Semáforo UOL: Requiere acción
El proyecto PHP corrigió dos fallas críticas que afectan a casi todas sus versiones; le sirve a quien tiene un sitio WordPress o una tienda WooCommerce.
El 21 de octubre, el proyecto PHP publicó un aviso de seguridad por dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con un puntaje de 9,2 sobre 10 en la escala CVSS 4.0. Según el blog de seguridad de Google Cloud, afectan a todas las versiones de PHP desde la 5.4 hasta la 8.5.11. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La 8.1 y las anteriores ya no reciben actualizaciones del proyecto, por lo que seguirán expuestas.
Qué pasó
PHP es el lenguaje con el que funcionan WordPress, WooCommerce y buena parte de los sitios web de pequeñas empresas. Las dos fallas están en el núcleo del lenguaje, no en un complemento, y tienen que ver con cómo PHP maneja la memoria entre una visita y la siguiente. En términos simples: un atacante, sin usuario ni contraseña, podría lograr que el servidor ejecute código propio (lo que se llama «ejecución remota de código») o que muestre datos que deberían estar ocultos.
El proyecto PHP aclara que actualizar es la única solución completa. Algunos ajustes de configuración reducen ciertas vías de ataque, pero no dejan la instalación a salvo.
Según Infobae, que cita al diario alemán Bild, el Hospital Charité de Berlín y numerosas administraciones públicas, universidades y hospitales de Alemania retiraron sus páginas como precaución. La NSA de Estados Unidos y el organismo alemán de seguridad informática BSI pidieron aplicar los parches de inmediato.
Por qué importa en Uruguay
Un sitio en WordPress puede seguir funcionando sin problemas visibles sobre una versión de PHP sin soporte, y la versión la elige en general el proveedor de hosting, no el dueño del sitio. Por eso conviene revisarla ahora: si su sitio corre sobre PHP 8.1 o anterior, no hay parche que esperar y la única salida es pasar a una versión con soporte.
También conviene saber que la rama 8.2 deja de recibir soporte el 31 de diciembre de 2026, según php.net. Si va a pedir un cambio de versión, es razonable apuntar a la 8.3 o superior, previa prueba de compatibilidad de sus complementos.
Cómo ver qué versión usa su sitio
En WordPress, entre al escritorio y vaya a Herramientas > Salud del sitio > Información > Servidor. Allí aparece la versión de PHP. También puede verla en el panel de su proveedor de hosting, en la sección de configuración de PHP o del dominio.
Qué hacer hoy:
- Revise la versión de PHP de su sitio o tienda online por cualquiera de las dos vías anteriores.
- Si es 8.2, 8.3, 8.4 u 8.5, pregunte a su proveedor de hosting si ya instaló la versión corregida (8.2.35, 8.3.36, 8.4.27 u 8.5.12) y pida la confirmación por escrito.
- Si es 8.1 o anterior, solicite el pase a una versión con soporte y haga antes una copia de seguridad completa del sitio.
- Antes de cambiar de versión, pida un entorno de prueba o verifique con quien mantiene su sitio que el tema y los complementos son compatibles.
- Si tiene un servidor propio, actualice los paquetes de PHP de su distribución, que según php.net recibió las correcciones por adelantado.
Si necesita delegar el mantenimiento de su WordPress, consulte los planes de Socio Digital UOL, con actualizaciones, copias de seguridad y soporte. Antes de contratar, revisamos el estado y las necesidades de su sitio.
Fuentes:
- PHP: Security advisory, critical remote code execution vulnerabilities
- Google Cloud Blog: Responding to core PHP vulnerabilities
- Infobae: Empresas y hospitales apagan sus páginas web tras un fallo crítico
Por Valentina Suárez
Deje una respuesta