Vulnerabilidad PHP: revise su sitio tras aviso del FBI

Verificado el 4 de noviembre de 2026

El FBI advirtió sobre dos vulnerabilidades críticas en el núcleo de PHP que podrían permitir a atacantes ejecutar código a distancia y entrar en sistemas. Las actualizaciones de seguridad ya están disponibles. Según el aviso oficial del FBI, quienes administran sitios web deben comprobar si sus sistemas están afectados y actualizar de inmediato las instalaciones de PHP afectadas. Si usted tiene un sitio para su pequeño negocio, su primer paso es pedir al proveedor de hosting o al desarrollador la versión exacta de PHP que usa el servidor y confirmar que se instaló la corrección aplicable.

No intente deducir el estado de seguridad por la apariencia del sitio. Pida una respuesta concreta sobre la instalación que atiende las visitas reales de sus clientes. Si el proveedor no puede actualizarla de inmediato, el FBI recomienda desconectar el sistema hasta resolver por completo el problema.

¿Sobre qué advirtió el FBI?

El 23 de octubre de 2026, el FBI publicó el anuncio de servicio público I-102326-PSA sobre vulnerabilidades críticas en PHP, después de su primera advertencia en redes sociales del 21 de octubre. El anuncio en ic3.gov describe PHP como un lenguaje de programación muy usado que hace funcionar sitios web y aplicaciones web.

El FBI identifica dos fallas, CVE-2026-109618 y CVE-2026-109619. Según la agencia, podrían permitir que actores maliciosos ejecuten su propio código a distancia en el núcleo de PHP y pongan en riesgo datos sensibles y redes. El FBI añade que los atacantes podrían aprovecharlas para entrar en sistemas, con riesgo para la información sensible y el funcionamiento del negocio.

El FBI señala que las actualizaciones de seguridad están disponibles y deben aplicarse de inmediato. También pide a dueños de negocios y responsables de sitios web que comprueben si sus sistemas están afectados. El aviso no nombra WordPress, ninguna otra plataforma de gestión de contenido ni empresas de hosting concretas.

¿Qué significan PHP, vulnerabilidad y actualización?

PHP es el lenguaje que, según el FBI, hace funcionar muchos sitios y aplicaciones web. En palabras simples, una vulnerabilidad es una falla que puede abrir una vía de entrada no prevista. Una actualización de seguridad es la corrección que se instala para cerrar esa falla.

El hosting es el servicio y el entorno de servidor donde se aloja un sitio. Los registros del servidor, también llamados logs, son anotaciones de la actividad del servidor web y de PHP. El FBI pide conservar esos registros si aparecen señales de intrusión.

¿Está afectado el sitio de mi pequeño negocio?

En la práctica, muchos sitios de pequeños negocios trabajan con PHP a través de WordPress o de un servicio de hosting, aunque el dueño nunca vea ni administre PHP directamente. El aviso del FBI no menciona WordPress, otras plataformas ni proveedores específicos.

Según el boletín de seguridad 2026-018 de CERT-EU, al que remite el FBI, está en riesgo toda instalación de PHP que atiende solicitudes web. CERT-EU incluye configuraciones comunes como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.

Por eso, pida al responsable técnico que revise la instalación real del servidor. La pregunta útil no es solo si el sitio usa WordPress, sino si atiende solicitudes web con PHP, qué versión está en producción y si la corrección ya fue instalada y verificada.

¿Qué añade CERT-EU?

CERT-EU informa que el equipo de PHP publicó las correcciones el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Esos números proceden de CERT-EU. No indican por sí solos qué versión está instalada en su sitio, por lo que su proveedor debe identificar la rama correspondiente y confirmar la versión que está funcionando.

CERT-EU también indica que los detalles técnicos ya se discuten en público y que empezaron a circular las primeras pruebas de concepto. Según CERT-EU, esto aumenta la probabilidad de que los atacantes ya estén aprovechando las vulnerabilidades. CISA, la agencia de ciberseguridad de EE. UU. a la que remite el FBI, añadió ambas vulnerabilidades el 26 de octubre de 2026 a su catálogo de vulnerabilidades explotadas conocidas, lo que indica que tiene pruebas de que se están aprovechando.

El mismo boletín aconseja instalar las correcciones de inmediato. Si no es posible, CERT-EU recomienda aislar de las redes públicas las aplicaciones expuestas a internet hasta que la corrección quede aplicada y verificada.

¿Qué hago primero?

El aviso del FBI sobre PHP indica estos pasos. Si usted no administra el servidor, envíe la lista a su hosting, desarrollador o proveedor técnico y pida que le diga quién se hará cargo de cada acción.

1. Actualizar PHP de inmediato. El FBI indica que se actualicen las instalaciones afectadas siguiendo las instrucciones del sitio php.net.
2. Desconectar lo que no pueda actualizarse ahora. Si una actualización inmediata no es viable, el FBI recomienda dejar el sistema fuera de línea hasta que el problema se resuelva por completo.
3. Hacer una lista de dónde funciona PHP. El FBI pide dar prioridad a los sistemas expuestos a internet y a los productos de proveedores que traen PHP incluido.
4. Vigilar el servidor web. El FBI señala como ejemplos de actividad sospechosa los procesos de PHP que abren inesperadamente una consola de comandos o descargan archivos.

Para un dueño de negocio, el resultado práctico de este primer paso debe ser una respuesta escrita. Debe incluir la versión de PHP en producción, el estado de la corrección, los sistemas revisados y la acción prevista si todavía no es posible actualizar.

¿Cómo sé qué versión de PHP usa mi sitio?

Pídasela al proveedor que administra el servidor. Solicite la versión exacta que atiende las solicitudes web del sitio en producción y pida que la compare con la versión corregida de la rama correspondiente que enumera CERT-EU.

No mezcle esa respuesta con una actualización de contenido, diseño o complementos. Para este aviso, la confirmación necesaria se refiere a la instalación de PHP que funciona en el servidor.

¿Qué le pregunto a mi proveedor de hosting o a mi desarrollador?

Las siguientes preguntas convierten en una conversación práctica los pasos de actualización, inventario, vigilancia, aislamiento y conservación de registros del FBI, junto con las versiones corregidas que publicó CERT-EU.

• ¿Nuestro sitio en producción atiende solicitudes web mediante PHP?
• ¿Qué versión exacta de PHP funciona ahora en el servidor?
• ¿Corresponde a una de las versiones corregidas que enumera CERT-EU para su rama?
• ¿Cuándo se instaló la actualización y cómo se verificó en producción?
• ¿Hay otros sistemas expuestos a internet o productos del proveedor que incluyan PHP?
• ¿Se revisó el servidor para detectar la actividad sospechosa descrita por el FBI?
• ¿Qué se desconectará o aislará si la actualización no puede aplicarse ahora?
• ¿Se conservarán los registros del servidor web y de PHP si aparecen señales de intrusión?

Pida nombres y estados concretos, no una respuesta general como que todo está protegido. Usted necesita saber qué instalación fue revisada, qué versión funciona, si la corrección se verificó y quién queda responsable del siguiente paso.

¿Cómo mantengo abierto otro canal con mis clientes?

Si el sitio debe quedar temporalmente fuera de línea, SkyAria Voice Assistant puede contestar las llamadas entrantes del negocio a cualquier hora, entender la solicitud, agendar una cita y pasar contexto escrito al equipo, usando el número existente del negocio.

Otros avisos útiles para un pequeño negocio

PATech Labs también explica otro aviso reciente del FBI sobre estafas con mensajes electorales y una alerta sobre llamadas que suplantan a la policía. Son temas vecinos de seguridad y fraude, pero ninguna de esas páginas trata la vulnerabilidad de PHP.

La guía sobre anuncios falsos que suplantan a empresas cubre otra situación distinta. También es una lectura relacionada para negocios, no una fuente de instrucciones sobre PHP.

Preguntas frecuentes sobre la vulnerabilidad PHP

¿Y si no puedo actualizar de inmediato?

El FBI recomienda desconectar el sistema afectado hasta que el problema quede resuelto por completo. CERT-EU aconseja aislar de las redes públicas las aplicaciones expuestas a internet hasta instalar y verificar una corrección. Pida al responsable del servidor que especifique qué medida aplicará y cuándo verificará el arreglo.

¿Qué hago si creo que hackearon mi sitio?

Si hay señales de intrusión, el FBI indica que se aíslen los sistemas afectados, se conserven los registros del servidor web y de PHP, y se denuncie el incidente en una oficina local del FBI o en ic3.gov. Pida a quien maneja el servidor que no borre esos registros durante la revisión.

El FBI incluye entre las señales que deben vigilarse los procesos de PHP que abren sin motivo una consola de comandos o descargan archivos. La revisión técnica debe hacerla el responsable del servidor. Esta información es general y no sustituye asesoría profesional de seguridad ni asesoría legal.

¿El FBI dice que mi sitio WordPress está afectado?

El aviso del FBI no nombra WordPress. Pide a los dueños de negocios y responsables de sitios que comprueben si sus sistemas están afectados. CERT-EU afirma que toda instalación de PHP que atiende solicitudes web está en riesgo, así que su hosting o desarrollador debe revisar la instalación concreta y confirmar la versión.

¿Dónde puedo seguir las novedades oficiales?

El FBI remite al anuncio del equipo de PHP en el sitio php.net, al aviso de seguridad CERT-EU 2026-018 y al catálogo de vulnerabilidades explotadas conocidas de CISA. Puede pedir a su proveedor que siga esas referencias y le informe si cambia la acción necesaria para su servidor.

¿Cuál es la idea principal?

Obtenga tres respuestas concretas: dónde funciona PHP, qué versión atiende su sitio y si la corrección aplicable fue instalada y verificada. Si no se puede actualizar de inmediato, siga la indicación del FBI de desconectar el sistema afectado y la recomendación de CERT-EU de aislar la aplicación de redes públicas hasta corregirla.

El aviso exige rapidez, pero las acciones son claras: identificar las instalaciones, actualizar, vigilar el servidor y conservar los registros si aparecen señales de intrusión. Para un pequeño negocio, todo empieza con una respuesta comprobable del proveedor que administra el sitio.