El equipo de seguridad de PHP anunció el 20 de octubre de 2026 que el miércoles 21, a las 14:00 UTC, publicará una versión que corrige dos vulnerabilidades críticas. Afecta potencialmente a cualquier web que funcione con PHP, como las hechas con WordPress o Drupal. Las versiones afectadas se conocerán con el parche.
Lo que se sabe
- El aviso: la portada de php.net publicó el 20 de octubre un aviso titulado «Upcoming Critical PHP Security Release». El mismo texto salió en la lista de anuncios de PHP, en el foro de la PHP Foundation, a las 19:33 UTC.
- La hora: el equipo de seguridad de PHP programa la versión para el miércoles 21 de octubre de 2026 a las 14:00 UTC. Eso son las 9:00 en Lima y Bogotá, las 8:00 en Ciudad de México y las 16:00 en Madrid, según la conversión de este artículo.
- La gravedad: son dos vulnerabilidades y cada una tiene una puntuación CVSS v4.0 de 9,2 sobre 10, que es nivel crítico, según el propio aviso.
- Lo que falta: el aviso dice que los detalles, las versiones afectadas y las versiones corregidas se publicarán con la versión. Hoy no se sabe qué ramas de PHP están afectadas.
- Puede adelantarse: el equipo de PHP dice que publicará antes si los detalles se hacen públicos o si hay pruebas de que alguien está explotando los fallos.
- Las ramas con soporte: según la tabla oficial de php.net, hoy reciben parches de seguridad PHP 8.2, 8.3, 8.4 y 8.5. PHP 8.2 los recibe hasta el 31 de diciembre de 2026. PHP 8.1 y las versiones anteriores ya no figuran en esa tabla.
Qué cambia y qué no
Hoy no hay nada que instalar. El parche no existe hasta el miércoles a las 14:00 UTC.
Lo que sí cambia es el margen. El equipo de PHP pide prepararse ahora para actualizar en cuanto salga la versión. Cuando se publiquen los detalles de un fallo crítico, cualquiera puede estudiarlos, y las webs que tarden en actualizar quedan más expuestas.
En redes sociales circulan otras cifras de gravedad y números de fallo. La única fuente oficial es el aviso de PHP, que da 9,2 y no publica todavía los números.
Una web que esté en PHP 8.1 o en una versión 7.x no está en la tabla de versiones con soporte de php.net. Si el fallo también la afecta, no tendrá parche oficial. Algunos proveedores de hosting y distribuciones de Linux mantienen parches propios para versiones antiguas, pero eso hay que preguntarlo.
Cómo saber si te afecta
- Mira qué versión de PHP usa tu web. En WordPress: Herramientas → Salud del sitio → Información → Servidor. En Drupal: Informes → Informe de estado. En muchos paneles de hosting aparece en el selector de versión de PHP.
- Si ves 8.2, 8.3, 8.4 u 8.5, tu rama tiene soporte. Cuando salga la versión del miércoles, comprueba si tu rama está en la lista de corregidas y actualiza a esa versión.
- Si ves 8.1 o menos, tu web ya funciona sobre una versión sin parches oficiales. Es buen momento para planear el paso a PHP 8.3 u 8.4, después de comprobar que tu WordPress o tu Drupal y sus plugins o módulos lo admiten.
- Si tienes hosting compartido, la actualización de PHP depende de tu proveedor. Pregúntale hoy: «¿Aplicarán la versión de seguridad de PHP del 21 de octubre en mi plan y cuándo? ¿Qué versión de PHP tengo y tiene soporte?».
- Si tienes servidor propio o VPS, quien lo administre debe tener lista la actualización de los paquetes de PHP para el miércoles. Las distribuciones de Linux suelen publicar sus propios paquetes corregidos, a veces con algunas horas o días de diferencia.
- Haz una copia de seguridad antes. Una actualización de seguridad dentro de la misma rama no suele romper nada, pero una copia reciente de la web y de la base de datos te deja volver atrás si algo falla.
- Después, revisa la web. Abre las páginas clave, prueba los formularios y el carrito. Los días siguientes, mira en Search Console las estadísticas de rastreo por si aparecen errores del servidor.
Relacionado: PHP 8.6 RC3 y el fin de PHP 8.2: qué versión usa tu web
Fuentes
- PHP, aviso «Upcoming Critical PHP Security Release» en la portada, 20 de octubre de 2026 (en inglés)
- PHP Foundation, lista php.announce, «[ANNOUNCE] Upcoming Critical PHP Security Release», 20 de octubre de 2026 (en inglés)
- PHP, tabla de versiones soportadas (en inglés)
- PHP, ramas sin soporte (en inglés)
Actualizaciones: aquí se añadirán las versiones corregidas y las ramas afectadas cuando PHP publique la versión de seguridad.