Dous fallos críticos no propio PHP deixan en segundo plano o clásico «actualiza WordPress». A pregunta útil hoxe é outra: quen parchea o teu servidor?
Se tes WordPress, plugins e tema ao día, estás tranquilo, non? Esta vez non vale. O 21 de outubro o proxecto PHP publicou unha actualización de emerxencia para dous fallos críticos, e ningunha actualización de WordPress os arranxa, porque viven por debaixo.
Os fallos levan por nome CVE-2026-109618 e CVE-2026-109619. As fontes consultadas coinciden en que PHP os valora con 9,2 sobre 10 e en que poden permitir execución remota de código sen iniciar sesión. Un deles ten que ver con datos dunha petición que quedan a medio inicializar cando falla algo, e o outro con estado que segue accesible despois de liberar memoria. Dito sen tecnicismos: unha petición mal intencionada pode aproveitar restos que ninguén limpou ben.
As versións que importan
As correccións son PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Calquera versión anterior dentro desas ramas está afectada. PHP 8.1 e anteriores xa non reciben versións oficiais, aínda que algúns proveedores fan backports; hai que preguntarllo ao host, non dalo por feito.
O risco parece maior con Apache e mod_php, onde segundo varias fontes o ataque pode darse antes de que se cargue o código da web. Por iso unha web «limpa» e ao día non se salva só por estalo.
Que di cada fonte
Non todo está igual de claro. Cloudflare e outros proveedores falan de intentos de explotación a primeira hora do 21, antes do parche; outra das fontes consultadas só di que se demostrou un exploit, sen confirmar ataques activos. Tampouco hai cifras fiables de cantos sitios caeron. As retiradas preventivas de webs de administracións, ademais, proceden de informes de terceiros.
Que facer hoxe
- Mira a versión de PHP en Ferramentas, Saúde do sitio, Información, Servidor.
- Se tes hosting xestionado ou compartido, pídelle ao proveedor confirmación de que o parche está aplicado.
- Se levas VPS ou servidor propio, o parche é cousa túa: instala os paquetes corrixidos e reinicia PHP.
- Se estás en PHP 8.1 ou anterior, planifica o salto a 8.2 ou superior, con copia de seguridade e proba previa.
- Un WAF axuda, pero non substitúe o parche.
A nosa lectura
Para unha axencia con webs de clientes, esta é unha mañá de correos: que host ten cada un, que versión de PHP corre e quen responde por el. Se o cliente aloxa por libre, avísao hoxe, non o luns. E a lección de fondo é incómoda: «teño todo actualizado» só vale se sabes que hai debaixo. Eu empezaría por pedir esa confirmación por escrito.
