Revisión urgente de PHP y WordPress tras los dos fallos críticos de PHP
ENISA, la Comisión Europea, CERT-EU y Europol pidieron actuar de inmediato ante dos fallos de PHP que permiten ejecutar código en el servidor sin contraseña. Si tu web usa WordPress o PHP, revisamos tu versión y la actualizamos con copia previa y pruebas.
Qué ha pasado, con sus fuentes
El comunicado conjunto de ENISA, la Comisión Europea (DG CNECT), CERT-EU y Europol del 21 de octubre de 2026 señala dos vulnerabilidades críticas de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas permiten ejecutar código a distancia sin usuario ni contraseña.
El equipo de PHP las califica con un CVSS v4.0 de 9,2 sobre 10. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y advierte de que «no hay mitigaciones completas, actualizar es la única opción segura». Además, PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026.
Si tu hosting ya ha aplicado el parche, lo documentamos y solo presupuestamos lo que quede pendiente.
Webs y tiendas con WordPress
Funcionan sobre PHP en el servidor o en el hosting compartido.
Aplicaciones en PHP
Desarrollos a medida o de terceros, aunque no lo muestren a simple vista.
PHP 8.1 o anterior
El proyecto PHP ya no publica versiones corregidas. Hay parches mínimos para 7.4, 8.0 y 8.1 y algunas distribuciones los aplican; si es más antigua, hay que migrar.
Tres niveles de servicio
Precios sin IVA. El importe final de la actualización depende de plugins, integraciones y compatibilidad; lo cerramos tras el diagnóstico.
Diagnóstico
Sin cambios en producción.
- Inventario de PHP, WordPress, tema y plugins
- Parches aplicados por tu hosting
- Revisión de copias y compatibilidad
- Informe con prioridades y presupuesto cerrado
Actualización
Diagnóstico incluido: si lo pagaste antes, se descuenta.
- Copia de archivos y base de datos, con prueba de restauración
- Pruebas en un entorno aislado
- Coordinación con tu hosting
- Comprobación de navegación, acceso y formularios
- Informe con plan de vuelta atrás
Mantenimiento
Opcional, tras la actualización.
- Actualizaciones mensuales con copia previa
- Comprobación de las funciones acordadas
- Prueba trimestral de restauración
- Hasta 1 hora al mes, sin acumulación
El diagnóstico gratuito de 30 minutos que ofrecemos en el resto de la web es para chatbots, automatización y webs; la revisión de PHP necesita acceso y trabajo técnico, por eso tiene precio propio. Licencias, hosting, desarrollos a medida, migraciones complejas y la limpieza de una intrusión previa se presupuestan aparte, con tu autorización. El calendario se acuerda tras el diagnóstico.
Cómo trabajamos
Copia previa
Copiamos archivos y base de datos y comprobamos que se pueden restaurar.
Entorno de pruebas
Actualizamos primero en un entorno aislado, no en tu web en producción.
Coordinación con tu hosting
Vemos qué ha aplicado ya tu proveedor y qué acceso autorizado hace falta.
Informe
Lo revisado, lo actualizado, las pruebas y el plan de vuelta atrás.
Preguntas frecuentes
¿Cómo sé si mi web está afectada?
Depende de la versión de PHP de tu servidor y de si tu hosting ya aplicó el parche. Sin revisarlo no se puede saber: el diagnóstico de 150 € incluye ese inventario, contrastado con tu hosting.
¿Qué versión de PHP tengo?
Suele verse en el panel de tu hosting y, en WordPress, en Herramientas → Salud del sitio → Información → Servidor. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si la tuya es anterior dentro de esas ramas, o es PHP 8.1 o más antigua, hay que actuar. Ojo: si tu hosting usa paquetes de una distribución, el número puede no cambiar aunque ya esté corregido; por eso lo contrastamos con tu proveedor.
¿Qué es PHP y por qué importa en mi web?
PHP es el lenguaje con el que funcionan en el servidor WordPress y muchas webs y tiendas. No se ve desde el navegador, pero si la versión del servidor tiene un fallo, afecta a toda la web que corre sobre ella.
¿Hay alguna forma de mitigar el riesgo sin actualizar?
El equipo de PHP indica que no hay mitigaciones completas: actualizar es la única opción segura.
¿Qué incluye exactamente el diagnóstico de 150 €?
Inventario de tu versión de PHP, WordPress, tema y plugins; contraste con tu hosting de qué parches ya están aplicados; revisión de tus copias de seguridad y de la compatibilidad previsible; e informe con prioridades y presupuesto cerrado. No se hace ningún cambio en producción durante el diagnóstico.
¿Y si mi hosting ya aplicó el parche?
Lo comprobamos y lo documentamos. Entonces solo presupuestamos lo que quede pendiente, por ejemplo WordPress, el tema o los plugins.
¿Y si mi web ya ha sido atacada o tiene algo raro?
Este servicio es de actualización preventiva, no de limpieza de una intrusión, y no podemos asegurar que una web no se haya visto comprometida antes de revisarla. Si aparecen indicios de un acceso no autorizado, te lo decimos y ese trabajo se presupuesta aparte, con tu autorización.
Más información: señales de una web desactualizada, rediseño web y todos nuestros precios.
Pide tu diagnóstico
Cuéntanos la dirección de tu web y el nombre de tu hosting. Te decimos qué acceso autorizado necesitamos y el siguiente paso. No envíes contraseñas por correo.