PHP ha publicado actualizaciones frente a dos fallos críticos que pueden permitir ejecutar código remotamente sin iniciar sesión: CVE-2026-109618 y CVE-2026-109619, valorados con 9,2 sobre 10 en CVSS 4.0.
Actualizar WordPress no basta. La corrección debe aplicarse a PHP en el servidor, normalmente a través del proveedor de alojamiento.
Versiones que incorporan la corrección
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
¿Qué debes hacer?
- Consulta la versión en WordPress: Herramientas → Salud del sitio → Información → Servidor.
- Pide al hosting que confirme la instalación del parche. Algunos proveedores aplican correcciones sin cambiar el número de versión visible.
- Si administras el servidor, realiza una copia de seguridad e instala los paquetes corregidos.
El aviso afecta a instalaciones PHP que atienden peticiones web; el riesgo señalado es mayor con Apache y mod_php. Las mitigaciones temporales no sustituyen la actualización.
Si utilizas PHP 8.1 o anterior, consulta los parches de tu proveedor o migra a una rama compatible. PHP 8.2 dejará de recibir soporte de seguridad del proyecto el 31 de diciembre de 2026.
Fuente: Brad Osborne, Wordfence, 21 de octubre de 2026.
Leer la noticia original en wordfence.com ↗
36 veces compartido