Vulnerabilidades críticas de PHP: qué deben hacer las pymes ahora

El proyecto PHP ha publicado una actualización de seguridad urgente después de detectar dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. Con una puntuación CVSS de 9,2, pueden permitir la ejecución remota de código sin autenticación.

Esto significa que un atacante podría llegar a ejecutar instrucciones en el servidor sin disponer de una cuenta de usuario. El riesgo es especialmente relevante para las pequeñas y medianas empresas, que a menudo dependen de webs corporativas, tiendas en línea, portales de clientes o aplicaciones internas basadas en PHP.

¿Por qué es importante para una pyme?

Una aplicación expuesta con una versión vulnerable puede convertirse en una puerta de entrada a información de clientes, credenciales, bases de datos u otros sistemas de la organización. Además, una intrusión puede provocar interrupciones del servicio, pérdida de confianza y costes de recuperación que a menudo son difíciles de asumir para una empresa pequeña.

¿Qué hay que hacer?

1. Comprobar la versión de PHP de todos los alojamientos, servidores y servicios web.
2. Actualizar inmediatamente a una versión corregida y compatible con la aplicación. El proyecto PHP indica que no existe una mitigación completa alternativa.
3. Revisar WordPress, CMS, extensiones y aplicaciones que funcionen sobre PHP, incluidos los componentes que ya no reciben mantenimiento.
4. Verificar las copias de seguridad y asegurarse de que existe al menos una copia reciente, separada y recuperable.
5. Revisar los registros del servidor y de la aplicación para detectar accesos o comportamientos anómalos.

Una actualización que también es gestión del riesgo

Las actualizaciones de PHP no deberían dejarse para el último momento. Para reducir riesgos, conviene mantener un inventario de los servicios expuestos a Internet, establecer un calendario de actualizaciones y probar los cambios antes de aplicarlos a los sistemas más importantes.

Si su empresa utiliza PHP y no sabe qué versión tiene instalada o si es compatible con las aplicaciones actuales, es un buen momento para revisarlo. Una actuación preventiva puede evitar que una vulnerabilidad del servidor se convierta en una incidencia de negocio.

Fuente: comunicados oficiales del proyecto PHP, 21 de octubre de 2026.