Tu página puede verse igual de bien mientras el software que la hace funcionar necesita una actualización urgente. La alerta de PHP de octubre es un ejemplo: mirar la portada no basta para comprobar que todo está protegido.
Qué pasó en octubre
El 21 de octubre de 2026, PHP publicó correcciones para dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Podían permitir ejecutar código en servidores vulnerables sin iniciar sesión. Los avisos técnicos explican los fallos en el manejo de memoria y en el estado que queda entre peticiones.
PHP se ejecuta en el servidor y forma parte de muchos gestores de contenido y aplicaciones. El problema puede estar debajo del diseño, del tema y de los complementos de la web.
Qué versión debía corregirse
Las versiones publicadas para corregir esas dos fallas fueron 8.2.35, 8.3.36, 8.4.27 y 8.5.12, según la rama utilizada. Son las referencias del incidente, no una recomendación de quedarse siempre en ellas. Tu proveedor debe confirmar la actualización vigente compatible con tu aplicación. Consulta el aviso del proyecto PHP.
Algunos proveedores distribuyen paquetes con correcciones incorporadas sin cambiar al mismo número que PHP publica. Por eso conviene pedir confirmación del parche aplicado, además del número de versión. CERT-EU también recoge una alerta adicional del 23 de octubre; la revisión debe abarcar los avisos posteriores.
Qué preguntarle a tu hosting
Pide una respuesta para tu dominio concreto: qué versión de PHP ejecuta, si recibió las correcciones de ambas vulnerabilidades, cuándo se aplicaron y si revisaron las alertas posteriores. Pregunta también quién se ocupa de mantenerla actualizada.
Hola. ¿Pueden confirmar la versión de PHP que usa mi dominio y si están aplicadas las correcciones de CVE-2026-109618 y CVE-2026-109619? ¿Hay alguna acción pendiente por las alertas posteriores? Necesito saber cuándo se actualizó y qué debo comprobar en mi web.
En WordPress puedes consultar la versión en Herramientas → Salud del sitio → Información → Servidor. La comunicación oficial de WordPress aclara que estas vulnerabilidades corresponden a PHP: actualizar solo un plugin o el tema no sustituye la corrección del servidor.
Actualizar y comprobar el recorrido completo
Coordina con el responsable una copia recuperable y las comprobaciones de compatibilidad, sin retrasar una corrección urgente. Después prueba el acceso, el formulario, la recepción del correo y cualquier reserva o pago que realmente utilice tu sitio. Si la actualización no es posible de inmediato, el responsable técnico debe valorar el aislamiento temporal indicado por CERT-EU.
Un parche corrige la vulnerabilidad; por sí solo no demuestra que no hubo acceso previo. Si aparecen archivos extraños, usuarios desconocidos o cambios que nadie reconoce, pide una revisión del incidente y conserva los registros.
La tarea que conviene dejar asignada
Anota quién vigila las actualizaciones del servidor, quién mantiene la aplicación y quién comprueba la web después. Guarda la respuesta del hosting y la fecha de revisión. Para ampliar el tema, mira el video sobre la falla de PHP y la guía de mantenimiento de tu página.
Your website can look perfectly normal while the software behind it needs an urgent update. October's PHP alert is a reminder that checking the homepage alone cannot establish whether the site is protected.
What happened in October
On October 21, 2026, PHP released fixes for two critical vulnerabilities: CVE-2026-109618 and CVE-2026-109619. They could allow code execution on vulnerable servers without signing in. The technical advisories describe problems with memory handling and state retained between requests.
PHP runs on the server and powers many content management systems and applications. The vulnerable component can sit underneath your website's design, theme and plugins.
Which versions contained the fixes
The releases fixing those two flaws were 8.2.35, 8.3.36, 8.4.27 and 8.5.12, depending on the branch. These identify the incident's patches; they are not a recommendation to remain on those versions indefinitely. Your provider should confirm the current compatible update. See the PHP project announcement.
Some providers incorporate patches into distribution packages without adopting PHP's release number. Ask for confirmation of the actual fixes as well as the version. CERT-EU also records an additional alert from October 23; later advisories belong in the review too.
What to ask your hosting provider
Request an answer for your specific domain: the PHP version it runs, whether both vulnerabilities have been patched, when that happened and whether subsequent alerts were reviewed. Establish who keeps it updated.
Could you confirm the PHP version used by my domain and whether the fixes for CVE-2026-109618 and CVE-2026-109619 have been applied? Is any action outstanding following later alerts? Please confirm when it was updated and what I should test on the website.
In WordPress, the version appears under Tools → Site Health → Info → Server. The official WordPress notice explains that these are PHP vulnerabilities: updating a plugin or theme alone does not replace the server fix.
Update and check the whole journey
Arrange a recoverable backup and compatibility checks with the responsible person, without delaying an urgent fix. Then test access, forms, email receipt and any booking or payment functions the site actually uses. If immediate patching is impossible, the technical owner should assess the temporary isolation recommended by CERT-EU.
A patch fixes the vulnerability; it does not establish that no earlier intrusion occurred. If unfamiliar files, unknown users or unexplained changes appear, request an incident review and preserve logs.
Give ongoing maintenance an owner
Record who monitors server updates, who maintains the application and who tests the website afterwards. Keep the host's reply and the review date. Continue with the PHP security video and the website maintenance guide.