaci\u00f3n de aplicaciones:<\/strong> alteraciones en el funcionamiento de tiendas online y aplicaciones empresariales.<\/li>\n\n\n\n<li><strong>Persistencia del atacante:<\/strong> posibilidad de introducir modificaciones que faciliten accesos posteriores.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">No significa que todas estas situaciones vayan a producirse ni que todos los servidores vulnerables hayan sido atacados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero cuando administramos una infraestructura conectada permanentemente a Internet, debemos valorar el riesgo antes de que aparezcan las consecuencias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una de las ideas que siempre intento transmitir es que resulta mucho m\u00e1s razonable dedicar tiempo a una actualizaci\u00f3n preventiva que tener que recuperar un servidor despu\u00e9s de una intrusi\u00f3n.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Qu\u00e9 versiones de PHP est\u00e1n afectadas y cu\u00e1les incorporan los parches<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Una de las primeras preguntas que surgen ante esta alerta es qu\u00e9 versiones de PHP son vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Seg\u00fan la informaci\u00f3n t\u00e9cnica publicada el 21 de octubre de 2026, las vulnerabilidades afectan a versiones de PHP comprendidas entre la rama 5.4 y PHP 8.5.11.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto PHP ha publicado correcciones en las versiones <strong>8.2.35, 8.3.36, 8.4.27 y 8.5.12<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, hay un aspecto que debemos tener muy presente: no todas las instalaciones utilizan directamente los paquetes oficiales del proyecto PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Muchos servidores funcionan con paquetes mantenidos por distribuciones Linux o fabricantes como cPanel y CloudLinux.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto significa que una rama antigua puede recibir un parche de seguridad espec\u00edfico sin cambiar necesariamente al \u00faltimo n\u00famero de versi\u00f3n publicado por PHP.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Versiones corregidas de PHP 8.2, 8.3, 8.4 y 8.5<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La siguiente tabla muestra las versiones corregidas publicadas por el proyecto PHP para estas vulnerabilidades.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Rama de PHP<\/th><th>Primera versi\u00f3n corregida<\/th><\/tr><tr><td>PHP 8.2<\/td><td>8.2.35<\/td><\/tr><tr><td>PHP 8.3<\/td><td>8.3.36<\/td><\/tr><tr><td>PHP 8.4<\/td><td>8.4.27<\/td><\/tr><tr><td>PHP 8.5<\/td><td>8.5.12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Estas versiones incorporan las correcciones correspondientes a CVE-2026-109618 y CVE-2026-109619.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si administras un servidor con alguna de estas ramas, debes comprobar que tienes instalada la versi\u00f3n corregida o una actualizaci\u00f3n posterior que conserve dichos parches.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero tampoco debemos limitar la comprobaci\u00f3n al resultado de <code>php -v<\/code>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En muchos servidores existen <a href=\"https:\/\/www.hostingtg.com\/blog\/cambiar-version-php-en-cpanel\/\">varias versiones de PHP instaladas simult\u00e1neamente<\/a>, y la versi\u00f3n utilizada desde la consola puede ser distinta de la empleada por una p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, podemos tener aplicaciones ejecut\u00e1ndose mediante PHP-FPM, LiteSpeed u otros mecanismos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso la comprobaci\u00f3n debe realizarse sobre la versi\u00f3n utilizada realmente por cada aplicaci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 ocurre con PHP 7.4, 8.0, 8.1 y el soporte extendido<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Aqu\u00ed aparece uno de los problemas m\u00e1s habituales que encontramos en el alojamiento web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Todav\u00eda existen aplicaciones que dependen de versiones antiguas de PHP por motivos de compatibilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede tratarse de una tienda online que utiliza un m\u00f3dulo sin mantenimiento, una aplicaci\u00f3n empresarial desarrollada hace a\u00f1os o un proyecto que no se ha actualizado por miedo a provocar errores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto PHP ya no proporciona correcciones oficiales para las ramas 8.1 y anteriores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, determinados fabricantes y servicios de soporte extendido s\u00ed pueden distribuir parches espec\u00edficos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, <a href=\"https:\/\/www.hostingtg.com\/blog\/cve-2026-41940-cpanel-whm\/\">cPanel<\/a> ha publicado actualizaciones de EasyApache 4 para distintas ramas antiguas, mientras que CloudLinux dispone de mecanismos de distribuci\u00f3n y mantenimiento de versiones PHP adaptadas a entornos de hosting.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aqu\u00ed quiero insistir en una cuesti\u00f3n importante:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>No debemos confundir una versi\u00f3n antigua con una versi\u00f3n necesariamente desprotegida, ni una versi\u00f3n aparentemente reciente con una instalaci\u00f3n correctamente parcheada.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que realmente importa es comprobar el paquete utilizado, su procedencia y si incorpora la correcci\u00f3n de seguridad correspondiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto no significa que recomiende permanecer indefinidamente en versiones antiguas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Al contrario.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En mi opini\u00f3n, los parches de soporte extendido deben entenderse como una soluci\u00f3n para reducir riesgos mientras se trabaja en la modernizaci\u00f3n de las aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La compatibilidad es importante, pero no deber\u00eda convertirse en una excusa permanente para renunciar a mejorar la seguridad.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">\u00bfPuede una web con WordPress o PrestaShop actualizado seguir siendo vulnerable?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>S\u00ed. Una p\u00e1gina web completamente actualizada puede continuar expuesta si utiliza un int\u00e9rprete PHP vulnerable y se cumplen las condiciones necesarias para explotar el fallo.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta es probablemente una de las cuestiones m\u00e1s importantes de toda la alerta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Muchos propietarios de p\u00e1ginas web creen que <a href=\"https:\/\/www.hostingtg.com\/blog\/wordpress-7-1-3-que-vulnerabilidades-corrige\/\">mantener actualizados WordPress<\/a>, sus plugins y sus temas es suficiente para evitar cualquier problema de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y aunque esas actualizaciones son fundamentales, solo representan <a href=\"https:\/\/www.hostingtg.com\/mantenimiento-web-wordpress\/\">una parte del mantenimiento<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una p\u00e1gina web depende de diferentes componentes que funcionan conjuntamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tenemos la aplicaci\u00f3n, sus extensiones, las bases de datos, el servidor web, el sistema operativo y, en este caso, el int\u00e9rprete PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cada uno de esos elementos puede presentar vulnerabilidades independientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante mis a\u00f1os administrando servidores he comprobado que esta distinci\u00f3n no siempre resulta evidente para los usuarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es perfectamente comprensible: quien tiene una tienda online normalmente quiere vender productos, no convertirse en especialista en administraci\u00f3n de sistemas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Precisamente por eso es importante que el proveedor de alojamiento asuma las tareas de mantenimiento que correspondan a su infraestructura.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">La diferencia entre actualizar una aplicaci\u00f3n y proteger PHP<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Imaginemos una tienda WooCommerce con WordPress y todos sus plugins actualizados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El propietario ha seguido las recomendaciones habituales y no tiene ninguna actualizaci\u00f3n pendiente en su panel de administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, el servidor contin\u00faa ejecutando una compilaci\u00f3n de PHP afectada por CVE-2026-109618 o CVE-2026-109619.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En ese escenario, las actualizaciones de WordPress no corrigen el fallo existente en el int\u00e9rprete.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La aplicaci\u00f3n puede seguir expuesta si la configuraci\u00f3n utilizada permite activar la vulnerabilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto demuestra por qu\u00e9 debemos diferenciar dos responsabilidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por una parte, el mantenimiento de la propia aplicaci\u00f3n y sus componentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por otra, la seguridad de la infraestructura sobre la que se ejecuta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ambas son necesarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo mismo sucede con PrestaShop, WHMCS y los desarrollos PHP personalizados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Actualizar una aplicaci\u00f3n nunca deber\u00eda interpretarse como una garant\u00eda de que todos los componentes del servidor est\u00e1n protegidos.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Por qu\u00e9 los plugins de seguridad y los firewalls no son suficientes<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Los <a href=\"https:\/\/www.hostingtg.com\/blog\/wordfence-wordpress\/\">plugins de seguridad<\/a>, los <a href=\"https:\/\/www.hostingtg.com\/blog\/cloudflare-waf-como-proteger-tu-wordpress\/\">cortafuegos de aplicaciones web<\/a> y otras herramientas de protecci\u00f3n pueden ayudar a reducir la superficie de ataque.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunos permiten bloquear solicitudes sospechosas, detectar modificaciones en archivos o limitar determinados comportamientos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Son herramientas \u00fatiles y, en muchos casos, recomendables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero tienen una limitaci\u00f3n evidente: no eliminan por s\u00ed mismas un error de programaci\u00f3n existente en el int\u00e9rprete PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un firewall puede dificultar determinadas formas de explotaci\u00f3n o bloquear patrones conocidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, no debemos considerarlo una soluci\u00f3n definitiva cuando existe un parche que corrige la vulnerabilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, cuando aparece un fallo cr\u00edtico, mi prioridad es comprobar si existe una actualizaci\u00f3n del fabricante y verificar su instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las dem\u00e1s medidas deben complementar esa correcci\u00f3n, no sustituirla.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo comprobar si tu servidor PHP est\u00e1 protegido<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Una de las recomendaciones m\u00e1s importantes que puedo hacer es no dar nunca por hecho que un servidor est\u00e1 protegido simplemente porque tiene activadas las actualizaciones autom\u00e1ticas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las actualizaciones son esenciales, pero tambi\u00e9n hay que comprobar que se han descargado, instalado y aplicado correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, en entornos con diferentes versiones de PHP puede ocurrir que algunas aplicaciones utilicen paquetes distintos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, ante una alerta como esta, conviene realizar una revisi\u00f3n ordenada.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Comprobar la versi\u00f3n y los paquetes de seguridad instalados<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El primer paso consiste en identificar qu\u00e9 versiones de PHP est\u00e1n realmente en uso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un servidor Linux podemos consultar la versi\u00f3n utilizada desde la consola con el siguiente comando:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>php -v<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Este comando permite conocer la versi\u00f3n correspondiente al ejecutable PHP invocado desde la terminal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, <strong>no demuestra por s\u00ed solo qu\u00e9 versi\u00f3n utiliza cada p\u00e1gina web ni confirma que todos los paquetes est\u00e9n corregidos<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos revisar los int\u00e9rpretes empleados por el servidor web y las aplicaciones alojadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En sistemas basados en RPM, los administradores pueden consultar los paquetes instalados mediante el gestor correspondiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>rpm -qa | grep -E 'php|ea-php|alt-php'<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">El resultado debe compararse con los avisos oficiales del fabricante o de los repositorios utilizados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En distribuciones basadas en Debian tambi\u00e9n debemos revisar los paquetes instalados y su historial de actualizaciones mediante las herramientas de gesti\u00f3n correspondientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo fundamental es no basar toda la comprobaci\u00f3n en un \u00fanico n\u00famero de versi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una compilaci\u00f3n puede incorporar correcciones de seguridad adicionales mediante parches espec\u00edficos del distribuidor.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">C\u00f3mo verificar los parches en cPanel, CloudLinux y Linux<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Los servidores administrados con cPanel y CloudLinux merecen especial atenci\u00f3n porque pueden utilizar diferentes mecanismos de distribuci\u00f3n de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En cPanel, por ejemplo, encontramos PHP en los paquetes de EasyApache 4, adem\u00e1s de componentes internos utilizados por el propio panel.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso debemos revisar ambas partes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">cPanel ha publicado versiones de seguridad de cPanel &amp; WHM y paquetes EasyApache corregidos espec\u00edficamente para estas vulnerabilidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En el caso de EasyApache, las referencias publicadas incluyen:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Rama<\/th><th>Versi\u00f3n corregida de EasyApache<\/th><\/tr><tr><td>PHP 7.4<\/td><td>ea-php7.4.33-19<\/td><\/tr><tr><td>PHP 8.0<\/td><td>ea-php8.0.30-12<\/td><\/tr><tr><td>PHP 8.1<\/td><td>ea-php8.1.34-5<\/td><\/tr><tr><td>PHP 8.2<\/td><td>ea-php82 8.2.35<\/td><\/tr><tr><td>PHP 8.3<\/td><td>ea-php83 8.3.36<\/td><\/tr><tr><td>PHP 8.4<\/td><td>ea-php84 8.4.27<\/td><\/tr><tr><td>PHP 8.5<\/td><td>ea-php85 8.5.12<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">En servidores CloudLinux hay que verificar igualmente los paquetes <code>alt-php<\/code> y <code>ea-php<\/code> que corresponda utilizar, consultando las publicaciones y los repositorios del fabricante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La disponibilidad de una correcci\u00f3n puede depender del sistema operativo, la rama de PHP y el repositorio configurado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso considero un error limitarse a observar qu\u00e9 versi\u00f3n aparece en el selector de PHP del panel.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo importante es verificar que <strong>el paquete concreto instalado contiene el parche que soluciona las vulnerabilidades<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG hemos prestado especial atenci\u00f3n a estas comprobaciones durante la actualizaci\u00f3n de nuestros servidores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No basta con ejecutar una actualizaci\u00f3n y asumir que todo est\u00e1 solucionado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hay que comprobar qu\u00e9 paquetes se han instalado y asegurarse de que las correcciones se encuentran realmente presentes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Revisar registros, servicios y posibles indicios de compromiso<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de aplicar los parches, conviene revisar el estado de los servicios y los registros del sistema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los administradores deben comprobar que PHP funciona correctamente, que las aplicaciones responden con normalidad y que no aparecen errores nuevos relacionados con la actualizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n es recomendable revisar los registros de acceso y error del servidor web, los eventos de seguridad disponibles y los indicadores de actividad an\u00f3mala.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre las situaciones que pueden justificar una investigaci\u00f3n adicional encontramos:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Solicitudes inusuales dirigidas a aplicaciones PHP.<\/li>\n\n\n\n<li>Errores repetidos o comportamientos inesperados de procesos PHP.<\/li>\n\n\n\n<li>Modificaciones no autorizadas de archivos.<\/li>\n\n\n\n<li>Procesos desconocidos o actividades que no se corresponden con el funcionamiento habitual.<\/li>\n\n\n\n<li>Alertas generadas por sistemas de detecci\u00f3n o protecci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Conviene recordar que ninguno de estos indicios demuestra autom\u00e1ticamente que se haya explotado una de las vulnerabilidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Del mismo modo, no encontrar errores en los registros tampoco garantiza que no haya ocurrido una intrusi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si existen sospechas fundadas, la revisi\u00f3n debe formar parte de un procedimiento de respuesta a incidentes, preservando la informaci\u00f3n necesaria para investigar lo sucedido.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo solucionar la vulnerabilidad cr\u00edtica de PHP<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La medida principal para corregir CVE-2026-109618 y CVE-2026-109619 es instalar los paquetes de seguridad que incluyen las correcciones publicadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede parecer una respuesta sencilla, pero en la pr\u00e1ctica requiere algo m\u00e1s que pulsar un bot\u00f3n de actualizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En una infraestructura con m\u00faltiples servidores y aplicaciones, debemos comprobar versiones, dependencias, compatibilidad y funcionamiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, resulta fundamental identificar qui\u00e9n es responsable de administrar cada componente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un alojamiento compartido, normalmente ser\u00e1 el proveedor quien mantenga los paquetes PHP del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un <a href=\"https:\/\/www.hostingtg.com\/servidores-vps\/\">servidor dedicado o VPS no administrado<\/a>, esa responsabilidad puede corresponder al propio cliente o a su administrador de sistemas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Aplicar las actualizaciones de seguridad correspondientes<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El procedimiento que recomiendo ante este tipo de situaciones comienza identificando las versiones de PHP instaladas y los servicios que las utilizan.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s debemos consultar los avisos oficiales del fabricante y comprobar qu\u00e9 paquetes corrigen las vulnerabilidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de intervenir en sistemas cr\u00edticos, conviene disponer de <a href=\"https:\/\/www.hostingtg.com\/blog\/crear-una-copia-de-seguridad-de-tu-pagina-wordpress\/\">copias de seguridad recientes<\/a> y, cuando sea posible, de un procedimiento de recuperaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez identificadas las actualizaciones, debemos instalarlas mediante los repositorios y herramientas oficiales correspondientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En servidores cPanel, el fabricante documenta la actualizaci\u00f3n de los paquetes EasyApache mediante herramientas como:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>\/scripts\/rpmup<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Este comando debe ejecutarse \u00fanicamente por administradores autorizados, tras revisar su aplicaci\u00f3n al entorno concreto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En otros sistemas utilizaremos los procedimientos recomendados por el fabricante o la distribuci\u00f3n Linux.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos comprobar si es necesario reiniciar servicios o procesos para que comiencen a utilizar las bibliotecas y los int\u00e9rpretes corregidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un paquete instalado en disco no garantiza que todos los procesos existentes est\u00e9n ejecutando inmediatamente el c\u00f3digo actualizado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La intervenci\u00f3n debe terminar comprobando que los servicios funcionan y que las aplicaciones siguen respondiendo correctamente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 hacer cuando no es posible actualizar inmediatamente<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No siempre es posible instalar una nueva versi\u00f3n de PHP sin comprobar antes la compatibilidad de las aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hay desarrollos antiguos que dependen de funciones eliminadas o modificadas en versiones posteriores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En esos casos, actualizar directamente a una rama moderna puede provocar errores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entiendo perfectamente esta preocupaci\u00f3n porque llevo a\u00f1os trabajando con aplicaciones que requieren configuraciones espec\u00edficas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, mantener una versi\u00f3n vulnerable expuesta a Internet tampoco deber\u00eda considerarse una soluci\u00f3n aceptable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si no podemos realizar una migraci\u00f3n inmediata, debemos estudiar las alternativas disponibles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una posibilidad es recurrir a paquetes de soporte extendido que incorporen espec\u00edficamente las correcciones necesarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Otra medida temporal puede ser restringir el acceso a servicios afectados, reducir su exposici\u00f3n o desactivar aquellos que no sean indispensables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El CCN-CERT recomienda precisamente aislar las aplicaciones expuestas cuando no sea posible aplicar los parches inmediatamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estas actuaciones deben valorarse caso por caso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que no recomiendo es confiar indefinidamente en medidas temporales y abandonar la actualizaci\u00f3n definitiva.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando una aplicaci\u00f3n impide mantener PHP correctamente, probablemente haya llegado el momento de plantearse su modernizaci\u00f3n.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Comprobar compatibilidad, funcionamiento y copias de seguridad<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La seguridad no termina cuando finaliza el proceso de actualizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s hay que verificar que los servicios contin\u00faan funcionando con normalidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un servidor que aloja tiendas online, por ejemplo, no basta con comprobar que la p\u00e1gina principal carga correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos revisar operaciones importantes como el acceso a usuarios, la finalizaci\u00f3n de pedidos, los pagos, el env\u00edo de correos y las integraciones externas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo mismo sucede con las aplicaciones empresariales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una actualizaci\u00f3n puede ser t\u00e9cnicamente correcta y, sin embargo, poner de manifiesto incompatibilidades que deben resolverse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso siempre considero importante combinar las actualizaciones de seguridad con verificaciones posteriores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos mantener copias de seguridad y comprobar peri\u00f3dicamente que pueden restaurarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una copia que nunca se ha probado puede ofrecer una sensaci\u00f3n de seguridad que no siempre se corresponde con la realidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Actualizar, verificar y disponer de mecanismos de recuperaci\u00f3n son partes de un mismo proceso de mantenimiento.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo hemos actuado en HostingTG ante esta alerta<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ante la publicaci\u00f3n de estas vulnerabilidades cr\u00edticas, en <strong>HostingTG hemos procedido a actualizar todos nuestros servidores con los \u00faltimos parches de seguridad disponibles<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hemos prestado especial atenci\u00f3n a las versiones de PHP instaladas, las actualizaciones publicadas por los fabricantes y los paquetes utilizados en nuestra infraestructura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para nosotros, estas intervenciones forman parte del trabajo habitual de administraci\u00f3n y mantenimiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No se trata simplemente de reaccionar ante una noticia de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se trata de asumir que mantener servidores conectados a Internet exige supervisi\u00f3n, actualizaciones y capacidad de respuesta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde que fundamos HostingTG en 2004 he tenido claro que ofrecer alojamiento web implica bastante m\u00e1s que proporcionar espacio en disco, memoria RAM o potencia de procesamiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un servicio de hosting tambi\u00e9n necesita una infraestructura mantenida y profesionales capaces de actuar cuando aparecen problemas que pueden afectar a las aplicaciones de los clientes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Actualizaci\u00f3n de servidores y verificaci\u00f3n de parches<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En esta ocasi\u00f3n, una de las cuestiones m\u00e1s importantes ha sido comprobar que las correcciones de seguridad estaban disponibles para los paquetes utilizados en nuestros servidores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Como he explicado anteriormente, los fabricantes pueden incorporar parches sin modificar necesariamente el n\u00famero principal de versi\u00f3n de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, <strong>la versi\u00f3n que aparece en un panel de control no siempre permite determinar por s\u00ed sola si una instalaci\u00f3n est\u00e1 protegida<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es necesario revisar los paquetes y contrastarlos con la informaci\u00f3n publicada por el proveedor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos tener en cuenta que actualizar un componente no deber\u00eda provocar la interrupci\u00f3n innecesaria de otros servicios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La administraci\u00f3n de servidores exige mantener ese equilibrio entre seguridad, estabilidad y compatibilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando aparece una vulnerabilidad cr\u00edtica, la prioridad debe ser corregirla, pero sin olvidar las comprobaciones que permiten asegurar que las aplicaciones contin\u00faan funcionando.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esa es la filosof\u00eda que seguimos en HostingTG.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Por qu\u00e9 la seguridad de un hosting requiere mantenimiento continuo<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hay una frase que resume bastante bien mi forma de entender la seguridad inform\u00e1tica:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La seguridad no es algo que se configura una vez y se olvida. Es un trabajo diario.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante estos a\u00f1os he visto c\u00f3mo evoluciona Internet, c\u00f3mo cambian los ataques y c\u00f3mo aparecen vulnerabilidades en tecnolog\u00edas que utilizamos constantemente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ning\u00fan administrador ni proveedor de alojamiento puede garantizar que jam\u00e1s se descubrir\u00e1 un nuevo fallo de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ser\u00eda una afirmaci\u00f3n poco realista.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que s\u00ed podemos hacer es mantener una pol\u00edtica de actualizaciones, prestar atenci\u00f3n a las alertas de seguridad y actuar con rapidez cuando se publican nuevas correcciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n podemos reducir los riesgos mediante una correcta configuraci\u00f3n de los servicios, permisos adecuados, mecanismos de aislamiento y supervisi\u00f3n continua.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En mi opini\u00f3n, la calidad de un proveedor de hosting no se mide \u00fanicamente cuando todo funciona perfectamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n se demuestra cuando aparece una alerta importante y hay que reaccionar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es en esas situaciones cuando adquiere especial valor contar con una infraestructura administrada y con profesionales que se ocupen de su mantenimiento.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">La importancia de anticiparse a los problemas de seguridad<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Las vulnerabilidades <strong>CVE-2026-109618 y CVE-2026-109619<\/strong> vuelven a recordarnos que la seguridad de una p\u00e1gina web depende de mucho m\u00e1s que mantener actualizado su gestor de contenidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Podemos tener WordPress, PrestaShop o WooCommerce completamente al d\u00eda y continuar expuestos si el int\u00e9rprete PHP utiliza paquetes vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, ante esta alerta, mi recomendaci\u00f3n es comprobar qu\u00e9 versi\u00f3n de PHP utiliza realmente cada aplicaci\u00f3n, verificar los parches disponibles y asegurarse de que las correcciones se han aplicado correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si utilizas un servicio de alojamiento compartido, pregunta a tu proveedor si sus servidores est\u00e1n actualizados frente a estas vulnerabilidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.hostingtg.com\/blog\/administrar-un-servidor-vps\/\">Si administras tus propios servidores<\/a>, consulta los avisos oficiales de los fabricantes y revisa los paquetes instalados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y si todav\u00eda dependes de versiones antiguas de PHP, considera seriamente modernizar tus aplicaciones o disponer de un servicio de mantenimiento extendido que cubra los fallos identificados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG ya hemos actuado actualizando nuestros servidores con los \u00faltimos parches de seguridad disponibles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo hemos hecho porque, despu\u00e9s de m\u00e1s de dos d\u00e9cadas trabajando en este sector, sigo convencido de que resulta mucho m\u00e1s razonable prevenir una incidencia que tener que afrontar sus consecuencias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La seguridad de un servidor no depende \u00fanicamente de c\u00f3mo est\u00e9 configurado hoy, sino tambi\u00e9n de c\u00f3mo se mantiene y se protege cada d\u00eda.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y cuando aparece una vulnerabilidad cr\u00edtica en PHP, actuar a tiempo puede marcar la diferencia.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Dudas de la comunidad<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfLa vulnerabilidad afecta a todas las p\u00e1ginas web?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No necesariamente. Estas vulnerabilidades afectan a determinadas versiones del int\u00e9rprete PHP y su explotaci\u00f3n depende de las condiciones y configuraciones presentes en cada servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las p\u00e1ginas web que utilizan otros lenguajes o entornos no quedan afectadas directamente por estos fallos de PHP, aunque pueden utilizar otros componentes vulnerables.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfEs suficiente con actualizar WordPress?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No. Actualizar WordPress, sus temas y sus plugins es fundamental, pero no corrige una vulnerabilidad existente en el int\u00e9rprete PHP del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para solucionar estos fallos es necesario que el entorno PHP utilizado por la aplicaci\u00f3n incorpore las correcciones de seguridad correspondientes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfC\u00f3mo s\u00e9 si mi proveedor de hosting ha aplicado los parches?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Lo m\u00e1s recomendable es solicitar confirmaci\u00f3n directamente al proveedor de alojamiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puedes preguntar si las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 est\u00e1n corregidas en los servidores y qu\u00e9 versiones o paquetes de seguridad se han instalado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proveedor deber\u00eda poder confirmar el estado de las actualizaciones utilizadas en su infraestructura.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfQu\u00e9 hago si mi aplicaci\u00f3n necesita una versi\u00f3n antigua de PHP?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Debes comprobar si existe un paquete con soporte extendido que incluya espec\u00edficamente las correcciones de seguridad necesarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si no est\u00e1 disponible, conviene estudiar medidas temporales para reducir la exposici\u00f3n y planificar la actualizaci\u00f3n de la aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mantener indefinidamente un sistema vulnerable no es una soluci\u00f3n recomendable.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfQu\u00e9 versiones de PHP corrigen CVE-2026-109618 y CVE-2026-109619?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Las primeras versiones corregidas publicadas por el proyecto PHP son 8.2.35, 8.3.36, 8.4.27 y 8.5.12.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunos fabricantes tambi\u00e9n proporcionan parches espec\u00edficos para determinadas versiones anteriores, por lo que debes consultar siempre la documentaci\u00f3n correspondiente a tu sistema.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfLas vulnerabilidades permiten acceder autom\u00e1ticamente a todo el servidor?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No. Aunque estos fallos pueden permitir ejecuci\u00f3n remota de c\u00f3digo, el alcance de una explotaci\u00f3n depende de la configuraci\u00f3n, los permisos del proceso afectado y las medidas de aislamiento implementadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto no reduce la importancia de la alerta: estamos ante problemas cr\u00edticos que deben corregirse cuanto antes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfC\u00f3mo puedo saber si mi p\u00e1gina web ha sido atacada?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No existe una comprobaci\u00f3n sencilla que permita garantizarlo \u00fanicamente mirando la versi\u00f3n de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si sospechas de una intrusi\u00f3n, es recomendable analizar los registros, revisar modificaciones no autorizadas, investigar procesos sospechosos y solicitar ayuda a un profesional de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Actualizar PHP elimina las vulnerabilidades corregidas en los nuevos paquetes, pero no elimina autom\u00e1ticamente posibles modificaciones introducidas durante una intrusi\u00f3n anterior.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>La aparici\u00f3n de una vulnerabilidad cr\u00edtica en PHP ha puesto en alerta a administradores de sistemas, proveedores de hosting y responsables de p\u00e1ginas web de todo el mundo. El 21 de octubre de 2026, el Centro Criptol\u00f3gico Nacional (CCN-CERT) public\u00f3 una alerta de seguridad advirtiendo de dos fallos graves que podr\u00edan permitir la ejecuci\u00f3n remota [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":10204,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[1],"tags":[989,1524,1272,1521],"class_list":["post-10203","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","tag-php","tag-php2shell","tag-vulnerabilidad","tag-vulnerabilidad-critica"],"_links":{"self":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10203","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/comments?post=10203"}],"version-history":[{"count":2,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10203\/revisions"}],"predecessor-version":[{"id":10206,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10203\/revisions\/10206"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/media\/10204"}],"wp:attachment":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/media?parent=10203"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/categories?post=10203"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/tags?post=10203"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}