Comprueba el nivel de parches de PHP de tu sitio web.
- CVE-2026-109618 – aviso de seguridad oficial (se abre en una pestaña nueva)
- CVE-2026-109619 – aviso de seguridad oficial (se abre en una pestaña nueva)
Referencia: revisada técnicamente el 21 de octubre de 2026 · versión de datos 2026-10-21.1
Comprobación de PHP
- Comprobar
- Confirmar
- Solucionar
- Listo
O bien: ·
Paso 2: confirmar la versión real de PHP
Un pequeño archivo de verificación en tu espacio web lee qué versión de PHP usa realmente tu sitio. Tarda unos dos minutos y funciona incluso si el sitio oculta su versión.
Esta comprobación evalúa indicaciones de versión. Que no haya ninguna indicación no significa que el sitio web sea seguro. Aquí no se analiza una posible infección.
Aún no se ha iniciado ninguna comprobación.
En tres pasos
Así funciona
Introduce la dirección
Indica la dirección pública de un sitio web, o escribe directamente tu versión de PHP.
Compara las indicaciones de versión
Los datos visibles públicamente se comparan con la referencia revisada para cada rama de PHP.
Entiende el siguiente paso
Recibes una evaluación para ambos CVE, los límites del resultado y una ayuda paso a paso adecuada.
Lo que la comprobación dice y lo que no
La comprobación externa solo consulta la dirección introducida (HEAD y, si hace falta, un GET que se interrumpe de inmediato, con un máximo de tres redirecciones) y lee cabeceras como X-Powered-By. No ejecuta JavaScript ajeno, no envía peticiones de ataque y no rastrea otras páginas.
- Evaluación para CVE-2026-109618 y CVE-2026-109619
- Mismas reglas para la comprobación externa, el archivo de verificación y la indicación manual
- No comprueba infecciones ni malware
- No demuestra que la vulnerabilidad sea realmente explotable
- Sin escaneo de puertos ni reparaciones automáticas
Preguntas frecuentes
¿Qué comprueba PHP Checker?
PHP Checker evalúa las indicaciones de versión de PHP para exactamente dos vulnerabilidades: CVE-2026-109618 y CVE-2026-109619. En la comprobación externa, el servicio consulta una vez la dirección introducida y lee las cabeceras de respuesta adecuadas (X-Powered-By, Server). Como alternativa, puedes introducir tú mismo una versión o un nombre de paquete, o confirmar la versión real con un archivo de verificación. Todas las vías aplican las mismas reglas de evaluación.
¿Puede la comprobación detectar si mi sitio web está infectado?
No. El servicio no comprueba infecciones ni analiza archivos del servidor. Por eso el resultado siempre indica «Infección: no comprobada». Si sospechas de un ataque, haz que unos profesionales examinen el servidor: una actualización posterior no elimina el malware que ya se haya introducido.
¿Por qué no se puede detectar mi versión de PHP?
Muchos sitios web o servicios intermedios (proxy, CDN, sistema de protección) ocultan la información de versión. Es habitual y no supone por sí mismo un problema de seguridad. Pero tampoco permite sacar ninguna conclusión sobre la seguridad. No tienes que publicar la versión: usa el archivo de verificación o consulta la versión de PHP activa en el panel de tu hosting.
¿Una indicación de versión correcta significa que todo mi sitio web es seguro?
No. Una indicación de versión se refiere solo a las versiones consideradas y a estos dos CVE. No está verificada, no confirma el paquete realmente instalado ni todos los procesos PHP en ejecución, y no descarta otros riesgos ni un compromiso anterior.
¿Qué hago si tengo una versión antigua?
Comprueba con tu proveedor de hosting o tu administrador qué versión de paquete se usa realmente. Haz que instalen una actualización confirmada, reinicia los procesos PHP afectados (p. ej. PHP-FPM, Apache) y vuelve a comprobar después la versión en ejecución. Si sospechas de un ataque anterior, también hay que examinar el servidor.
¿Dudas sobre el resultado?
¿Tienes preguntas sobre PHP Checker o quieres comentar un resultado? Contacta con Denkcode.