Vulnerabilidades de PHP en WordPress: cómo afectan a tu sitio y qué debes revisar

Un sitio WordPress puede funcionar con normalidad y, aun así, necesitar una actualización urgente de seguridad. Que las páginas carguen, los formularios respondan y el administrador no muestre errores no garantiza que todos los componentes del servidor estén protegidos.

Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell, afectan al motor de PHP, una tecnología fundamental para el funcionamiento de WordPress. Ambas pueden permitir la ejecución remota de código sin autenticación y fueron calificadas con una gravedad crítica de 9,2 sobre 10. [1]

Para los responsables de sitios corporativos, tiendas y portales, esta alerta exige revisar tanto la aplicación como el entorno donde está alojada.

¿Qué relación tiene PHP con WordPress?

WordPress utiliza PHP para ejecutar buena parte de sus funciones en el servidor. Cuando una persona visita una página, inicia sesión o envía un formulario, el sistema procesa instrucciones que pueden consultar la base de datos, aplicar reglas y generar una respuesta.

El visitante ve el resultado en su navegador, pero el procesamiento ocurre en la infraestructura del hosting.

Por eso, la seguridad de un sitio depende de varios componentes: WordPress, sus plugins y temas, PHP, la base de datos y el servidor. Cada uno tiene su propio mantenimiento.

Actualizar WordPress no actualiza automáticamente la versión de PHP que utiliza el alojamiento. Esta última normalmente se gestiona desde el hosting o mediante el equipo encargado de la infraestructura.

¿Cómo pueden afectar estas vulnerabilidades a un sitio?

Las fallas se encuentran en la gestión de memoria de PHP. Una está relacionada con operaciones que se interrumpen al alcanzar un límite de memoria; la otra, con referencias internas que permanecen después de que esa memoria ha sido liberada. El detalle técnico de cada una está en PHP y sus vulnerabilidades críticas.

Su importancia para WordPress está en que afectan a una capa que funciona por debajo de la aplicación. El proyecto PHP advierte que existe una vía de ataque demostrada en mod_php que puede activarse antes de ejecutar el código del sitio. [2]

Esto significa que disponer de contraseñas robustas o restringir el acceso al administrador no corrige estas fallas del motor.

Una explotación exitosa podría permitir acceder a información, modificar archivos o interrumpir servicios, dependiendo de los permisos del proceso afectado. En un sitio comercial, esas consecuencias podrían traducirse en pérdida de consultas, indisponibilidad de la tienda o alteración de contenidos. [3]

Sin embargo, tener una instalación vulnerable no demuestra que el sitio ya haya sido comprometido. Es necesario distinguir entre estar expuesto y haber sufrido una intrusión.

¿Todos los sitios WordPress están afectados de la misma forma?

La exposición debe evaluarse según la versión de PHP, los parches del proveedor y la configuración del servidor. No basta con saber que un sitio utiliza WordPress para determinar su situación.

Tampoco debe asumirse que un hosting administrado ya aplicó las correcciones. Lo adecuado es solicitar una confirmación concreta que identifique el entorno revisado y los parches instalados.

Si una empresa mantiene varios sitios, subdominios o ambientes de prueba, conviene comprobar cada uno. Una actualización aplicada a un dominio no acredita que los demás utilicen el mismo entorno corregido.

Cómo consultar la versión de PHP desde WordPress

El panel permite revisar esta información siguiendo la ruta:

Herramientas → Salud del sitio → Información → Servidor.

En esa sección se muestran datos del entorno, incluida la versión de PHP. Es un punto de partida útil para comunicar la situación al proveedor de alojamiento. [4]

La comprobación debe considerar el número completo de versión. Saber que un sitio utiliza “PHP 8” resulta insuficiente para determinar si incorpora estas correcciones.

Además, algunos proveedores distribuyen parches de seguridad adaptados a paquetes anteriores. En esos casos, el número visible debe complementarse con la confirmación del proveedor sobre los CVE corregidos. [1]

Qué versiones corrigen las dos fallas principales

El 21 de octubre de 2026 se publicaron las siguientes versiones corregidas:

Rama de PHP	Versión que incorpora las correcciones
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

Estas son referencias para las dos vulnerabilidades principales. La selección de la versión debe considerar también la compatibilidad del sitio, sus extensiones y los paquetes disponibles en el hosting. [2]

Cómo actualizar sin descuidar el funcionamiento del sitio

Una actualización de seguridad debe aplicarse con prioridad y acompañarse de verificaciones. Para un sitio WordPress, el proceso debería contemplar:

1. Respaldar archivos y base de datos. Confirmar que existe un punto de recuperación utilizable.
2. Revisar compatibilidad. Identificar plugins, temas y desarrollos propios que puedan requerir ajustes.
3. Probar el cambio cuando sea posible. Utilizar un ambiente de pruebas sin convertirlo en una demora indefinida ante una exposición crítica.
4. Actualizar el entorno de producción. Coordinar la aplicación del parche con quien administra el servidor.
5. Comprobar las funciones del negocio. Verificar navegación, formularios, accesos, carga de archivos e integraciones. En una tienda, incluir carrito, compra y confirmaciones.
6. Registrar el resultado. Dejar constancia de la versión activa, la fecha y las pruebas realizadas.

La verificación técnica también debe confirmar que los procesos activos utilizan el software actualizado: instalar paquetes sin reiniciar o redesplegar los servicios necesarios puede dejar código vulnerable en ejecución. [3]

¿Un plugin de seguridad es suficiente?

Un plugin de seguridad no reemplaza el parche de PHP. Del mismo modo, un firewall puede reducir la exposición a determinadas solicitudes, pero no debe considerarse una corrección definitiva de estas vulnerabilidades.

PHP señala que las mitigaciones temporales para las dos fallas principales cubren vías específicas de ataque y no garantizan que una instalación quede segura. La actualización es la solución completa. [2]

Una tercera alerta también debe evaluarse

El 23 de octubre se informó sobre CVE-2026-115560, que depende de una combinación poco habitual de configuración y manejo de sesiones.

No corresponde asumir que todos los sitios WordPress cumplen esas condiciones. El responsable técnico debe revisar si la instalación está expuesta y aplicar la mitigación indicada, que contempla desactivar session.upload_progress.enabled y reiniciar los procesos correspondientes hasta la actualización prevista. [1]

Qué pedir al proveedor de hosting

Para obtener una respuesta verificable, la consulta debería incluir cuatro puntos:

• Qué versión y paquete de PHP ejecuta el sitio.
• Si las dos vulnerabilidades principales están corregidas.
• Si los servicios activos ya utilizan la actualización.
• Si se evaluó la tercera vulnerabilidad y su configuración aplicable.

Si existen señales de acceso indebido, el trabajo debe incluir una investigación. Actualizar PHP cierra una vía de ataque, pero no elimina por sí solo archivos maliciosos o cambios realizados previamente.

La protección de un sitio WordPress requiere mantenimiento tanto de la aplicación como de su infraestructura. Frente a esta alerta, la acción más útil es confirmar la exposición, coordinar la corrección y comprobar que el sitio continúa funcionando sobre un entorno actualizado.

¿Quieres confirmar que tu sitio quedó corregido?

En Syscode desarrollamos y mantenemos sitios web. Revisamos la versión de PHP de tu WordPress, coordinamos la actualización con tu hosting y comprobamos que formularios, tienda e integraciones sigan funcionando.

Agenda un diagnóstico y revisemos tu sitio.

Fuentes consultadas

1. CERT-EU — Critical Vulnerabilities in PHP
2. PHP — Avisos y actualizaciones de octubre de 2026
3. Google Cloud — Responding to core PHP vulnerabilities
4. WordPress — Site Health screen

Artículo actualizado al 26 de octubre de 2026. La imagen de portada es una ilustración generada con IA; la interfaz representada no es una captura real de WordPress.