Mi hosting dice que PHP ya está corregido. ¿Qué me queda por hacer?

WindowsMacActualizado

La corrección de tu hosting actualiza PHP, el lenguaje con el que sus servidores ejecutan tu web. El proyecto PHP publicó esas correcciones el 21 de octubre de 2026 en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El software que instalaste encima es otro trabajo: la guía de seguridad de WordPress dice que los proveedores de alojamiento se ocupan de la infraestructura, pero no responden de la aplicación que tú decides instalar.

Respuesta rápida

La corrección de tu hosting cubre PHP en sus servidores. En tu cuenta, actualiza WordPress o tu gestor de contenidos, sus plugins y sus temas. Comprueba qué versión de PHP usa cada una de tus webs, porque cPanel permite una distinta por dominio. Busca señales de intrusión, como aconseja el NCSC, y cambia tus contraseñas si algo no cuadra.

¿Qué cubre la corrección de PHP de mi hosting?

Cubre el propio PHP. El aviso de PHP del 21 de octubre de 2026 dice que dos fallos, CVE-2026-109618 y CVE-2026-109619, afectan a todas las instalaciones de PHP que atienden peticiones web y pueden permitir la ejecución remota de código sin autenticación. Dicho de forma sencilla: alguien podría ejecutar su propio código en el servidor sin iniciar sesión. El aviso nombra PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, todo software de servidor, así que en un alojamiento compartido o gestionado esa actualización le toca a tu hosting. El aviso de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, recomienda actualizar PHP de inmediato a la versión corregida de cada rama.

La corrección no actualiza WordPress, ni un tema, ni un plugin. Esos tienen sus propias actualizaciones.

Sobre la explotación, a 23 de octubre de 2026: la agencia estadounidense CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. El aviso de PHP describe un exploit demostrado contra Apache con mod_php, la configuración que considera de mayor riesgo.

¿Tengo que actualizar WordPress, plugins y temas igualmente?

Sí. La guía de seguridad de WordPress pide estar siempre en la última versión de WordPress y dice que las versiones antiguas no reciben actualizaciones de seguridad. Da el mismo consejo para los plugins, y pide borrar los que no uses. Haz antes una copia de seguridad, como sugiere la guía de actualización de WordPress.

  1. Entra en tu escritorio y ve a Escritorio > Actualizaciones.
  2. Si aparece una versión nueva de WordPress, haz clic en Actualizar ahora.
  3. En la misma pantalla, marca los plugins y temas que tengan actualizaciones pendientes y haz clic en el botón correspondiente, Actualizar plugins o Actualizar temas. La casilla de arriba de cada sección los selecciona todos.
  4. Ve a Plugins > Plugins instalados y borra los plugins que ya no uses.

WordPress dice que la mayoría de las webs aplican ya en segundo plano sus versiones menores y de seguridad, pero que una versión principal sigue necesitando que hagas clic en Actualizar ahora.

¿Qué versión de PHP usa de verdad mi web?

Compruébalo en lugar de darlo por hecho. La documentación de cPanel dice que cada dominio puede usar cualquiera de las versiones de PHP instaladas, así que conviene confirmar por separado la versión que ha corregido tu hosting y la que usa cada una de tus webs. Nuestra guía sobre cómo comprobar la versión de PHP de tu web muestra dónde mirar en WordPress y en cPanel. Si una web está en una versión antigua, cómo actualizar PHP en WordPress explica cómo cambiarla. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP, así que una web en esas versiones necesita hablarlo con tu hosting.

¿Debo buscar señales de intrusión en mi web?

Sí, si pasó tiempo antes de la corrección. La guía del NCSC, el centro de ciberseguridad del Reino Unido, pide a quien no pueda actualizar o desactivar un sistema de inmediato que lo revise en busca de señales de intrusión antes de actualizar o aplicar mitigaciones, y que busque puertas traseras. Un PHP nuevo corrige el fallo. No te dice si pasó algo antes.

  1. Ve a Usuarios > Todos los usuarios y haz clic en el enlace Administrador, encima de la tabla. Las preguntas frecuentes de WordPress sobre webs hackeadas dan la creación de usuarios nuevos como una señal clara.
  2. Abre el informe Problemas de seguridad de Google Search Console. Google dice que muestra lo que ha encontrado si tu web ha sido hackeada o puede perjudicar a quien la visita.
  3. Pregunta a tu hosting si ha detectado algo en tu cuenta.

Nuestra guía sobre las señales de que tu WordPress ha sido hackeado repasa cada comprobación con más detalle.

¿Cuándo cambio mis contraseñas?

Enseguida, si algo no cuadra. Las preguntas frecuentes de WordPress piden cambiar todos los puntos de acceso, que enumeran como FTP o SFTP, el administrador de WordPress, cPanel o cualquier otro panel de alojamiento y la base de datos, para todos los usuarios con acceso, no solo para ti. Qué hacer si te han hackeado la web tiene las contraseñas en orden, con el resto de los pasos de la primera hora.

¿Qué le pregunto a mi hosting?

Las preguntas cortas y concretas son las que dan respuestas útiles.

  1. ¿Qué versión de PHP usa ahora cada una de mis webs, y es 8.5.12, 8.4.27, 8.3.36 u 8.2.35?
  2. Si alguno de mis dominios está en Inherited (heredada), ¿cuál es la versión predeterminada del servidor?
  3. Si una web está en PHP 8.1 o anterior, ¿han aplicado una corrección adaptada? El proyecto PHP dice que algunos proveedores las ofrecen.
  4. ¿Han configurado session.upload_progress.enabled=0, como sugiere el aviso informativo de PHP del 23 de octubre hasta la próxima versión ordinaria?
  5. ¿Han visto algo en mi cuenta, o en el servidor que comparto, que apunte a una intrusión? Las preguntas frecuentes de WordPress dicen que un ataque en un alojamiento compartido puede afectar a más de una web.
  6. ¿Qué copias de seguridad de mi web guardan? WordPress sugiere preguntar a tu hosting por su política de copias.

Más preguntas

¿Está afectado mi proveedor de hosting por PHP2Shell?

Si usa PHP para servir webs, lo estaba hasta que actualizó. El NCSC dice que las organizaciones que usan cualquier versión de PHP están afectadas, y CISA recuerda que PHP suele ser un componente de otro software. Nuestra explicación de la vulnerabilidad de PHP cuenta los fallos en sí.

Mi hosting ha corregido PHP. ¿Mi web ya es segura?

Los dos fallos de PHP están corregidos en las versiones nuevas. La guía de seguridad de WordPress recuerda además que, en un servidor compartido, tu web también puede quedar comprometida si otra web de ese servidor lo está. Tus propias actualizaciones, la comprobación de versión y la búsqueda de intrusiones siguen importando.

¿Un cortafuegos de aplicaciones web hace lo mismo que la corrección?

No. CISA dice que un cortafuegos de aplicaciones web puede ayudar hasta que se actualice. El aviso de PHP dice que solo una actualización es una solución completa y que sus medidas temporales no hacen segura una instalación.

¿De qué iba el aviso de PHP del 23 de octubre?

De otra vía de ejecución remota de código, distinta e improbable, CVE-2026-115560. PHP dice que necesita una combinación poco habitual de configuración y código de la aplicación, y sugiere configurar session.upload_progress.enabled=0 hasta la próxima versión ordinaria. Ese ajuste está en el servidor, así que lo hace tu hosting.

¿Debería desconectar mi web hasta que el hosting la corrija?

El NCSC aconseja plantearse desconectar un sistema si no puede actualizarse ni mitigarse rápido. CISA pide desconectar los sistemas con PHP que no puedan actualizarse de inmediato o que sigan en PHP 8.1 o anterior, y el aviso de INCIBE-CERT pide aislar de las redes públicas un sistema expuesto que no se pueda actualizar. Cuando confirmes que tu web está en una versión corregida, ese consejo deja de aplicarse a ella.

Fuentes