Hoy, la comunidad global de ciberseguridad ha activado la máxima alerta. Se han detectado dos vulnerabilidades críticas que afectan a PHP, el lenguaje de programación en el que funcionan más del 75% de las páginas web del mundo, incluyendo la inmensa mayoría de sitios en WordPress.
Organismos internacionales como el Centro Nacional de Ciberseguridad del Reino Unido, la NSA de Estados Unidos y agencias de la Unión Europea han emitido avisos urgentes. Incluso gigantes como Cloudflare ya están detectando y mitigando los primeros intentos de ataque automatizados.
A continuación, te explicamos en qué consiste este problema y las acciones preventivas que ya estamos aplicando.
¿Qué ha ocurrido exactamente?
El proyecto oficial de PHP ha liberado parches de emergencia para corregir dos fallos de seguridad calificados de gravedad crítica (9,2 sobre 10).
Estas vulnerabilidades (catalogadas como CVE-2026-109618 y CVE-2026-109619) permiten la Ejecución Remota de Código (RCE). En términos sencillos: un atacante no necesita contraseñas ni accesos previos; basta con enviar una petición web manipulada para poder ejecutar código malicioso en el servidor, tomar el control del sitio web o acceder a datos confidenciales.
¿A qué páginas web afecta?
El riesgo afecta a servidores web que utilicen versiones de PHP que no hayan sido parcheadas inmediatamente.
- Sitios actualizables: Las instalaciones modernas de PHP (ramas 8.2, 8.3, 8.4 y 8.5) cuentan con parches correctivos inmediatos liberados por el proyecto PHP.
- Sitios antiguos (PHP 7.x u 8.0): Los sitios que funcionan sobre versiones antiguas de PHP ya no cuentan con soporte oficial. Al no recibir parches directos del fabricante, requieren medidas de mitigación adicionales o migraciones inmediatas.
- Sitios estáticos (HTML): Las webs puramente estáticas en HTML no utilizan PHP y no corren peligro por esta falla específica.
¿Qué medidas estamos tomando en nuestra agencia?
Desde el primer momento en que se hizo público el aviso, nuestro equipo técnico activó el protocolo de actuación de emergencia en toda nuestra infraestructura:
- Copias de Seguridad de Urgencia: Estamos realizando backups completos (archivos y bases de datos) de todos los proyectos gestionados.
- Coordinación con Servidores: Estamos en contacto directo con nuestros proveedores de alojamiento (Axarnet, Sarenet, CDmon, Hostinger) para verificar y exigir la aplicación de las actualizaciones de seguridad a nivel de servidor.
- Auditoría de Versiones y Compatibilidad: Estamos revisando una a una las páginas web para comprobar qué versión de PHP utilizan, analizando la compatibilidad de sus plugins y temas antes de subir a las versiones corregidas.
- Atención a Webs Antiguas: Para aquellas páginas web que sigan funcionando sobre PHP 7.x, evaluaremos los riesgos de incompatibilidad y contactaremos individualmente con los propietarios para ofrecer la mejor alternativa de migración o protección.
Tranquilidad y Control
Queremos transmitir a todos nuestros clientes que la situación está bajo control. La seguridad de vuestras páginas web y de la información de vuestros usuarios es nuestra prioridad absoluta.
Iremos informando, pero debido a la urgencia, nuestras líneas e informáticos pueden estar saturados.
Si tienes dudas sobre el estado de tu página web o deseas confirmar la versión de PHP en la que opera tu sitio, nuestro equipo de soporte está a tu entera disposición: soporte@adaki.com.
Equipo de Soporte Técnico de adaki.
