Si tienes un sitio en WordPress, Laravel, Drupal o cualquier otra herramienta hecha con PHP, este miércoles es día de actualizar. El equipo de seguridad de PHP anunció con un día de anticipación que publicaría parches para dos fallas que califica como críticas.
El aviso pide a todos los usuarios de PHP prepararse desde ya para actualizar en cuanto salgan los parches. Aquí te contamos qué se sabe, qué no, y qué hacer para no quedarte atrás.
¿Qué pasó?
El 20 de octubre de 2026, el equipo de seguridad de PHP publicó en php.net un aviso previo. Ahí dice que el miércoles 21 de octubre a las 14:00 UTC, que son las 8:00 en el centro de México, saldría una versión de seguridad.
Esa versión corrige dos vulnerabilidades críticas, cada una con una calificación de 9.2 en CVSS 4.0. CVSS es la escala que se usa para medir qué tan grave es una falla, y va del 0 al 10.
PHP no ha dicho cuáles versiones están afectadas ni cuáles traen la corrección; eso lo publicará junto con los parches. También advirtió que podría adelantar la salida si los detalles se hacían públicos o si aparecían ataques reales.
BleepingComputer reporta que la empresa de seguridad watchTowr describe las fallas como de ejecución remota de código, es decir, que un atacante podría correr sus propios programas en tu servidor. Según el mismo medio, watchTowr no ha visto que se estén aprovechando todavía.
¿Por qué te importa?
PHP es el lenguaje con el que funcionan WordPress y muchísimos sitios y paneles de administración. Una falla en PHP no depende de qué plugin o tema uses: afecta al motor que corre todo.
Cuando un parche crítico sale, los atacantes suelen estudiarlo para descubrir cómo funciona la falla. Por eso las horas después del lanzamiento son las más delicadas para quien tarda en actualizar.
Si tu sitio está en un hosting compartido, quizá tu proveedor actualice por ti. Si administras tu propio servidor o VPS, el trabajo te toca a ti.
¿Qué puedes hacer?
- Revisa qué versión de PHP usa cada sitio; en WordPress la ves en Herramientas > Salud del sitio > Información > Servidor.
- Entra a php.net y consulta la página de la nueva versión para ver si tu rama está afectada y cuál es la versión corregida.
- Haz un respaldo completo de archivos y base de datos antes de tocar el servidor.
- Si tu proveedor de hosting administra PHP, pregúntale cuándo aplicará el parche; si tú administras el servidor, actualiza con el gestor de paquetes de tu sistema en cuanto tu distribución lo publique.
- Si tu sitio sigue en una versión de PHP sin soporte, planea migrar a una rama vigente: esas versiones viejas no suelen recibir estas correcciones.
Sigue leyendo
- Guía para desarrollar en WordPress en 2026: por dónde empezar
- Cómo crear tu primer plugin de WordPress desde cero
Fuentes
- PHP: Upcoming Critical PHP Security Release
- BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow
Imagen de portada: foto de Antoni Shkraba en Pexels.