El 21 de octubre de 2026, el proyecto PHP publicó correcciones para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619. En determinadas condiciones pueden permitir que una solicitud sin autenticar ejecute código en el servidor. Si tu web WordPress usa PHP —como ocurre normalmente—, lo que debes comprobar es el PHP del servidor. No es una vulnerabilidad específica de WordPress ni está prevista una actualización del núcleo de WordPress para corregirla.
Qué ha ocurrido y qué versiones están corregidas
Las correcciones oficiales están incluidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP recomienda actualizar cuanto antes. Las versiones anteriores a PHP 8.2 ya no reciben actualizaciones del proyecto; algunos distribuidores y proveedores, sin embargo, pueden aplicar parches retroportados. Por eso, el número que aparece en el panel no siempre basta para saber si el servidor está protegido: hay que confirmar qué paquete está instalado.
Qué hacer ahora
- Comprueba qué versión de PHP utiliza la web. En WordPress, ve a Herramientas → Salud del sitio → Información → Servidor y anota la versión. Si tienes varios dominios o entornos de pruebas en el mismo alojamiento, pide que también los revisen.
- Contacta cuanto antes con el proveedor. Pregunta si ya ha actualizado el servicio PHP de tu dominio a una versión corregida o si ha aplicado un parche retroportado que cubra las dos CVE.
- Pide información concreta. Solicita el paquete o la versión instalada, la fecha de la corrección y, si la intervención sigue pendiente, cuándo estará terminada.
Puedes abrir un ticket con este mensaje:
Mi dominio usa PHP. ¿Podéis confirmar si el servicio que gestiona la web está actualizado o corregido para CVE-2026-109618 y CVE-2026-109619? Indicad el paquete o la versión de PHP utilizada, si se ha aplicado un parche retroportado y la fecha de la intervención. Si la corrección aún no está activa, ¿cuál es el plan y cuándo se aplicará?
Qué hacer según la respuesta
El proveedor confirma que ya está corregido: guarda la respuesta y comprueba que la web funciona, incluidas las funciones importantes como formularios, acceso y pedidos de WooCommerce. Si se ha cambiado de rama de PHP, confirma la compatibilidad con WordPress, el tema y los plugins.
Falta la corrección o no queda claro si cubre el servidor: pide al proveedor una actualización urgente y una medida temporal adecuada. Si no se puede corregir enseguida un servidor expuesto, las recomendaciones de seguridad plantean limitar el acceso público hasta aplicar la corrección. Acuerda esa medida con quien gestiona el alojamiento, porque puede dejar la web inaccesible.
Si administras el servidor
Coordina la actualización con la persona responsable del servidor y utiliza el paquete de seguridad del sistema operativo o del proveedor de PHP. Antes de cambiar de rama, comprueba la compatibilidad y que dispones de una copia de seguridad recuperable. No copies cambios de configuración encontrados en Internet como solución por tu cuenta: las medidas temporales pueden reducir algunas vías de ataque, pero no sustituyen la actualización. Un WAF tampoco equivale a corregir PHP.
En nuestro trabajo con WordPress y WooCommerce empezamos por revisar la versión y la configuración real del servidor. Después coordinamos con el proveedor una actualización compatible y comprobamos la web tras la intervención. Para planificar una revisión, consulta el servicio de seguridad para WordPress o contáctanos.
Fuentes: aviso y versiones corregidas del proyecto PHP · indicaciones de WordPress.org · indicaciones de ENISA.
