Preguntas frecuentes
Preguntas frecuentes
Respuestas breves sobre las funciones, los resultados y el tratamiento de datos.
¿Qué comprueba PHP Checker?
PHP Checker evalúa las indicaciones de versión de PHP para exactamente dos vulnerabilidades: CVE-2026-109618 y CVE-2026-109619. En la comprobación externa, el servicio consulta una vez la dirección introducida y lee las cabeceras de respuesta adecuadas (X-Powered-By, Server). Como alternativa, puedes introducir tú mismo una versión o un nombre de paquete, o confirmar la versión real con un archivo de verificación. Todas las vías aplican las mismas reglas de evaluación.
¿Qué dos vulnerabilidades tiene en cuenta la comprobación?
CVE-2026-109618 (ejecución de código tras un aborto por falta de memoria) y CVE-2026-109619 (ejecución de código por estado global obsoleto en procesos worker). Según el proyecto PHP, ambas están corregidas en 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Encontrarás detalles y fuentes en Fallos de PHP.
¿Puede la comprobación detectar si mi sitio web está infectado?
No. El servicio no comprueba infecciones ni analiza archivos del servidor. Por eso el resultado siempre indica «Infección: no comprobada». Si sospechas de un ataque, haz que unos profesionales examinen el servidor: una actualización posterior no elimina el malware que ya se haya introducido.
¿Por qué no se puede detectar mi versión de PHP?
Muchos sitios web o servicios intermedios (proxy, CDN, sistema de protección) ocultan la información de versión. Es habitual y no supone por sí mismo un problema de seguridad. Pero tampoco permite sacar ninguna conclusión sobre la seguridad. No tienes que publicar la versión: usa el archivo de verificación o consulta la versión de PHP activa en el panel de tu hosting.
¿Una indicación de versión correcta significa que todo mi sitio web es seguro?
No. Una indicación de versión se refiere solo a las versiones consideradas y a estos dos CVE. No está verificada, no confirma el paquete realmente instalado ni todos los procesos PHP en ejecución, y no descarta otros riesgos ni un compromiso anterior.
¿Qué son los backports del fabricante?
Las distribuciones de Linux y los proveedores de hosting suelen incorporar correcciones de seguridad a versiones de paquete más antiguas sin subir el número de versión de PHP; se reconocen por una revisión del fabricante como «8.3.6-0ubuntu0.24.04.5». En ese caso lo decisivo es el aviso de seguridad del fabricante para esa versión exacta del paquete y ambos CVE. Sin esa prueba, el resultado es «Requiere comprobación del fabricante».
¿Por qué la versión de PHP puede ser distinta en la terminal?
El servidor web, los pools de PHP-FPM, los contenedores y la línea de comandos pueden usar distintos entornos de ejecución de PHP. php -v solo muestra la versión de la línea de comandos. Lo más fiable es la versión que realmente ejecuta el sitio web, y es justo la que muestra el archivo de verificación.
¿Qué hago si tengo una versión antigua?
Comprueba con tu proveedor de hosting o tu administrador qué versión de paquete se usa realmente. Haz que instalen una actualización confirmada, reinicia los procesos PHP afectados (p. ej. PHP-FPM, Apache) y vuelve a comprobar después la versión en ejecución. Si sospechas de un ataque anterior, también hay que examinar el servidor.
¿Qué datos se tratan para la comprobación?
En la comprobación externa, tu navegador envía la dirección introducida a nuestro servidor. Este consulta el DNS y accede una vez a la dirección; el sitio de destino ve la dirección IP de nuestro servidor, no la tuya. El resultado solo se devuelve a tu navegador. Para protegernos frente a abusos, guardamos brevemente una clave seudonimizada de tu dirección IP. La evaluación manual se realiza íntegramente en tu navegador. Encontrarás los detalles en la política de privacidad.
¿No encuentras tu pregunta? Contacta con Denkcode.