Seguridad de PHP: correcciones en WordPane Cloud desde el primer día

Qué ocurrió con PHP

El 21 de octubre de 2026, el proyecto PHP publicó correcciones para las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. Ambas pueden permitir la ejecución remota de código sin autenticación en entornos afectados.

El aviso abarca instalaciones que atienden solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto PHP señala mod_php como el escenario de mayor riesgo demostrado. Por eso, la revisión debe considerar el PHP utilizado por el servidor, además del CMS instalado.

La respuesta de WordPane Cloud

Desde el primer día, llevamos las correcciones a los servidores de clientes de las soluciones WordPane Cloud. La actuación también contempló el aviso adicional del 23 de octubre, identificado como CVE-2026-115560.

Este trabajo ocurre en la capa que ejecuta las aplicaciones. Actualizar WordPress, un plugin o un tema es una tarea distinta de corregir PHP en el servidor. El mantenimiento de un sitio implica cuidar ambas capas.

Para quienes mantienen una tienda, un portal o varios sitios de clientes, esta respuesta reduce la necesidad de seguir cada aviso técnico para solicitar a nuestro equipo el tratamiento de la infraestructura.

Las correcciones del 21 de octubre y el aviso adicional

El comunicado del 21 de octubre enumera PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 como versiones con las correcciones de los dos fallos iniciales. Las distribuciones Linux también pueden ofrecer correcciones mediante paquetes con backports, conservando la numeración base. La verificación debe considerar el paquete del proveedor.

El aviso del 23 de octubre trata de una combinación poco común de configuración de sesiones y comportamiento de la aplicación. Las actualizaciones del día 21 no la resolvieron. Hasta la próxima versión regular, el proyecto PHP recomienda desactivar session.upload_progress.enabled en los entornos correspondientes y reiniciar los workers. En la fecha de este artículo, esa medida sigue siendo relevante para el aviso adicional.

Qué sigue siendo importante en tu aplicación

La corrección de PHP trata las vulnerabilidades divulgadas en esa capa. El mantenimiento del código de la aplicación y de sus componentes sigue siendo necesario.

• Mantén actualizados el CMS, los plugins, los temas y las dependencias.
• Revisa las cuentas administrativas y los permisos de acceso.
• Mantén copias de recuperación y comprueba que puedan restaurarse.
• Investiga cambios inesperados, archivos nuevos o errores fuera de lo habitual.

Actualización del 30 de octubre: lo que cambió en la alerta

La actualización del Centro Canadiense de Ciberseguridad informa de la explotación activa de CVE-2026-109618 y CVE-2026-109619 y de su inclusión en el catálogo de vulnerabilidades explotadas de CISA el 26 de octubre. Esto refuerza la prioridad de corregir los entornos afectados. No significa que un servidor específico haya sido comprometido; esa conclusión requiere investigar el propio entorno.

El aviso adicional CVE-2026-115560 tiene condiciones propias. El comunicado de PHP describe una mitigación que implica session.upload_progress.enabled y reiniciar los workers. Una lista de versiones corregidas para las dos primeras vulnerabilidades no demuestra automáticamente que la tercera esté resuelta. Consulte los avisos de cada identificador.

Cómo comprobar una corrección sin confundir la CLI con la aplicación

Un servidor puede mantener varias versiones PHP. La orden php -v en la terminal informa la versión de ese ejecutable; el sitio puede usar otro pool PHP-FPM o otro módulo. La verificación precisa identificar la aplicación, su versión seleccionada, el servicio que atiende HTTP y la versión del paquete instalado.

Las distribuciones pueden aplicar backports: la versión base puede parecer antigua, pero el paquete ya incorpora el parche. Compare el identificador completo del paquete con el aviso del proveedor. No publique una página phpinfo accesible para demostrar la corrección: puede revelar rutas, módulos y configuración innecesariamente. Guarde la comprobación con acceso restringido.

1. Identifique servidor, dominio, runtime web y responsable de la validación.
2. Consulte la advertencia de PHP y el paquete corregido distribuido por el proveedor.
3. Confirme la actualización y la recarga o el reinicio de los procesos necesarios.
4. Pruebe el inicio de sesión, la carga de archivos, las sesiones y las funciones esenciales de la aplicación.
5. Registre la fecha, la versión efectiva y las evidencias en el ticket de mantenimiento.

Aplicar un parche e investigar un incidente son trabajos diferentes

La corrección trata la exposición a la vulnerabilidad, pero no elimina necesariamente los cambios realizados antes del parche. Si hay indicios de intrusión, preserve los registros y examine archivos, cuentas, tareas programadas y accesos. Restaurar una copia sin tratar la causa de la exposición puede devolver la misma condición vulnerable a producción.

En WordPane, la confirmación sobre un servidor debe ser obtenida por el soporte con la identificación del ambiente. El artículo registra la respuesta institucional ya comunicada y las recomendaciones públicas; no sustituye un laudo individual de integridad o un análisis forense.

¿Dudas sobre tu entorno?

Si eres cliente y necesitas confirmar el tratamiento de un servidor concreto, abre un ticket en el panel e indica qué entorno deseas consultar. Nuestro equipo puede orientar la verificación según la configuración utilizada.

Este artículo registra nuestra respuesta al episodio de octubre de 2026. Las referencias siguientes permiten seguir los comunicados originales y las futuras actualizaciones del proyecto PHP.