¿Qué es PHP y por qué importa un fallo de PHP aunque nunca hayas programado?

WindowsMacActualizado

PHP es un lenguaje de programación para crear webs. El manual de PHP lo describe como "un lenguaje de scripts generalista y Open Source, especialmente concebido para el desarrollo de aplicaciones web". Funciona en el ordenador que envía la página, el servidor, y no en el móvil o el portátil desde el que la lees. Esta guía está actualizada a 23 de octubre de 2026.

Respuesta rápida

PHP es un lenguaje de código abierto con el que están hechas muchas webs. Su código se ejecuta en el servidor de la web, que construye cada página y envía el resultado terminado a tu navegador. Por eso un fallo de PHP es un problema de quienes gestionan webs, y la solución es una actualización en el servidor, no en tu dispositivo.

¿Para qué sirve PHP?

Sobre todo para hacer páginas que cambian. Una página web sencilla es un archivo fijo. Una página en PHP es un pequeño programa que escribe la página en el momento en que la pides, y así puede mostrarte tu cesta, tu cuenta o las últimas entradas.

El manual de PHP dice que está "principalmente concebido para servir como lenguaje de script del lado del servidor", y pone como ejemplos recoger datos de formularios, generar contenido dinámico y gestionar cookies. Su página principal, en inglés, lo resume diciendo que PHP mueve desde tu blog hasta las webs más populares del mundo.

Puede que uses PHP sin ver su nombre. WordPress dice en su página en español sobre PHP que es "uno de los lenguajes de programación con los que está creado WordPress". El manual añade que PHP también puede funcionar por su cuenta desde la línea de comandos, para scripts programados y procesamiento sencillo de texto.

¿Qué significa "del lado del servidor" para una web y sus visitantes?

Significa que el trabajo se hace en el ordenador de la web antes de que nada llegue a ti. El manual de PHP explica la diferencia con JavaScript, que funciona en tu navegador: con PHP, "el código se ejecuta en el servidor, generando así el HTML, que será luego enviado al cliente". El cliente es tu navegador.

Cuando abres una página de una web hecha con PHP, el servidor ejecuta el PHP, produce una página web normal y te la envía. El manual dice que el cliente "solo recibe el resultado del script, sin ningún medio de acceso al código" que lo produjo. También dice que un servidor puede configurarse de forma que "no hay manera para los usuarios de saber que PHP está siendo utilizado".

Para quien visita una web, eso tiene dos consecuencias sencillas. No necesitas tener PHP instalado para usar una web hecha con PHP, y normalmente no puedes saber si una web lo usa.

¿Por qué un solo fallo de PHP afecta a tantas webs?

Porque todas las webs que usan PHP ejecutan el mismo software de base, y un fallo en esa base lo comparten todas hasta que cada una se actualiza. El 21 de octubre de 2026 el proyecto PHP anunció dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, y dijo que estaban en riesgo todas las instalaciones de PHP que atienden peticiones web. El aviso de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, enumera como afectadas las ramas 8.2, 8.3, 8.4 y 8.5 anteriores a sus versiones corregidas.

Ninguna de las fuentes oficiales de esta guía da una cifra o un porcentaje de webs que usan PHP, así que aquí no damos ninguno. Lo que sí dicen es que PHP está muy extendido y que a veces cuesta verlo. La agencia estadounidense CISA dice que PHP suele ser un componente de otro software y que su presencia puede no ser directamente visible. El NCSC, el centro de ciberseguridad del Reino Unido, pide vigilar las actualizaciones de los fabricantes de aparatos y servicios que puedan incluir PHP. Y la página de WordPress sobre PHP dice: "Debido a que PHP es tan popular, es un objetivo para los hackers".

Los fallos, su gravedad y las versiones que los corrigen están en nuestra explicación de la vulnerabilidad de PHP.

¿Por qué mi dispositivo no ejecuta el PHP de la web?

Porque PHP funciona donde vive la web. Tu navegador pide una página al servidor, el servidor ejecuta su PHP y lo que te llega es la página terminada, en HTML. El aviso de PHP del 21 de octubre nombra configuraciones de servidor como las que están en riesgo, por ejemplo PHP-FPM, Apache con mod_php y LiteSpeed, todas ellas de servidores web.

Visitar una web con una versión de PHP antigua o sin corregir no pone ese PHP en tu móvil ni en tu portátil. El riesgo para quien visita es otro: si alguien toma el control de una web, puede cambiar lo que te muestra. Nuestra guía sobre si entrar en una web hackeada es peligroso explica cómo se ve eso y qué vigilar.

La excepción es que hayas instalado PHP tú, por ejemplo para crear o probar webs en tu ordenador. Entonces tienes una copia que actualizar, como cualquier otro programa.

¿Qué es una vulnerabilidad de PHP, en pocas palabras?

Una vulnerabilidad es un punto débil del software que alguien podría aprovechar para que haga algo que no debe. El proyecto PHP dice que los fallos de octubre de 2026 pueden permitir la ejecución remota de código sin autenticación. Dicho de forma sencilla: alguien podría hacer que un servidor ejecute las órdenes que quiera sin iniciar sesión.

La respuesta del proyecto PHP es actualizar. Sus notas de versión dicen que no hay mitigaciones completas y que actualizar es la única opción segura. Si gestionas una web, el primer paso es saber qué versión usa: cómo comprobar la versión de PHP de tu web muestra dónde mirar y enumera las versiones corregidas.

Más preguntas

¿PHP es un virus o un programa de mi ordenador?

No. PHP es un lenguaje de programación y el software que lo ejecuta, no un programa malicioso. Funciona en los servidores que alojan webs. Para ver si tu ordenador tiene una copia, nuestra guía sobre cómo saber si tienes PHP instalado muestra el único comando que necesitas.

¿Qué significan las siglas PHP?

El manual de PHP dice que PHP significa "PHP: Hypertext Preprocessor", y que es un acrónimo recursivo: la primera palabra del acrónimo es el propio acrónimo. Lo de "preprocesador" refleja lo que hace: trabaja sobre la página antes de enviarla a tu navegador.

¿Quién decide qué versión de PHP usa mi web?

Normalmente tu empresa de alojamiento. WordPress dice que "tu empresa de alojamiento decide qué versiones de PHP están disponibles para tu sitio, y muchos alojamientos te permiten cambiarla por tu cuenta". Nuestra guía para comprobar la versión de PHP de tu web muestra dónde mirarla.

¿Puedo saber si una web usa PHP?

A menudo no. El manual de PHP dice que un servidor puede configurarse para que los usuarios no tengan manera de saber que se está usando PHP. Si la web es tuya, tu panel de alojamiento o tu proveedor te dirán la versión.

¿Es seguro usar PHP?

Depende de la versión que use la web: las versiones con soporte reciben correcciones de seguridad y las que han llegado al final de su vida útil no. Nuestra guía sobre si PHP es seguro explica cómo funciona el soporte de PHP.

Fuentes