¿Es seguro PHP? El lenguaje frente a la versión que usas
El proyecto PHP da a cada versión de PHP cuatro años de soporte, y después deja de corregir sus problemas de seguridad. Por eso, que PHP sea seguro para tu web depende menos del lenguaje que de la versión que usa tu web y de si está actualizada. Esta guía está actualizada a 23 de octubre de 2026.
Respuesta rápida
PHP es seguro de usar cuando tu web funciona con una versión que el proyecto PHP aún mantiene, actualizada a su última publicación. A 23 de octubre de 2026 eso significa PHP 8.2, 8.3, 8.4 u 8.5, en 8.2.35, 8.3.36, 8.4.27 u 8.5.12 o superior. Las versiones sin soporte ya no reciben correcciones de seguridad del proyecto. Para un fallo relacionado y mucho menor, que considera improbable en la práctica, el proyecto PHP recomienda en un aviso informativo del 23 de octubre desactivar el progreso de subida de sesiones hasta la próxima versión de corrección, como detalla nuestra explicación de la vulnerabilidad de PHP.
¿Es seguro PHP en sí mismo?
El propio manual de PHP es franco. Su capítulo de seguridad dice que PHP puede acceder a ficheros, ejecutar comandos o abrir conexiones de red desde el servidor, y que "estas propiedades hacen que, por defecto, sea inseguro todo lo que se ejecute en un servidor web". Añade que, con un ajuste correcto de las opciones de configuración y prácticas de programación apropiadas, puede dar "exactamente la combinación de libertad y de seguridad que necesita".
El lenguaje es una herramienta, y lo segura que sea una web depende de cómo esté configurada y de que se mantenga al día. El manual dice que cómo de seguro es ese entorno "depende del desarrollador PHP". En una web personal, ese trabajo suele repartirse entre tú, tu empresa de alojamiento y quien hace el software de tu web, como WordPress. Si no tienes claro qué hace PHP en tu web, nuestra guía sobre qué es PHP empieza desde el principio.
¿Qué diferencia hay entre el lenguaje y la versión que uso?
PHP se publica en ramas, como 8.3 u 8.4, y cada rama recibe pequeñas versiones numeradas con correcciones, como 8.3.36. Cuando alguien pregunta si PHP es seguro, la pregunta útil es si tu rama sigue teniendo soporte y si tienes su última versión.
La página de versiones con soporte de PHP dice que cada rama tiene dos años de soporte completo desde su primera versión estable y luego dos años más de correcciones solo para problemas de seguridad críticos. Después de esos cuatro años, la rama llega al final de su vida útil. A 23 de octubre de 2026, la página enumera 8.2, 8.3, 8.4 y 8.5 como ramas con soporte, y el soporte de seguridad de 8.2 termina el 31 de diciembre de 2026. La tabla completa está en la página de versiones con soporte de php.net.
Si tu web usa una rama más antigua, nuestra guía sobre qué hacer con una versión antigua de PHP explica tus opciones.
¿Por qué importan tanto las actualizaciones de seguridad?
Porque un fallo que se ha encontrado y corregido sigue abierto en cualquier servidor que no haya instalado la corrección. La página de versiones con soporte de PHP dice que quien usa una versión sin soporte debería actualizar lo antes posible, porque puede estar expuesto a vulnerabilidades de seguridad sin corregir.
El NCSC, el centro de ciberseguridad del Reino Unido, dice lo mismo del software en general. En sus consejos para particulares dice que aplicar pronto las actualizaciones de seguridad ayuda a proteger tus dispositivos y cuentas de los ciberdelincuentes, y lo llama una de las cosas más importantes y rápidas que puedes hacer. En su guía para organizaciones fija como norma aplicar las actualizaciones lo antes posible, e idealmente de forma automática.
En una web, la actualización suele afectar a PHP en el servidor, que quizá gestione tu hosting, y al software de la web y sus plugins, que funcionan encima. Tener uno al día no cubre el otro.
¿Qué muestra PHP2Shell sobre todo esto?
El 21 de octubre de 2026 el proyecto PHP corrigió dos fallos críticos, que según la agencia estadounidense CISA se conocen como "php2shell", con versiones nuevas solo para las cuatro ramas con soporte. El aviso dice que PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP, así que quien las usa depende de una corrección adaptada de su proveedor o de pasar a una rama con soporte. El aviso de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, lo resume así: "la actualización es la única solución completa". Nuestra explicación de la vulnerabilidad de PHP cuenta los fallos con detalle.
¿Cómo sé si mi web usa una versión con soporte y corregida?
Busca la versión exacta de PHP de tu web y compárala con las ramas con soporte y con la última versión corregida de tu rama. Si no encuentras el número, tu hosting puede decírtelo.
Nuestra guía sobre cómo comprobar la versión de PHP de tu web muestra dónde mirar en WordPress y en un panel de hosting, con las preguntas que puedes hacer a tu proveedor. Si resulta que tienes que cambiar de versión, cómo actualizar PHP en WordPress lo explica, con copia de seguridad primero.
Más preguntas
¿Sigue siendo seguro usar PHP en 2026?
Sí, en una versión con soporte y actualizada. A 23 de octubre de 2026, la página de versiones con soporte de PHP enumera 8.2, 8.3, 8.4 y 8.5. Las ramas anteriores a 8.2 han llegado al final de su vida útil, y la página dice que quien usa una versión sin soporte puede estar expuesto a vulnerabilidades sin corregir.
¿Es seguro PHP 8.2?
La página de versiones con soporte de PHP muestra que el soporte de seguridad de 8.2 termina el 31 de diciembre de 2026. Nuestra guía sobre qué hacer con una versión antigua de PHP explica qué planificar.
¿Visitar una web hecha con PHP pone en riesgo mi ordenador?
PHP funciona en el servidor de la web, no en tu dispositivo, y el aviso de PHP2Shell trata de las instalaciones que atienden peticiones web. Corregirlas es cosa de quien gestiona la web. Nuestra guía sobre si entrar en una web hackeada es peligroso trata la parte de quien visita.
Si PHP está al día, ¿mi web es segura?
No por sí solo. El manual de PHP dice que la seguridad de un entorno PHP depende también de su configuración y de cómo esté escrito el código. El software de tu web, los temas y los plugins necesitan sus propias actualizaciones, y tu hosting responde del servidor que los rodea.
¿Quién actualiza PHP en una web alojada?
Muchas veces tu empresa de alojamiento, y a veces tú desde tu panel de hosting. El NCSC pide a las organizaciones vigilar las actualizaciones de los fabricantes cuyos productos y servicios incluyen PHP. Si no sabes a quién le toca, pregunta a tu hosting qué versión usa tu web y si ya tiene la versión corregida.
Fuentes
- Supported versions, PHP
- Seguridad: introducción, Manual de PHP
- Security advisory: Critical remote code execution vulnerabilities, update now, PHP (21 Oct 2026)
- Múltiples vulnerabilidades en PHP, INCIBE-CERT (21/10/2026)
- Critical security issue affecting PHP, NCSC
- Install the latest software and app updates, NCSC
- Vulnerability management guidance, NCSC
- Critical vulnerabilities in PHP require immediate patching, CISA