PHP corrige hoy dos vulnerabilidades críticas: por qué te afecta aunque solo tengas un WordPress

El equipo de seguridad de PHP anunció el 20 de octubre una actualización de seguridad fuera de ciclo, prevista para hoy, 21 de octubre, a las 14:00 UTC (16:00 en la España peninsular). Corrige dos vulnerabilidades críticas, ambas con una puntuación CVSS 9.2 sobre 10. El aviso está publicado en la portada de php.net, así que no es un rumor de foro: viene de la fuente.

Conviene entender bien qué es y qué no es, porque estos días va a correr mucha información mezclada.

Lo que está confirmado

Por ahora, solo esto, y lo dice PHP:

• Son dos fallos, los dos críticos (9.2).
• El parche sale hoy a las 14:00 UTC.
• Las versiones afectadas y las corregidas se publicarán junto con la actualización, no antes.
• El equipo se reserva adelantar la publicación si los detalles se filtran o si aparecen señales de explotación activa.

Lo que circula, pero todavía no es oficial

Varias firmas de seguridad (Sansec, Huntress, Qualys) ya están escribiendo sobre el tema, al parecer porque los detalles se filtraron antes del embargo. Lo que cuentan, y que conviene tomar con pinzas hasta las 14:00 UTC:

• Que se trata de ejecución remota de código (RCE) en el núcleo de PHP, lo peor que le puede pasar a un intérprete: permitiría a un atacante ejecutar comandos en el servidor.
• Que los identificadores serían CVE-2026-109618 y CVE-2026-109619.
• Que afectaría a PHP 5.4 y posteriores, aunque aquí las fuentes se contradicen y PHP no lo ha confirmado.

También ha circulado una puntuación de 10.0. No es la oficial: php.net habla de 9.2. Si ves el 10.0, es ruido.

Por qué esto te importa aunque solo tengas un blog

La clave está en que no es un fallo de WordPress, de Moodle ni de Nextcloud: es de PHP, el motor sobre el que se ejecutan todos ellos. Por eso el arreglo no llega actualizando los plugins ni el núcleo de WordPress desde el escritorio, sino actualizando el paquete de PHP en el servidor. Si administras tu propia máquina, el trabajo es tuyo. Si estás en un hosting gestionado, es tu proveedor quien debe aplicarlo, y no está de más preguntárselo hoy mismo.

Qué hacer, paso a paso

1. Averigua qué versión de PHP corres. En la línea de comandos, php -v; si tienes varias versiones instaladas, revísalas todas, porque cada sitio puede usar una distinta.
2. Prepárate para actualizar hoy, después de las 14:00 UTC. En Debian o Ubuntu será un apt update && apt upgrade de los paquetes de PHP, seguido de reiniciar PHP-FPM (systemctl restart php8.x-fpm) para que la versión nueva entre en servicio. No olvides el reinicio: sin él, los procesos antiguos siguen vivos y vulnerables.
3. Comprueba de dónde vienen tus paquetes. Si tu sistema ya no recibe soporte (por ejemplo, Debian 11, cuyo soporte terminó el 31 de agosto de 2026), el parche puede no llegar por los canales oficiales de la distribución, y tendrás que recurrir a un repositorio como el de Ondřej Surý (deb.sury.org) o, mejor, plantearte en serio la migración a una versión con soporte.
4. Si no puedes parchear a tiempo, CERT-EU recomienda considerar el aislamiento temporal de los servicios expuestos a internet hasta que puedas aplicarlo.

Ninguna de estas vulnerabilidades se arregla desde dentro de la aplicación: el intérprete está por debajo de todo lo demás. Es un buen recordatorio de que la seguridad de un WordPress no termina en sus plugins, sino que llega hasta la base del servidor que lo sostiene.

Actualización (14:00 UTC): [pendiente de completar cuando PHP publique la release, con los números de versión corregidos y la confirmación oficial de los CVE y las versiones afectadas].

---