PHP corrige hoy dos fallas críticas (CVSS 9,2): qué versiones actualizar y qué hacer ya

Actualizado el 21 de octubre de 2026, 07:40 (hora de Ecuador). Actualizaremos esta nota cuando el equipo de PHP publique las versiones corregidas.

El martes 20 de octubre de 2026, el equipo de seguridad de PHP publicó en php.net un aviso anticipado de un lanzamiento de seguridad crítico. Corrige dos vulnerabilidades críticas, las dos con una nota de 9,2 en CVSS v4.0, y está programado para hoy, miércoles 21 de octubre, a las 14:00 UTC (09:00 en Ecuador). El aviso pide a todos los usuarios de PHP que se preparen ya para actualizar apenas esté disponible.

No es motivo de pánico, pero sí de organizarse hoy. Esto es lo que se sabe, lo que todavía no y lo que conviene hacer.

Qué pasó y a quién afecta

PHP es el lenguaje con el que funcionan gestores de contenido como WordPress, Drupal o Moodle, frameworks como Laravel y Symfony, y muchísimos sistemas hechos a medida: facturación, intranets, tiendas en línea, portales de clientes. Si tu web o tu sistema corre en un servidor con PHP, este aviso te toca.

Lo que el equipo de PHP todavía no ha publicado: qué versiones exactas están afectadas, en qué parte del lenguaje están las fallas y sus identificadores CVE. Según el aviso, «los detalles completos, las versiones afectadas y las versiones corregidas se publicarán con el lanzamiento». También advierte que podría adelantarlo si los detalles de alguna de las fallas se hacen públicos o si aparecen pruebas de que ya se están explotando.

Versiones y calendario del parche

• Cuándo: miércoles 21 de octubre de 2026, a las 14:00 UTC (09:00 en Ecuador). Puede salir antes.
• Qué versiones saldrán: aún sin confirmar; se conocerán con el lanzamiento.
• Ramas con soporte hoy, según la tabla oficial de versiones soportadas:
  • PHP 8.5: soporte activo (última versión publicada antes del parche: 8.5.11).
  • PHP 8.4: soporte activo hasta el 31/12/2026 (última: 8.4.26).
  • PHP 8.3: solo parches de seguridad hasta el 31/12/2027 (última: 8.3.35).
  • PHP 8.2: solo parches de seguridad hasta el 31/12/2026 (última: 8.2.34).
  • PHP 8.1 y anteriores: fuera de soporte. No reciben parches oficiales.

Si instalas PHP con los paquetes de tu distribución (Debian, Ubuntu, Red Hat y similares), con una imagen de Docker o con un hosting administrado, la actualización te llega por ese canal, y puede tardar algunas horas más. Además, el número de versión puede no coincidir con el de php.net, porque muchas distribuciones aplican el parche sobre su propia versión. En ese caso, guíate por el aviso de seguridad de tu distribución o de tu proveedor.

Qué pasa si no actualizas

El tipo de falla todavía no es público, así que no vamos a adivinarlo. Lo que sí sabemos es que una nota de 9,2 está dentro del rango crítico (de 9,0 a 10,0) de la escala CVSS v4.0 de FIRST, el nivel más alto de gravedad.

Lo importante es el momento: cuando sale el parche, también se publica qué se corrigió. Desde ese instante cualquiera puede comparar el código antes y después y buscar servidores que sigan sin actualizar. Con fallas críticas, ese margen suele ser corto. Según el tipo de falla, un servidor sin parche puede quedar expuesto a robo de datos, a que alguien ejecute código propio o a caídas del servicio. Cuando el equipo de PHP publique los detalles, te contaremos aquí el impacto real de estas dos.

Qué hacer ahora

1. Haz el inventario. Anota cada servidor, sitio o contenedor que use PHP y su versión. En consola, php -v. Ojo: la versión de la consola puede no ser la misma que usa tu web (PHP-FPM o el módulo de Apache), así que confírmala también desde el panel del hosting o con una página phpinfo() temporal y protegida.
2. Haz un respaldo del código y de la base de datos antes de tocar nada.
3. Deja lista la actualización: define quién la aplica, en qué ventana y cómo vuelves atrás si algo falla. Si tienes un entorno de pruebas, úsalo primero.
4. Aplica el parche apenas salga, desde php.net o, mejor, desde el canal de tu distribución o proveedor. Después reinicia PHP-FPM o el servidor web: si no lo haces, sigue corriendo la versión vieja.
5. Mientras tanto, reduce la exposición: restringe por IP los paneles de administración, revisa que tu firewall de aplicaciones (WAF) esté activo, desactiva lo que no uses y vigila los registros del servidor por si aparece tráfico extraño.
6. Si sigues en PHP 8.1 o una versión anterior, ese servidor no va a recibir este parche. Planifica la migración a una rama con soporte.

Si tu aplicación está con SimCodec

Si tu equipo o tu aplicación vive en una instancia de SimCodec, o la mantiene SimCodec, nuestro equipo la actualizará lo antes posible, en cuanto salga el parche. Puede haber intermitencias breves mientras tanto. No tienes que hacer nada. Si tienes dudas, escríbenos a simcod.ec/es/contacto.

Fuentes

• PHP Group, «Upcoming Critical PHP Security Release», php.net, 20 de octubre de 2026.
• PHP Group, Supported Versions (consultado el 21/10/2026).
• PHP Group, Downloads (versiones vigentes antes del parche).
• php/php-src, Security Advisories en GitHub, donde se publican los detalles de cada falla.
• FIRST, CVSS v4.0 Specification Document (rangos de gravedad).