Respuesta corta: el 21 de octubre de 2026, el proyecto PHP corrigió dos fallos críticos en PHP, el lenguaje con el que funciona WordPress. En un servidor sin la corrección, alguien podría ejecutar su propio código sin iniciar sesión. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. WordPress no necesita ninguna actualización por esto: la corrección va en el servidor de tu hosting. Pídele a tu hosting que te la confirme por escrito.
Qué pasó
PHP es el lenguaje de programación con el que funciona WordPress. Está instalado en el servidor donde vive tu web, no dentro de WordPress, así que la corrección va en ese servidor.
El 21 de octubre de 2026, el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 de PHP. Corrigen dos fallos que pueden permitir ejecutar código a distancia sin autenticarse: alguien podría enviar una petición a una web y ejecutar su propio código en su servidor, sin contraseña. El equipo de PHP dice que se ha demostrado un ataque que funciona en la configuración de servidor que considera de mayor riesgo. También dice que cambiar los ajustes solo reduce el riesgo y que actualizar es la única opción segura.
Cada fallo tiene un número CVE, el identificador con el que se sigue un problema de seguridad: CVE-2026-109618 y CVE-2026-109619. El equipo de seguridad de PHP calificó los dos como críticos, con 9.2 sobre 10 en CVSS 4.0, la escala estándar que mide la gravedad de un fallo de seguridad.
watchTowr, una empresa de seguridad, dice que sus honeypots, servidores trampa preparados para atraer a los atacantes, vieron ataques con los dos fallos desde el 21 de octubre. CISA, la agencia de Estados Unidos que mantiene el catálogo de vulnerabilidades con ataques conocidos, no había añadido ninguno de los dos al comprobarlo el 22 de octubre de 2026.
WordPress.org dice que los fallos no son exclusivos de WordPress y que afectan a cualquier servidor que aloje una aplicación PHP. Y añade que por ellos no hace falta, ni está prevista, ninguna actualización de WordPress.
Fuentes (en inglés): el aviso de seguridad de PHP y sus notas de versión del 21 de octubre de 2026. Los avisos de PHP en GitHub, GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp. Los registros CVE CVE-2026-109618 y CVE-2026-109619; la NVD también da sus propias puntuaciones CVSS 3.1, 9.8 y 8.1. watchTowr, PHP Remote Code Execution. CISA, Known Exploited Vulnerabilities Catalog. WordPress.org News, Critical PHP Security Release. Consultadas el 22 de octubre de 2026.
Cómo ver tu versión de PHP y si ya tiene la corrección
Toda web de WordPress funciona con PHP, así que cada una estuvo en riesgo hasta que su servidor recibió la corrección.
Para ver tu versión, entra en WordPress como administrador. Ve a Herramientas, luego a Salud del sitio, y abre la pestaña Información. Abre la sección Servidor y busca Versión de PHP. Muchos hostings también la muestran en su panel de control. Compárala con esta tabla:
| Si tu web muestra | Corregida en | Qué hacer |
|---|---|---|
| PHP 8.5 | 8.5.12 | Pide a tu hosting que confirme la corrección |
| PHP 8.4 | 8.4.27 | Pide a tu hosting que confirme la corrección |
| PHP 8.3 | 8.3.36 | Pide a tu hosting que confirme la corrección |
| PHP 8.2 | 8.2.35 | Pide la confirmación y planea el cambio: la 8.2 no recibirá correcciones de seguridad después del 31 de diciembre de 2026 |
| PHP 8.1, 8.0, 7.4 o anterior | Sin versión nueva del proyecto PHP | Pregunta a tu hosting si tiene una corrección instalada para tu versión y planea el cambio a una versión con soporte |
Un número de versión más bajo no siempre significa que falte la corrección, así que tómalo como una primera pista y deja la respuesta final a tu hosting. En el Web Hosting de GoDaddy, la corrección llegó como una nueva compilación de la misma versión. Por eso, en ese servicio, tu web puede seguir mostrando, por ejemplo, la 8.5.11 con la corrección incluida.
Si tu web usa PHP 8.1 o anterior, el proyecto PHP ya no actualiza esas versiones. Algunos hostings reciben una corrección para versiones antiguas de las empresas que les dan el software del servidor, así que pregunta a tu hosting. WordPress recomienda PHP 8.3 o superior.
Fuentes (en inglés): PHP, aviso de seguridad, notas de PHP 8.2.35 y Supported Versions. WordPress.org, Get a faster, more secure website: update PHP today y Requirements. GoDaddy, Important PHP security update: What website owners need to do, actualizado el 22 de octubre de 2026. Consultadas el 22 de octubre de 2026.
Quién instala la actualización
PHP vive en el servidor, así que la respuesta depende de tu hosting.
- Hosting compartido o hosting gestionado de WordPress. Normalmente el hosting se encarga de PHP por ti e instala la corrección. El 21 de octubre, GoDaddy dijo que había corregido todas las versiones de PHP de su Managed Hosting for WordPress y que sus clientes no tenían que hacer nada. Kinsta, una empresa de hosting para WordPress, dijo el 22 de octubre que había actualizado PHP en toda su plataforma y que no tiene pruebas de ninguna intrusión.
- Tu propio servidor, como un VPS (servidor privado virtual) o un servidor en la nube. Normalmente nadie actualiza PHP por ti, salvo que tu contrato lo diga. GoDaddy les dice a sus clientes de VPS que actualicen PHP ellos mismos, porque son quienes gestionan el software del servidor. Si una agencia o un freelancer te montó ese servidor, pregúntale quién instala la actualización y cuándo.
WordPress.org recuerda que muchos hostings te dejan cambiar tú mismo la versión de PHP. Haz una copia de seguridad antes de dejar una versión antigua. Y pregunta al hosting si la versión que eliges ya incluye la corrección del 21 de octubre.
Fuentes (en inglés): GoDaddy, Important PHP security update, publicado el 20 de octubre de 2026 y actualizado el 21 y el 22. Kinsta, PHP Security Vulnerability Update, del 21 al 22 de octubre de 2026. WordPress.org, update PHP today. Consultadas el 22 de octubre de 2026.
Qué hacer hoy
- Pide que te confirmen la corrección. Pídele a tu hosting, o a la agencia que lleva tu web, una confirmación por escrito. Que diga que tu servidor usa una versión de PHP con la corrección del 21 de octubre, y desde cuándo.
- Comprueba que tienes una copia de seguridad que se puede restaurar. Pregunta cuándo se hizo la última, dónde se guarda y quién la restauraría. La guía de WordPress.org para webs hackeadas también recomienda preguntar al hosting por su política de copias de seguridad.
- Mantén al día WordPress, los plugins y los temas. No corrige el fallo de PHP, pero WordPress lo pide antes de cualquier cambio de versión de PHP. Si tu agencia se encarga de las actualizaciones, pídele que las haga. Si las haces tú, hazlas tras el paso 2, en Escritorio, luego Actualizaciones, y revisa después tus páginas principales y tu formulario de contacto.
- Mira quién puede entrar. En Usuarios, selecciona Administrador arriba de la lista. Un administrador que no reconozcas es motivo para llamar a tu hosting o a tu agencia ese mismo día. WordPress incluye los usuarios nuevos que nadie creó entre las señales de una web hackeada, y dice que el primer paso es anotar lo que ves y cuándo.
- Pide que revisen los archivos. Quien gestiona el servidor puede buscar archivos que cambiaron en días en que nadie trabajó en la web. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) pide revisar los servidores que no se pudieron actualizar enseguida: buscar señales de intrusión y puertas traseras, accesos ocultos que deja un atacante para volver a entrar.
- Si algo no cuadra, cambia las contraseñas. Cambia la de WordPress y la del panel del hosting, y pide lo mismo a cada usuario con acceso. Pídele a tu hosting o a tu agencia que cambie también las del acceso a los archivos (FTP o SFTP) y la base de datos. Y que active el inicio de sesión en dos pasos: en WordPress suele hacer falta un plugin. WordPress.org dice que las vuelvas a cambiar todas cuando la web esté limpia.
Si tu web usa PHP 8.1 o anterior, planea ya el cambio a una versión con soporte; si usa la 8.2, antes del 31 de diciembre de 2026. Antes del cambio, WordPress.org pide una copia de seguridad, WordPress, temas y plugins al día, y una comprobación de compatibilidad. Si gestionas tu propio servidor con PHP 8.1 o anterior, WordPress.org dice que consideres desconectarlo mientras preparas la actualización. El NCSC da el mismo consejo para cualquier sistema que no se pueda corregir a tiempo.
Fuentes (en inglés): WordPress.org, FAQ My site was hacked, Site Health Screen, update PHP today y Critical PHP Security Release. NCSC, Critical security issue affecting PHP, publicado el 21 de octubre de 2026 y actualizado el 22. Consultadas el 22 de octubre de 2026.
Qué preguntarle a tu agencia o a tu hosting
- ¿Qué versión de PHP usa hoy mi web, y tiene la corrección del 21 de octubre de 2026?
- ¿Cuándo la instalaron?
- ¿Revisaron la web en busca de señales de intrusión, como administradores que nadie creó o archivos que cambiaron en días en que nadie trabajó en ella? ¿Qué encontraron?
- ¿Cómo funcionan las copias de seguridad: cada cuánto las hacen, cuánto tiempo las guardan, dónde están y quién restaura la web y en cuánto tiempo?
- Si mi web usa PHP 8.2 o anterior, ¿cuándo la pasarán a una versión más nueva, y quién prueba la web después del cambio?
Preguntas frecuentes
¿Tengo que actualizar WordPress para corregir esto?
No. WordPress.org dice que los fallos no son exclusivos de WordPress y que no hace falta ni está prevista ninguna actualización de WordPress por ellos. La corrección va en el servidor donde vive tu web. Aun así, vale la pena tener WordPress, plugins y temas al día: WordPress lo pide, tras la copia de seguridad, antes de cambiar de versión.
¿Cómo sé si el PHP de mi web tiene la corrección?
En WordPress, abre Herramientas, Salud del sitio, Información y Servidor, y mira Versión de PHP. La tienen la 8.5.12, la 8.4.27, la 8.3.36, la 8.2.35 y las posteriores de cada serie. Algunos hostings la añaden en una compilación nueva que mantiene el número anterior, como explica GoDaddy. Lo más seguro es la confirmación por escrito de tu hosting.
¿Ya hay atacantes usando estos fallos?
watchTowr, una empresa de seguridad, dice que sus honeypots (servidores trampa) vieron ataques con los dos fallos desde el 21 de octubre de 2026. CISA, la agencia de Estados Unidos que lista las vulnerabilidades con ataques conocidos, no los había añadido a su catálogo al comprobarlo el 22 de octubre de 2026. Confirma la actualización con tu hosting.
Mi web usa PHP 7.4, 8.0 u 8.1. ¿Qué hago?
El proyecto PHP ya no actualiza esas versiones, aunque algunos hostings consiguen una corrección para ellas: pregúntale a tu hosting. Y planea el cambio a una versión con soporte: WordPress recomienda la 8.3 o superior. Haz una copia de seguridad y actualiza WordPress, temas y plugins antes del cambio, y prueba la web después.
Mi hosting dice que ya corrigió PHP. ¿Me queda algo por hacer?
Con PHP, no. Pide esa confirmación por escrito, con la fecha. Después haz las revisiones de siempre: una copia de seguridad reciente que se pueda restaurar, WordPress, plugins y temas al día, y ningún administrador que no reconozcas. Si algo no cuadra, cambia tus contraseñas y avisa a tu hosting ese mismo día.
Si prefieres no encargarte tú
Nuestro plan de mantenimiento web incluye actualizaciones probadas antes de salir en vivo, copias diarias guardadas 30 días, y vigilancia de seguridad y de caídas. Para saber cuánto cuesta crear una web y mantenerla, mira nuestro artículo sobre cuánto cuesta una página web.
