Vulnerabilidad crítica en PHP: lo que sabemos y lo que estamos haciendo

El equipo de PHP publica hoy un parche para dos vulnerabilidades críticas del núcleo del lenguaje. Te contamos qué sabemos, qué hemos hecho para proteger los sitios que administramos y qué sigue.

¿Qué es PHP? Es el lenguaje de programación con el que funcionan muchos sitios web, incluido WordPress: el código que se ejecuta en el servidor para mostrar contenido, formularios y sesiones. Si PHP tiene un fallo, cualquier sitio que lo use puede quedar expuesto.

Leer el resumen Comunicado oficial de php.net

Publicado el 21 de octubre de 2026 · Última actualización: 08:30 (GMT-5)

El daño que puede venir mañana es grave y el problema son los millones de sistemas que no tienen alguien que mañana se entere y esté dispuesto a actualizar lo que haya que actualizar. Vamos a ver cada vez más de esto y se viene avisando.
— Maximiliano Firtman (@maxifirtman) October 21, 2026

Estado del incidente

En seguimiento

Anuncio de php.net20 oct · confirmado

Parche oficialHoy · 14:00 UTC

RespaldosActivos

Plan de actualizaciónEn preparación

Siguiente pasoAplicar el parche

14:00 UTC equivale a las 09:00 en Ecuador. Actualizaremos esta página cuando el parche esté publicado.

Lo esencial, en 30 segundos

1 Afecta al núcleo de PHP, no a un plugin, tema o sitio en particular.
2 El parche oficial está previsto para hoy, 21 de octubre, a las 14:00 UTC (09:00 en Ecuador).
3 Todos los sitios alojados en nuestra infraestructura cuentan con respaldos; el plan de actualización por sitio ya está preparado.

Nuestra prioridad: proteger los sitios que administramos y mantenerte informado.

¿Qué pasó?

El 20 de octubre, el equipo de seguridad de PHP anunció un release de seguridad extraordinario para hoy, 21 de octubre, a las 14:00 UTC. Corrige dos vulnerabilidades críticas, ambas con una puntuación CVSS v4.0 de 9.2, en el núcleo del lenguaje.

php.net todavía no ha publicado los detalles técnicos ni las versiones afectadas: lo hará junto con el parche. Lo que sí sabemos es que los fallos son explotables de forma remota y afectan a instalaciones de PHP expuestas a internet. Por eso la comunidad de seguridad está publicando exploits y recomendaciones mientras se espera el fix.

No es un problema de un plugin, de un tema o de un sitio concreto. Es una condición del propio lenguaje sobre el que funcionan millones de aplicaciones, incluidos muchos de los sitios que gestionamos. Por eso lo tratamos como un asunto de infraestructura, no como una incidencia puntual.

Fuente oficial php.net — Upcoming Critical PHP Security Release

Lo que dice la comunidad de seguridad

Compartimos estas publicaciones para dar contexto. Algunas son urgentes por naturaleza; nuestra recomendación para los sitios que administramos es la que describimos más abajo. Varias citan puntuaciones y CVE que php.net todavía no ha confirmado: la referencia oficial es su comunicado.

Publicaciones de terceros, incluidas al 21 de octubre de 2026. No representan la posición de SANTDEV.

El daño que puede venir mañana es grave y el problema son los millones de sistemas que no tienen alguien que mañana se entere y esté dispuesto a actualizar lo que haya que actualizar. Vamos a ver cada vez más de esto y se viene avisando.
— Maximiliano Firtman (@maxifirtman) October 21, 2026

Full details of a remotely exploitable vulnerability in the core engine of *all* PHP versions will be released tomorrow, October 21st. If your organization has internet facing PHP applications then you need to be ready to patch the minute the update is released or *strongly* consider taking the application offline until you can:
— Andrew Case (@attrc) October 20, 2026

php2shell

Tomorrow is a helluva day.
— Kirill Firsov (@k_firsov) October 20, 2026

if this affects the default installation of PHP We are fucked up CVE-2026-109618 CVE-2026-109619 PHP RCEs with a CVSS score of 10.0
— H4x0r.DZ (@h4x0r_dz) October 20, 2026

I pre-emptively disconnected ALL my sites / VPS servers from the web

I’ll wait for the patch to hit at 2 PM UTC

If you have a PHP website, probably good to take them down until you patch PHP

69.3% of the web runs on PHP so this is going to be intense!
— @levelsio (@levelsio) October 21, 2026

Exploits have already been published and trying to hack PHP servers nonstop by agents. TAKE YOUR PHP APP OFFLINE RIGHT NOW! The chance of being hacked is too high. Consequence could be full server access, database leaks, access tokens stolen [with second order damanage done when used], etc. Not worth the rsik, take it down and update immediately when PHP update comes out in a few hours.
— Marc (@MarcJSchmidt) October 21, 2026

A moron has released a POC early for php2shell so here is what you need to do:

If you’re on version prior to 8.2:
Edit php.ini: session.upload_progress.enabled = Off
Then reload php-fpm and restart apache

If you’re on later version:
Update (it’ll be available in a few hours)…
— Kostas (@Kostastsale) October 21, 2026

Lo que ya estamos haciendo

Desde la misma noche del anuncio activamos un plan de contingencia. Estas son las medidas en marcha:

Respaldos activos

Todos los sitios que alojamos en nuestra infraestructura cuentan con backups de archivos y bases de datos. Desde el 20 de octubre verificamos que estén completos y disponibles para restauración.

Vigilancia del anuncio oficial

Seguimos php.net y los canales de seguridad para confirmar la hora exacta de publicación del parche, las versiones corregidas y cualquier cambio en las recomendaciones.

Actualización prioritaria

Tenemos identificados los sitios y sus versiones de PHP. En cuanto el parche esté disponible, lo aplicaremos primero en los sitios más expuestos y validaremos cada uno después de actualizar.

Mitigación temporal

Revisamos la medida recomendada por investigadores —desactivar session.upload_progress en php.ini— y su compatibilidad con cada sitio, para aplicarla donde no afecte formularios ni sesiones de tus usuarios.

Si algo requiere tu atención, te contactaremos por los canales habituales. Esta página se actualizará con el estado final.

Qué significa para tus sitios

No necesitas hacer nada por ahora

Tus sitios siguen operativos y están en nuestra lista de seguimiento. Si hay algo que requiera una acción de tu parte, te lo diremos directamente.

Actualiza en cuanto salga el parche

Si no puedes hacerlo de inmediato, aplica la mitigación temporal recomendada y mantén el sitio bajo observación. No esperes a los días siguientes.

Ningún sistema conectado a internet está libre de riesgo. Lo que sí está bajo nuestro control es la preparación: respaldos listos y un plan claro para aplicar el fix en cuanto exista. Eso es lo que estamos haciendo.

Cómo ha avanzado la jornada

20 oct · 18:45 Conocemos el anuncio de php.net y las advertencias de investigadores de seguridad. Activamos el seguimiento.
20 oct · noche Confirmamos que todos los sitios en nuestra infraestructura cuentan con respaldos de archivos y bases de datos.
21 oct · mañana Verificamos respaldos, revisamos las versiones de PHP y preparamos la ventana de actualización.
21 oct · 09:00 (14:00 UTC) Publicación prevista del parche. Aplicación inmediata y pruebas por sitio.
Después Monitoreo, verificación y actualización de este aviso con el estado final.

What we are already doing

Since the evening of the announcement we have had a contingency plan in motion. These are the measures underway:

Backups in place

Every site hosted on our infrastructure has file and database backups. Since October 20 we have been verifying that they are complete and available for restoration.

Watching the official release

We are monitoring php.net and security channels to confirm the exact release time, the fixed versions and any changes to the guidance.

Priority patching

We have identified each site and its PHP version. As soon as the patch is available we will apply it to the most exposed sites first and validate every site after updating.

Temporary mitigation

We are reviewing the mitigation recommended by researchers — disabling session.upload_progress in php.ini — and its compatibility with each site, so we can apply it where it will not affect forms or user sessions.

If anything requires your attention, we will contact you through our usual channels. This page will be updated with the final status.

What it means for your sites

No action is needed at the moment

Your sites remain online and are on our monitoring list. If anything requires action on your side, we will tell you directly.

Update as soon as the patch is out

If you cannot do it immediately, apply the recommended temporary mitigation and keep the site under close watch. Do not wait until the following days.

No internet-facing system is risk-free. What is within our control is preparation: backups ready and a clear plan to apply the fix as soon as it exists. That is exactly what we are doing.

How the day has unfolded

Oct 20 · 18:45 We learn of the php.net announcement and warnings from security researchers. Monitoring begins.
Oct 20 · evening We confirm that every site on our infrastructure has file and database backups.
Oct 21 · morning We verify backups, review PHP versions and prepare the update window.
Oct 21 · 09:00 (14:00 UTC) Expected patch release. Immediate application and per-site testing.
After Monitoring, verification and an update to this notice with the final status.

Este es un buen momento para tener mantenimiento activo

Las actualizaciones de seguridad llegan cuando menos se espera. Con un plan de mantenimiento activo aplicamos los parches, verificamos los respaldos y te acompañamos en los días críticos. Conversemos sobre el plan que se ajusta a tu sitio.

Hablar por WhatsApp

¿Tienes preguntas sobre tu sitio?

Escríbenos por WhatsApp o desde la página de contacto. Respondemos por los canales de siempre y, si tu mensaje está relacionado con este aviso, indícalo para priorizarlo.

WhatsApp santdev.com/contacto

Extendimos este seguimiento y estas primeras medidas a todos los sitios que administramos, tengas o no un plan de mantenimiento activo: lo hicimos como un gesto de buena voluntad. Hacia adelante, nuestra recomendación es mantener activo un plan de mantenimiento web, porque es lo que nos permite atenderte de forma prioritaria, con ventanas de actualización dedicadas y acompañamiento directo cuando ocurre algo como esto.

Disclaimer: si tu sitio está alojado con otro proveedor (SiteGround, Bluehost u otro), también podemos ayudarte con su mantenimiento mediante un plan contratado. Escríbenos y lo revisamos.

Vulnerabilidad crítica en PHP: lo que sabemos y lo que estamos haciendo

Estado del incidente

Critical PHP vulnerability: what we know and what we are doing

Incident status

Lo esencial, en 30 segundos

¿Qué pasó?

The essentials, in 30 seconds

What happened?

Lo que dice la comunidad de seguridad

Lo que ya estamos haciendo

Respaldos activos

Vigilancia del anuncio oficial

Actualización prioritaria

Mitigación temporal

Qué significa para tus sitios

No necesitas hacer nada por ahora

Actualiza en cuanto salga el parche

Cómo ha avanzado la jornada

What we are already doing

Backups in place

Watching the official release

Priority patching

Temporary mitigation

What it means for your sites

No action is needed at the moment

Update as soon as the patch is out

How the day has unfolded

Este es un buen momento para tener mantenimiento activo

¿Tienes preguntas sobre tu sitio?

Vulnerabilidad crítica en PHP: lo que sabemos y lo que estamos haciendo

Estado del incidente

Critical PHP vulnerability: what we know and what we are doing

Incident status

Lo esencial, en 30 segundos

¿Qué pasó?

The essentials, in 30 seconds

What happened?

Lo que dice la comunidad de seguridad What the security community is saying

Lo que ya estamos haciendo

Respaldos activos

Vigilancia del anuncio oficial

Actualización prioritaria

Mitigación temporal

Qué significa para tus sitios

No necesitas hacer nada por ahora

Actualiza en cuanto salga el parche

Cómo ha avanzado la jornada

What we are already doing

Backups in place

Watching the official release

Priority patching

Temporary mitigation

What it means for your sites

No action is needed at the moment

Update as soon as the patch is out

How the day has unfolded

Este es un buen momento para tener mantenimiento activo Now is a good time to have active maintenance

¿Tienes preguntas sobre tu sitio? Questions about your site?

Lo que dice la comunidad de seguridad

Este es un buen momento para tener mantenimiento activo

¿Tienes preguntas sobre tu sitio?