Fecha: 21/10/2026
Nivel de riesgo: Crítico
Estimado cliente:
PHP ha publicado dos vulnerabilidades críticas que pueden permitir la ejecución remota de código en el servidor sin necesidad de autenticación. Según el equipo de seguridad de PHP, afectan a todas las versiones anteriores a las corregidas, y existen reportes de ataques tempranos.
Estado actual
El proyecto PHP ya publicó versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los proveedores que distribuyen PHP en sus propios paquetes, como CloudLinux, todavía están preparando sus actualizaciones. Hasta que las publiquen, se deben aplicar las siguientes medidas de mitigación.
Mitigación urgente (aplicar hoy)
1. Actualice PHP a 8.3.36 o superior (o a 8.4.27 u 8.5.12), siempre que su entorno lo permita. Las versiones 8.3.x anteriores a 8.3.36 no mitigan la vulnerabilidad.
2. Aplique las medidas de configuración temporales, que reducen la exposición pero no sustituyen a la actualización:
- Establezca memory_limit=-1 en la configuración del pool de PHP-FPM o de Apache, y compruebe que ningún otro ajuste lo sobrescriba.
- Establezca post_max_size en 8M si su sitio no necesita subir archivos, o en 32M si los necesita. Mantenga upload_max_filesize por debajo de ese valor.
- Establezca session.upload_progress.enabled=0 en php.ini o en la configuración del pool.
- En PHP 8.5, establezca fatal_error_backtraces=0.
- IMPORTANTE: Estas medidas deben aplicarlas técnicos con experiencia. Una configuración incorrecta puede afectar al funcionamiento de sus sitios.
- Solución definitiva pendiente: cuando CloudLinux y otros proveedores publiquen sus paquetes corregidos, le avisaremos en este mismo apartado para que actualice.
- PHP 8.1 y versiones anteriores ya no reciben correcciones del proyecto PHP. Migre a una versión soportada.
- PHP 8.2 llega al fin de soporte el 31/12/2026. Planifique la migración a 8.3 o superior.
ACTUALIZACIÓN DEL ANUNCIO – 23/10/2026
Estado de actualización: Versiones de PHP actualizadas y parches de seguridad aplicados.
Informamos que ya se actualizaron las versiones de PHP disponibles en nuestro entorno, aplicando los parches de seguridad correspondientes para mitigar las vulnerabilidades críticas reportadas.
Importante: La actualización no cubre las versiones anteriores a PHP 7.4 ni PHP 8.2. Si su proyecto utiliza alguna de estas versiones, le recomendamos actualizarlo a una versión más reciente y compatible, preferentemente PHP 8.3 o superior, para reducir los riesgos de seguridad y mantener su entorno actualizado.
Antes de realizar el cambio, verifique la compatibilidad de su aplicación, CMS, temas y complementos con la versión de PHP seleccionada.
Nuestro equipo técnico continúa trabajando en el mantenimiento y la seguridad de la infraestructura. Si necesita orientación sobre la versión adecuada para su proyecto, puede contactarnos mediante el Área de Cliente o abrir un ticket de soporte.
Atentamente,
Área Técnica
Más información oficial:
https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php
https://www.php.net/archive/2026.php#2026-10-21-5
https://laravel.com/forge/docs/knowledge-base/php-security-release-october-2026
- Miércoles, 21º Octubre, 2026
- 13:12pm
