El 21 de octubre de 2026, el proyecto PHP publicó parches urgentes para dos vulnerabilidades críticas. Los sitios WordPress, las tiendas PrestaShop y otras aplicaciones PHP deben comprobar la versión que ejecutan y aplicar la actualización correspondiente.
¿Qué ha ocurrido?
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 afectan a mecanismos internos de memoria y gestión del estado de las solicitudes PHP. En determinadas circunstancias pueden permitir ejecución remota de código sin autenticación. No son fallos de un plugin concreto de WordPress ni de un módulo de PrestaShop. Un cortafuegos de aplicaciones puede reducir algunos riesgos, pero no sustituye al parche.
Versiones de PHP corregidas
Las versiones publicadas el 21 de octubre son PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 y PHP 8.2.35. No es obligatorio cambiar de rama principal solo para aplicar esta solución: PHP 8.4.27 contiene los parches, mientras que PHP 8.4.26 no.
PHP 8.1 y las ramas anteriores ya no reciben parches oficiales del proyecto, aunque algunos proveedores pueden mantener correcciones específicas. PHP 8.2 llegará al final de su soporte de seguridad el 31 de diciembre de 2026: conviene planificar la migración.
Cómo actualizar PHP sin perjudicar el sitio
Comprueba la versión en el panel del alojamiento o en el diagnóstico de la aplicación. En WordPress: Herramientas > Salud del sitio > Información > Servidor. En PrestaShop, utiliza la información del sistema o el panel del proveedor.
Antes de cambiar la rama PHP, guarda copias de seguridad de los archivos y de la base de datos. Comprueba la compatibilidad de temas, plugins, módulos y desarrollos propios, preferentemente en un entorno de pruebas. Después, revisa páginas, administración, formularios, correos y registros de errores. Si la versión segura no aparece, consulta al proveedor de alojamiento.
WordPress: actualizar también el núcleo, los temas y los plugins
Actualizar WordPress no corrige estas vulnerabilidades del motor PHP. Son actualizaciones complementarias. Mantén al día el núcleo del CMS, los plugins y el tema; elimina componentes innecesarios y revisa las cuentas administrativas.
Si ya existen redirecciones maliciosas, usuarios desconocidos o páginas de spam, actualizar no basta para eliminar una infección. Consulta nuestra guía Qué hacer si hackean tu WordPress.
PrestaShop: comprobar toda la compra
PrestaShop también depende de PHP. Antes de cambiar de rama verifica la compatibilidad de la tienda, el tema y los módulos. Prueba el catálogo, las combinaciones, el carrito, los pagos, los transportistas, el stock, los correos transaccionales, las tareas programadas y las integraciones de gestión. Algunos problemas solo aparecen al confirmar un pedido.
Mantén actualizados PrestaShop y sus módulos, pero evita las grandes actualizaciones directamente en producción sin una preparación adecuada.
La seguridad exige mantenimiento continuo
Instala los parches de seguridad urgentes, prepara los cambios mayores, conserva copias verificadas, limita los accesos privilegiados y supervisa los registros. Concepty ayuda a empresas a mantener, actualizar y proteger sus sitios WordPress y tiendas PrestaShop.
Fuentes oficiales: PHP, aviso CERT-EU, WordPress Francia.
*Publicado el 23 de octubre de 2026. Datos de versiones válidos en esta fecha.*