Solucionar el problema

Cerrar las vulnerabilidades de PHP paso a paso

Elige dónde funciona tu sitio web. Te mostramos exactamente qué hacer, o Denkcode lo hace por ti.

Elige tu situación más abajo, en «Todas las guías».

¿Aún no has comprobado si estás afectado? Compruébalo primero

El objetivo: como mínimo esta versión

PHP 8.2desde 8.2.35
PHP 8.3desde 8.3.36
PHP 8.4desde 8.4.27
PHP 8.5desde 8.5.12

Válido para CVE-2026-109618 y CVE-2026-109619. PHP 8.1 y anteriores ya no reciben actualizaciones: ahí solo sirve cambiar a una rama más reciente.

Antes

Antes de empezar

Haz una copia de seguridad: guarda los archivos y la base de datos; la mayoría de proveedores ofrecen una función de copia de seguridad en su área de cliente.
Anota la versión actual: averígualo con el archivo de verificación para poder comparar antes y después.
Lo más sencillo es quedarse en la misma rama: una actualización de p. ej. 8.3.20 a 8.3.36 solo trae correcciones de errores. Un cambio de rama (p. ej. 8.1 → 8.3) conviene probarlo antes.

Para consultar

Todas las guías

Toca tu situación. Si no estás seguro: si tienes un área de cliente en un proveedor de hosting y no tienes acceso al servidor por SSH, casi siempre es «Paquete de hosting».

Alojamiento compartidoPanel de cliente en un proveedor, sin servidor propio: el caso más común

En un paquete de alojamiento compartido (p. ej., 1blu, IONOS, Strato, All-Inkl, Hetzner, Netcup), el proveedor instala las actualizaciones de seguridad. Tú solo debes seleccionar la rama de PHP.

Inicia sesión en el área de clientes de tu proveedor de alojamiento.
Abre tu paquete de alojamiento o espacio web y busca «Versión de PHP» o «Configuración de PHP» (según el proveedor, a veces en «Dominios» o «Ajustes»).
Comprueba qué versión de PHP está configurada allí. Si aparece 8.1 o anterior, selecciona PHP 8.3 u 8.4 y guarda. De lo contrario, mantente en tu rama: el proveedor instala las actualizaciones de parche.
Comprueba con el archivo de comprobación si se ejecuta una versión corregida (8.2.35, 8.3.36, 8.4.27, 8.5.12). Si no es así: escribe a tu proveedor (plantilla abajo).

PleskPanel de administración Plesk

Iniciar sesión en Plesk → Sitios web y dominios → seleccionar tu dominio.
Hacer clic en «PHP» o «Configuración de PHP».
En «Versión de PHP», seleccionar 8.3 (o superior), mantener la ejecución como «Aplicación FPM», Aceptar.
Como administrador del servidor adicionalmente: Abrir Herramientas y configuración → Actualizaciones e instalar las actualizaciones de componentes PHP disponibles (la denominación varía según la versión de Plesk).
Comprobar con el archivo de comprobación si se ejecuta una versión corregida (8.2.35, 8.3.36, 8.4.27, 8.5.12).

cPanelPanel de administración cPanel / WHM

Iniciar sesión en cPanel y abrir «MultiPHP Manager» (en algunos proveedores se llama «Seleccionar versión de PHP» o «Select PHP Version»).
Marcar tu dominio, seleccionar PHP 8.3 (o superior) y hacer clic en Aplicar.
El proveedor o administrador del servidor aplica la versión de parche (en WHM a través de las actualizaciones del sistema).
Comprobar con el archivo de comprobación si se ejecuta una versión corregida (8.2.35, 8.3.36, 8.4.27, 8.5.12). Si no es así: contactar con el proveedor (texto abajo).

Servidor propio: Ubuntu o DebianAcceso mediante SSH, paquetes a través de apt

Ejemplo para PHP 8.3: sustituye 8.3 por tu rama. En el resultado de la comprobación, el asistente introduce tu versión automáticamente.

Mostrar los paquetes PHP instalados:

dpkg -l | grep -E '^ii +php[0-9.]+-(fpm|cli|common)'

Actualizar los repositorios de paquetes y los paquetes PHP de esta rama:
```
sudo apt update && sudo apt install --only-upgrade 'php8.3*'
```

Reiniciar los procesos de PHP:

sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2   # o: sudo systemctl restart nginx

Comprobar la versión:
```
php8.3 -v
```
La línea de comandos puede diferir; el resultado del archivo de comprobación es el determinante.
Si la versión sigue siendo inferior a la corregida (típico en paquetes de distribución), comprueba si se adaptó el parche (backport):
```
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961[89]'
```
Si aparecen ambos identificadores CVE, el parche está incluido. De lo contrario, obtén paquetes de una fuente actualizada (p. ej., Ondřej Surý) o consulta al administrador del servidor.

Servidor propio: AlmaLinux, Rocky, RHELAcceso mediante SSH, paquetes a través de dnf

Ejemplo para PHP 8.3: sustituye 8.3 por tu rama. En el resultado de la comprobación, el asistente introduce tu versión automáticamente.

Actualizar los paquetes PHP (p. ej., desde Remi o AppStream):
```
sudo dnf upgrade 'php*'
```

Reiniciar PHP-FPM y el servidor web:

sudo systemctl restart php-fpm
sudo systemctl restart httpd   # o: sudo systemctl restart nginx

Si la versión sigue por debajo de la versión corregida, comprueba el backport:
```
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961[89]'
```
Comprobar con el archivo de comprobación si se ejecuta una versión corregida (8.2.35, 8.3.36, 8.4.27, 8.5.12).

DockerPHP se ejecuta en un contenedor

Ejemplo para PHP 8.3: sustituye 8.3 por tu rama. En el resultado de la comprobación, el asistente introduce tu versión automáticamente.

En el Dockerfile, establece la imagen base en la versión corregida (elige la variante -fpm, -apache o -cli adecuada):
```
FROM php:8.3.36-fpm
```
Tan pronto como la imagen oficial esté disponible; como alternativa, vuelve a descargar php:8.3-fpm.
Reconstruir la imagen y reiniciar el contenedor:
```
docker compose build --pull
docker compose up -d
```
Comprobar la versión dentro del contenedor (ajusta el nombre del servicio):
```
docker compose exec app php -v
```

¿No puedes actualizar?

Escribe a tu proveedor de hosting: el texto ya está listo

Si no puedes cambiar la versión tú mismo o aún falta el parche, copia este texto, completa el dominio y tu nombre y envíaselo a tu proveedor.

Hola:

Para mi sitio web [TU DOMINIO], deseo cerrar las vulnerabilidades críticas de seguridad de PHP CVE-2026-109618 y CVE-2026-109619 (publicadas el 21/10/2026). Según el proyecto PHP, están corregidas en estas versiones: PHP 8.2: a partir de 8.2.35, PHP 8.3: a partir de 8.3.36, PHP 8.4: a partir de 8.4.27, PHP 8.5: a partir de 8.5.12.

Por favor:
1. cambien mi sitio web a una versión corregida o instálenlo e indíquenme la versión exacta, o
2. confírmenme que su paquete incluye un parche de seguridad adaptado (backport) para ambos CVE.

¿Para cuándo es posible realizarlo?

Muchas gracias y un cordial saludo,
[TU NOMBRE]

Después

Comprobar si ha funcionado

Reinicia los procesos PHP o espera unos minutos hasta que el proveedor haya aplicado el cambio.
Abre el sitio web en el navegador y prueba brevemente las páginas y formularios más importantes.
Haz una nueva comprobación confirmada con el archivo de verificación: muestra la versión que tu sitio web ejecuta realmente.
Después, borra de nuevo el archivo de verificación.

Caso especial

Versión antigua (PHP 8.1 o anterior)

Para estas ramas el proyecto PHP ya no publica actualizaciones de seguridad. Cambiar a 8.3 u 8.4 puede afectar a plugins, temas o desarrollos propios más antiguos. Así lo haces de forma segura:

Haz una copia de seguridad.
Actualiza primero el CMS (p. ej. WordPress, PrestaShop, Joomla), los plugins y los temas a su última versión.
Si es posible, cambia primero una copia de pruebas (staging); muchos proveedores la ofrecen con un clic.
Cambia la versión de PHP y prueba el sitio web a fondo. Si hay problemas, en el área de cliente normalmente puedes volver al ajuste anterior al instante.

Importante

Una actualización no elimina un ataque anterior

Las dos vulnerabilidades estuvieron abiertas hasta su publicación el 21/10/2026. La actualización las cierra de cara al futuro, pero no elimina nada que se haya introducido antes. Fíjate en archivos desconocidos, nuevas cuentas de administrador o comportamientos extraños y, en caso de duda, haz que unos profesionales revisen el servidor.

¿Prefieres que lo hagan por ti?

Denkcode comprueba la versión real de PHP y te ayuda con la actualización. Escribe a anfrage@php-checker.de o llama.

Contactar con Denkcode