Actualización crítica de PHP del 21 de octubre: cómo preparar tu web antes del parche

El 20 de octubre de 2026 el equipo de seguridad de PHP hizo algo poco habitual: avisar con antelación de una actualización de seguridad. Corrige dos vulnerabilidades críticas, ambas con una puntuación de 9,2 sobre 10 (CVSS 4.0), y sale el miércoles 21 de octubre a las 14:00 UTC, las 16:00 en España.

No han contado en qué consisten ni qué versiones afectan: lo publicarán junto al parche. Sí han dejado claro que pueden adelantarlo si los detalles se filtran o si detectan que alguien ya las está explotando.

Por qué esta vez hay que darse prisa

PHP mueve WordPress, WooCommerce, PrestaShop y la mayoría de webs de empresa. Un 9,2 está en lo más alto de la escala, y el aviso previo indica que el propio equipo de PHP lo considera serio.

El momento peligroso empieza cuando sale el parche. En cuanto el código corregido es público, cualquiera puede compararlo con el anterior y deducir cómo atacar. Desde ese momento, cada hora que tu servidor siga con la versión antigua es una hora de exposición.

Qué hacer hoy, antes de las 16:00

1. Comprueba qué versión de PHP usa tu web. En WordPress: Herramientas → Salud del sitio → Información → Servidor. Si gestionas varias webs, apúntalas todas.
2. Haz una copia de seguridad completa (archivos y base de datos) y guárdala fuera del servidor. Si la actualización da problemas, podrás volver atrás en minutos.
3. Pregunta a tu hosting cuándo van a actualizar. Los alojamientos gestionados suelen hacerlo solos en uno o dos días; en un VPS o servidor propio te toca a ti.
4. Si usas PHP 8.1 o anterior, no vas a recibir este parche. Esas versiones ya no tienen soporte. Es el momento de pasar a 8.3 o 8.4, probando antes en una copia de la web que los plugins y el tema funcionan.
5. Reduce superficie de ataque ahora, sea cual sea el fallo: activa el firewall de aplicación de tu hosting (ModSecurity, Imunify360 o Cloudflare), desactiva las extensiones de PHP que no uses, oculta la versión de PHP (expose_php = Off) y bloquea la ejecución de PHP en /wp-content/uploads.

Qué hacer en cuanto salga el parche

1. Lee el aviso oficial en php.net para saber qué versiones y qué extensiones están afectadas.
2. Actualiza PHP. En cPanel o Plesk, desde el selector de versiones cuando tu proveedor publique la nueva. En un servidor propio, con el gestor de paquetes de tu distribución o de repositorios que suelen empaquetar rápido, como el de Ondřej Surý (Debian/Ubuntu) o el de Remi (RHEL, AlmaLinux, Rocky).
3. Reinicia PHP-FPM y comprueba la versión con php -v y de nuevo en Salud del sitio. Sin reinicio, el servidor sigue usando la versión vieja.
4. Revisa la web: portada, formularios, carrito y pago si tienes tienda.
5. Vigila los registros los días siguientes: picos de errores 500, procesos de PHP que se caen o peticiones extrañas pueden indicar intentos de ataque.

¿Quieres que nos encarguemos?

En CodigoJS actualizamos PHP en las más de 50 webs que mantenemos en cuanto sale un parche de seguridad, con copia previa y revisión posterior. Si no sabes qué versión tiene tu web o tu hosting no te da fecha, escríbenos y lo dejamos resuelto hoy.

Fuente: PHP.net, aviso del 20 de octubre de 2026