Qué se ha publicado y por qué conviene actuar
El 21 de octubre de 2026, PHP publicó un aviso sobre dos vulnerabilidades críticas que pueden permitir ejecutar código de forma remota sin autenticación: CVE-2026-109618 y CVE-2026-109619. Las correcciones están en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso incluye instalaciones que sirven peticiones web y señala un riesgo especialmente elevado con Apache mod_php. Puedes consultar la alerta oficial de seguridad de PHP y confirmar los paquetes disponibles con tu proveedor. Información revisada el 22 de octubre de 2026.
Para una empresa, la primera decisión útil es averiguar qué tecnología utiliza cada web. No todos los sitios funcionan con PHP y tener WordPress actualizado no demuestra que el servidor lo esté. Evita cambiar parámetros al azar o instalar complementos que prometan resolver cualquier problema. Primero identifica el entorno, pide confirmación al alojamiento y prepara una actualización controlada. Este artículo propone un procedimiento para organizar ese trabajo sin perder de vista las ventas y la atención al cliente.
Cómo saber si tu página utiliza PHP
Haz un inventario de las aplicaciones que dependen del dominio. Incluye la web principal, la tienda, los subdominios, las páginas de campañas y cualquier instalación antigua que permanezca accesible. WordPress, WooCommerce y otras aplicaciones habituales utilizan PHP, pero una web desarrollada con otras tecnologías puede tener componentes independientes. El nombre del alojamiento no basta para deducir qué versión ejecuta cada aplicación.
Solicita al proveedor la versión efectiva que atiende las peticiones de la web, la rama utilizada y la confirmación de que incorpora la corrección. Anota también quién puede cambiarla y quién revisará el resultado. Si el proveedor aplica parches propios, pide la referencia del paquete corregido: su numeración puede no coincidir con la distribución original. Evita dejar páginas públicas de diagnóstico con información técnica del servidor después de la comprobación.
Qué consecuencias debes contemplar en una tienda online
Una vulnerabilidad del servidor puede poner en riesgo funciones distintas del diseño visible. Al evaluar el impacto, revisa el catálogo, la disponibilidad del servicio, las cuentas de administración y las integraciones con pedidos o facturación. No afirmes que se han robado datos solo porque tu versión sea vulnerable: exposición y compromiso confirmado son situaciones diferentes y necesitan evidencias distintas.
Piensa también en el recorrido comercial. Si los anuncios siguen llevando visitantes a una tienda que devuelve errores, el problema técnico consume presupuesto y afecta a la confianza. Ten preparado un mensaje de mantenimiento y una vía alternativa de contacto si necesitas una interrupción. Nuestra guía sobre cómo convertir visitas en consultas desde tu web ayuda a identificar las funciones que conviene proteger y comprobar primero.
Un plan de actualización con responsables y comprobaciones
Empieza con una copia reciente de archivos y base de datos, y comprueba que existe un procedimiento real para recuperarla. Una copia que nadie sabe restaurar ofrece poca ayuda durante una incidencia. Guarda por separado los accesos necesarios y define una ventana de intervención. En una tienda activa, acuerda cómo se conservarán los pedidos recibidos entre la copia y el cambio para no perder operaciones.
Después, prueba la versión corregida en un entorno separado cuando sea posible y con acceso restringido. Comprueba compatibilidad del gestor, extensiones, plantilla y tareas programadas. Si una extensión antigua impide actualizar, documenta la dependencia y decide si puede sustituirse o desactivarse. El objetivo es resolver el bloqueo, no dejar indefinidamente una versión vulnerable porque la página aparentemente siga funcionando.
Tras aplicar la corrección en producción, verifica la versión que realmente utiliza la aplicación. Recorre el acceso de usuarios, el formulario, la búsqueda, el carrito y el proceso de compra mediante las opciones de prueba de la pasarela. Revisa también correos de confirmación, impuestos, gastos de envío y sincronización de inventario. Conserva un registro de la intervención y del resultado de cada comprobación para facilitar el seguimiento.
Qué hacer si observas señales de una posible intrusión
Si encuentras administradores desconocidos, redirecciones inesperadas, archivos alterados o pedidos anómalos, evita improvisar una limpieza que destruya los registros. Guarda evidencias y solicita una revisión técnica. Conviene delimitar qué sistemas están implicados, qué accesos deben revocarse y cómo mantener la actividad esencial. No publiques conclusiones sobre la causa hasta que la investigación las respalde.
La comunicación también forma parte del trabajo. Designa una persona para centralizar la información y deja constancia de las medidas tomadas. Si hay indicios de afectación a datos personales, pide asesoramiento especializado para valorar las actuaciones que correspondan. Una actualización corrige el software vulnerable, pero no sustituye la investigación de lo que haya ocurrido antes ni garantiza por sí sola que no existan otros problemas.
Cómo encaja la seguridad en el mantenimiento mensual
Un plan de mantenimiento útil asigna tiempo a inventario, actualizaciones, copias y comprobaciones de funcionamiento. Conviene separar las tareas recurrentes de las incidencias extraordinarias y explicar qué incluye cada intervención. Los informes deben permitir entender qué se hizo, qué quedó pendiente y qué decisión necesita el responsable del negocio. Así la seguridad se convierte en una actividad gestionada y no en una reacción ocasional.
También es buen momento para revisar las conexiones nuevas. Si vas a incorporar agentes de IA para atención al cliente, define sus permisos y evita que tengan acceso innecesario a pedidos o datos internos. Si utilizas automatizaciones, aplica el criterio de nuestra guía de IA útil para pymes: empieza por un proceso acotado, comprueba el resultado y amplía solo cuando puedas supervisarlo.
Qué pedir hoy a tu proveedor
Puedes resumir la solicitud en cuatro cuestiones: qué versión ejecuta cada aplicación, qué corrección está aplicada, cuándo se realizará el cambio pendiente y cómo se comprobará la tienda después. Pide respuestas concretas y un responsable del seguimiento. No necesitas dominar todos los detalles de PHP para exigir una explicación clara del estado de tu web.
Si no dispones de una persona que coordine estas tareas, revisa nuestro servicio de mantenimiento web en Córdoba. Podemos estudiar el punto de partida y organizar las prioridades. La decisión importante es cerrar la comprobación con evidencias: versión corregida, funciones revisadas y un plan para atender cualquier incidencia posterior.
Mantén coordinadas la captación y la seguridad
Después de una intervención, comprueba las páginas que reciben visitas desde campañas y buscadores. Tanto una estrategia de SEO local en Google como una prueba de anuncios en ChatGPT Ads necesitan un destino disponible y formularios operativos. Registrar estas dependencias ayuda a priorizar la revisión sin olvidar las páginas menos visibles del sitio.