Recursos · 10 capítulos
Vulnerabilidad de PHP en octubre de 2026: qué deben hacer ahora los responsables de sitios WordPress
El 21 de octubre de 2026 el equipo de PHP publicó una actualización de emergencia. Prácticamente todos los sitios WordPress están afectados. Aquí tienes lo que debes hacer ahora y cuándo merece la pena cambiar.
Orientación
Tu recorrido de lectura
Ve directamente al capítulo que necesitas ahora.
Introducción
El 21 de octubre de 2026 el equipo de PHP publicó una actualización de emergencia contra dos vulnerabilidades críticas. Según los informes hasta ahora, ambas permiten a los atacantes ejecutar su propio código en el servidor sin iniciar sesión.
PHP es el lenguaje de programación sobre el que funcionan WordPress, WooCommerce, Joomla y muchos otros sistemas. Si tu sitio web está hecho con WordPress, es muy probable que te afecte.
En esta guía descubrirás qué ha pasado exactamente, qué debes hacer hoy mismo y por qué los sitios web que construimos no están afectados por esta vulnerabilidad.
Capítulo 01
¿Qué ha pasado?
El equipo de PHP ha cerrado dos vulnerabilidades que proveedores de seguridad como Patchstack y varios medios especializados califican de críticas. Cada una obtiene 9,2 de 10 puntos. Se trata de la llamada ejecución remota de código: un atacante puede ejecutar comandos en tu servidor a través de Internet sin tener que iniciar sesión.
Según los primeros informes de proveedores de alojamiento y empresas de seguridad, ya hay escaneos automatizados que buscan de forma específica sitios web sin parchear. Con fallos así, entre la publicación y los primeros ataques suelen pasar solo horas.
Según el anuncio, las vulnerabilidades están corregidas en las versiones de PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones antiguas de PHP que ya no reciben actualizaciones siguen abiertas.
Capítulo 02
¿Me afecta?
Afecta a cualquier sitio web cuyo servidor ejecute PHP en una versión vulnerable. Sobre todo a:
- sitios WordPress, también con maquetadores como Elementor o Divi
- tiendas online con WooCommerce, Shopware o Magento
- sitios web con Joomla, Drupal, TYPO3 o Contao
- aplicaciones desarrolladas a medida en PHP, por ejemplo con Laravel
Capítulo 03
De qué depende en tu caso
Que tu sitio esté protegido no lo decide WordPress, sino tu servidor. Solo cuando tu proveedor de alojamiento haya actualizado PHP estará cerrada la vulnerabilidad. No lo supongas, pregúntalo.
Capítulo 04
Qué debes hacer ahora mismo
Puedes dar estos pasos hoy, incluso sin agencia:
- Preguntar al proveedor de alojamiento: pide que te confirmen por escrito que tu servidor se ha actualizado a una de las versiones de PHP corregidas.
- Comprobar la versión de PHP: en el escritorio de WordPress, en Herramientas y Salud del sitio, ves qué versión está en uso.
- Actualizar WordPress, temas y plugins: a los atacantes les gusta combinar varias vulnerabilidades.
- Hacer una copia de seguridad: descarga una copia actual y guárdala fuera del servidor.
- Revisar las cuentas de usuario: los administradores desconocidos son una señal de alarma. Ante la duda, cambia todas las contraseñas.
- Vigilar anomalías: redirecciones extrañas, páginas de spam en Google o un aviso del navegador indican una infección.
Capítulo 05
Por qué WordPress se ve afectado tan a menudo
WordPress no está mal programado. El problema es el principio: con cada visita el servidor vuelve a montar la página, con PHP, una base de datos y a menudo decenas de plugins de distintos proveedores. Cada uno de estos componentes es una posible puerta.
A esto se suma su difusión. Como tantos sitios funcionan con WordPress, a los atacantes les compensa explotar las vulnerabilidades de forma automatizada y a gran escala. Ya en julio de 2026 la BSI alemana advirtió sobre las vulnerabilidades conocidas como «wp2shell», que según empresas de seguridad se explotaron de forma masiva.
Y por último el mantenimiento: muchas webs de empresa se construyeron una vez y apenas se han mantenido después. Precisamente esas son las primeras en caer ante una nueva vulnerabilidad.
Capítulo 06
Cómo construimos sitios web: sin WordPress y sin PHP
Los sitios web que construimos y gestionamos hoy en MINDWEBMEDIA no funcionan con WordPress. Los desarrollamos a medida con Next.js, un framework moderno basado en JavaScript. PHP no interviene. Por eso no están afectados por esta vulnerabilidad.
La diferencia está en la arquitectura:
- Sin plugins de terceros: lo que puede hacer el sitio forma parte de su propio código y se revisa con él.
- Sin acceso público: no hay ninguna página de administración en la que los atacantes puedan probar contraseñas.
- Páginas generadas de antemano: la mayoría de los contenidos se crean al publicar y se sirven a través de una red mundial, en lugar de montarse de nuevo con cada visita.
- Actualizaciones centralizadas: aplicamos las actualizaciones de seguridad a todos los sitios de clientes a la vez.
¿Prefieres que nos encarguemos?Evaluemos con claridad tu próximo paso.
En 30 minutos revisamos tu objetivo, tu situación actual y tus prioridades. Después sabrás qué próximo paso tiene sentido y si encajamos para trabajar juntos.
- Evaluación de tu situación actual
- Orden de prioridades y preguntas abiertas
- Recomendación para un próximo paso con sentido
Capítulo 07
Para ser sinceros
No existe ningún sitio web sin riesgo. Los frameworks modernos también han tenido vulnerabilidades críticas. La diferencia está en el tamaño de la superficie de ataque y en quién se ocupa de forma fiable de las actualizaciones.
Capítulo 08
¿Merece la pena cambiar ahora?
No todos los sitios WordPress tienen que sustituirse de inmediato. Si está mantenido, actualizado y alojado en un proveedor fiable, basta con seguir los pasos anteriores.
Cambiar merece la pena sobre todo si se cumplen varios puntos:
- El sitio no se ha revisado a fondo desde hace años.
- Nadie se ocupa de forma fiable de las actualizaciones.
- Hay muchos plugins instalados para funciones sencillas.
- El sitio carga despacio y apenas genera solicitudes.
Capítulo 09
Cómo es un cambio
Nuestra checklist de rediseño web muestra cómo se hace un rediseño sin perder posiciones. Cómo construimos sitios web lo encontrarás en diseño web.
Capítulo 10
Fuentes
Este artículo se basa en el aviso de seguridad de Patchstack sobre la vulnerabilidad de PHP, en la cobertura de medios especializados como IT-Administrator y Windows-FAQ del 21 de octubre de 2026 y en el aviso de ciberseguridad de la BSI alemana sobre las vulnerabilidades de WordPress de julio de 2026. Actualizaremos el artículo en cuanto haya información nueva.
En resumen
Lo más importante de un vistazo
El fallo de PHP de octubre de 2026 es serio pero controlable: preguntar al proveedor, comprobar la versión de PHP, instalar actualizaciones, hacer una copia de seguridad. Quien lo haga hoy estará a salvo.
Si quieres librarte de tu sitio WordPress para siempre y pasarte a un sitio web rápido, con poco mantenimiento y sin PHP, revisamos con gusto tu sitio actual y te decimos con sinceridad si merece la pena cambiar.
FAQ