Si tu sitio, tu tienda o el portal donde entran tus clientes funciona con WordPress, Magento, Drupal o un desarrollo propio en PHP, esta semana hay una pregunta que vale más que cualquier detalle técnico: ¿quién en tu empresa, o en tu proveedor, se enteró del aviso y actualizó el sitio ese mismo día?
Si la respuesta honesta es «supongo que el hosting», no tienes un problema técnico. Tienes un riesgo sin dueño. Y eso sí se puede resolver.
PHP es el lenguaje con el que funcionan muchísimos sitios web, tiendas en línea y portales. El 21 de octubre de 2026 el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos fallas críticas (CVE-2026-109618 y CVE-2026-109619), calificadas con 9.2 en la escala CVSS v4.0. En palabras simples: permiten que alguien, sin usuario ni contraseña, ejecute sus propias instrucciones en el servidor donde vive tu sitio. El propio proyecto PHP lo dice sin rodeos: no hay mitigaciones completas y actualizar es la única opción segura.
Los detalles se filtraron el 20 de octubre y PHP adelantó la publicación: salió hacia las 8:30 a. m., hora de Colombia, del 21 de octubre, antes de lo programado, según el CERT-EU. Las dos fallas ya se conocen como «PHP2Shell», el nombre que usan Cloudflare y Sansec.
La reacción fue rápida. Cloudflare reportó intentos de ataque tempranos y activó reglas en su firewall como protección provisional, que no reemplaza la actualización. En Países Bajos, el gobierno apagó temporalmente por precaución varios sitios oficiales, entre ellos Overheid.nl, MijnOverheid y DigiD. Y, según Sansec, los investigadores de Calif demostraron que alguien sin usuario ni contraseña puede ejecutar código en Magento, WordPress y Drupal.
No te lo contamos para asustarte. Te lo contamos porque un gobierno decidió que valía la pena saber exactamente qué tenía expuesto y actuar el mismo día. Esa es la pregunta que vale la pena hacerse en cualquier empresa.
Aquí está la confusión más común. Tu sitio tiene dos capas: la plataforma que ves (WordPress, Magento, Drupal) y el motor que la hace funcionar por debajo, que es PHP. La falla está en el motor. Por eso actualizar la plataforma o sus plugins, aunque sea buena práctica, no cierra este hueco.
El equipo de seguridad de Drupal lo dejó claro en su aviso: actualizar PHP es la única mitigación completa, y la seguridad del hosting es responsabilidad del dueño del sitio. Es decir, tuya, aunque la delegues.
Si no sabes en cuál de los dos casos estás, ese ya es el primer hallazgo.
No basta con «el que sabe de sistemas». Necesitas un nombre, sea de tu equipo o de tu proveedor, que se entere el mismo día que sale un aviso como este y sepa si te afecta: que tu sitio corre en PHP y en qué versión.
Un «ya está» por teléfono no alcanza. Pide una confirmación escrita con la versión exacta de PHP instalada (por ejemplo, 8.3.36 o superior en la rama 8.3), la fecha y la constancia de que PHP se reinició para que la versión nueva quede activa. Si alguien aplicó solo una medida provisional, también debe decírtelo con esas palabras.
Si tu sitio está en PHP 8.1 o anterior, esas versiones ya no reciben actualizaciones del proyecto PHP. Por la gravedad del caso, el equipo de seguridad de PHP publicó parches mínimos de código fuente para PHP 7.4, 8.0 y 8.1, pensados para quien compila PHP por su cuenta o no tiene un proveedor de soporte extendido (LTS); además, algunas distribuciones y proveedores LTS ofrecen sus propias correcciones. Eso es un salvavidas, no un plan. El plan real es migrar a una rama con soporte (hoy, 8.2, 8.3, 8.4 y 8.5), y eso hay que presupuestarlo y probarlo con calma. Si estás en 7.3 o antes, no hay ni ese parche mínimo.
Y si estás en 8.2, esta vez sí hay parche (8.2.35), pero esa rama se queda sin soporte el 31 de diciembre de 2026. Es buen momento para poner la migración en el calendario.
No hace falta entrar en pánico ni volverse experto en servidores. Hace falta ponerle dueño al riesgo: saber dónde está alojado tu sitio, en qué versión corre, quién lo vigila y quién te avisa. Es la misma lógica de quién responde por lo que entra a producción, incluso cuando el código lo escribe una IA.
Un sitio caído o intervenido no es un problema de servidores: son pedidos que no entran, clientes que no pueden ingresar a su portal y una conversación incómoda sobre la reputación de tu marca.
Es el apodo de dos fallas críticas de PHP (CVE-2026-109618 y CVE-2026-109619) corregidas el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Permiten ejecutar código en el servidor sin autenticarse.
No. La falla está en PHP, el motor sobre el que corren esas plataformas. Lo que protege es actualizar PHP a una versión corregida y reiniciarlo.
Depende. En hosting administrado suele hacerlo el proveedor, pero no todos respondieron igual el día del aviso. En un servidor propio o VPS nadie lo hace si no lo pides. Pide confirmación escrita con la versión instalada.
Esas versiones ya no reciben actualizaciones del proyecto PHP. Por la gravedad del caso, PHP publicó parches mínimos para 7.4, 8.0 y 8.1, y algunas distribuciones y proveedores LTS ofrecen los suyos: sirven para salir del paso, pero el plan real es migrar a una rama con soporte (hoy, 8.2 a 8.5). PHP 8.2 queda sin soporte el 31 de diciembre de 2026.
En Somos Gente Digital escuchamos, construimos y acompañamos hasta que el negocio crece. En mantenimiento eso significa vigilar los avisos, actualizar y contarte qué quedó hecho, con versión y fecha. No te vamos a prometer que nada va a fallar nunca; sí que hay gente cercana mirando y un método claro para responder cuando algo pasa.
Si no tienes claro quién responde por tu sitio, mira cómo trabajamos el mantenimiento de software o escríbenos en Contacto.
En una tormenta, la palmera y el bambú se doblan y no se parten. Lo rígido se rompe. Hoy la tormenta es la IA, y la pregunta para el dueño no es qué herramienta comprar, sino si puede cambiar de rumbo sin romper su operación.
La mayoría de desarrolladores ya programa con ayuda de la IA. Eso no es lo preocupante. Lo preocupante es que el código llegue a tu operación sin que nadie lo revise ni responda por él. Tres preguntas para hacer hoy.
