La divulgación de fallos críticos en PHP exigió una respuesta rápida de quienes mantienen sitios y aplicaciones en producción. En WordPane Cloud, aplicamos las correcciones en todos los servidores de clientes de nuestras soluciones desde el primer día de disponibilidad. También tratamos el aviso adicional publicado el 23 de octubre.
Qué ocurrió con PHP
El 21 de octubre de 2026, el proyecto PHP publicó correcciones para las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. Ambas pueden permitir la ejecución remota de código sin autenticación en entornos afectados.
El aviso abarca instalaciones que atienden solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto PHP señala mod_php como el escenario de mayor riesgo demostrado. Por eso, la revisión debe considerar el PHP utilizado por el servidor, además del CMS instalado.
La respuesta de WordPane Cloud
Desde el primer día, llevamos las correcciones a los servidores de clientes de las soluciones WordPane Cloud. La actuación también contempló el aviso adicional del 23 de octubre, identificado como CVE-2026-115560.
Este trabajo ocurre en la capa que ejecuta las aplicaciones. Actualizar WordPress, un plugin o un tema es una tarea distinta de corregir PHP en el servidor. El mantenimiento de un sitio implica cuidar ambas capas.
Para quienes mantienen una tienda, un portal o varios sitios de clientes, esta respuesta reduce la necesidad de seguir cada aviso técnico para solicitar a nuestro equipo el tratamiento de la infraestructura.
Las correcciones del 21 de octubre y el aviso adicional
El comunicado del 21 de octubre enumera PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 como versiones con las correcciones de los dos fallos iniciales. Las distribuciones Linux también pueden ofrecer correcciones mediante paquetes con backports, conservando la numeración base. La verificación debe considerar el paquete del proveedor.
El aviso del 23 de octubre trata de una combinación poco común de configuración de sesiones y comportamiento de la aplicación. Las actualizaciones del día 21 no la resolvieron. Hasta la próxima versión regular, el proyecto PHP recomienda desactivar session.upload_progress.enabled en los entornos correspondientes y reiniciar los workers. En la fecha de este artículo, esa medida sigue siendo relevante para el aviso adicional.
Qué sigue siendo importante en tu aplicación
La corrección de PHP trata las vulnerabilidades divulgadas en esa capa. El mantenimiento del código de la aplicación y de sus componentes sigue siendo necesario.
- Mantén actualizados el CMS, los plugins, los temas y las dependencias.
- Revisa las cuentas administrativas y los permisos de acceso.
- Mantén copias de recuperación y comprueba que puedan restaurarse.
- Investiga cambios inesperados, archivos nuevos o errores fuera de lo habitual.
¿Dudas sobre tu entorno?
Si eres cliente y necesitas confirmar el tratamiento de un servidor concreto, abre un ticket en el panel e indica qué entorno deseas consultar. Nuestro equipo puede orientar la verificación según la configuración utilizada.
Este artículo registra nuestra respuesta al episodio de octubre de 2026. Las referencias siguientes permiten seguir los comunicados originales y las futuras actualizaciones del proyecto PHP.
Habla con el equipo sobre tu servidor
Accede al panel para abrir un ticket y consultar sobre el entorno de tu aplicación.
Abrir un ticket en el panelConsultar la documentación del panel
