Falla de seguridad en PHP: Los servidores de Konection ya están actualizados y protegidos
El 21 de octubre de 2026, en la noche, aplicamos la corrección de seguridad en nuestros servidores web. Tanto si tu sitio web está con nosotros o con otro proveedor, te recomendamos hacer unas verificaciones sencillas que explicamos más abajo.
¿Qué pasó?
PHP es el lenguaje en el que funcionan millones de sitios web, como los que están en la plataforma WordPress. El 21 de octubre, el equipo que le hace mejoras a PHP a nivel global, publicó una actualización de emergencia por dos fallas críticas. En términos simples, una persona malintencionada podría tomar control de cualquier servidor desde internet, sin necesidad de contraseña.
Los detalles de las fallas se filtraron antes de que el arreglo estuviera listo, y se reportaron intentos de ataque poco después. Por eso fue una actualización urgente.
Algo importante: la falla está en PHP, no en tu página ni en WordPress. No se produjo por un descuido tuyo ni por un plugin mal instalado.
¿Qué hicimos en Konection?
Después de que CloudLinux (el sistema que usamos en nuestros servidores) liberó el parche oficial, lo aplicamos la noche del 21 de octubre. Después comprobamos que la corrección quedó integrada y funcionando bien. Esto cubre todos nuestros servicios de Hosting, WordPress, etc.
«Pero en mi panel sigue apareciendo la versión anterior…»
Es normal. Es posible que veas números como 8.5.11 o 8.4.26 y pienses que no se actualizó. No es así. CloudLinux aplica la corrección directamente sobre la versión que ya tienes, sin cambiarle el número. Esto se llama backporting y tiene una ventaja: te protege sin cambiar la versión de PHP que usa tu sitio, así tu página sigue funcionando igual que siempre. Puedes leer el comunicado original aquí.
En resumen: el número de versión no es la forma correcta de saber si tu sitio está protegido. Lo que cuenta es la confirmación de tu proveedor.
¿Qué debes hacer según tu caso?
Si tu sitio está con Konection: Te contactaremos o entra a tu cPanel y verifica que tengas seleccionada una versión PHP segura. Si quieres confirmar algo, escríbenos.
Si tu sitio está en otro proveedor: pregúntale si ya aplicó la actualización de seguridad de PHP del 21 de octubre. Pídele una respuesta clara. Ten en cuenta que, como vimos arriba, el número de versión puede no cambiar, así que lo importante es que el proveedor te lo confirme.
Si tienes tu propio servidor (VPS o dedicado): pide a quien lo administra que actualice PHP y reinicie los servicios.
Para todos:
- Usa una versión de PHP vigente. Las versiones 8.1 y anteriores ya no reciben arreglos de seguridad del proyecto PHP. Si tu sitio usa una de ellas, conviene migrar cuanto antes. OJO: La versión 8.2 dejará de tener soporte el 31 de diciembre de 2026, estas a tiempo de hacer una actualización con calma y hacer la migración o actualización a la versión más resiente posible, PHP 8.4 o posterior.
- Mantén tu sitio al día. Actualiza WordPress, los plugins y el tema. Esta falla no depende de ellos, pero los sitios desactualizados son los más atacados.
- Ten copias de seguridad recientes. Es la mejor protección ante cualquier problema.
- Revisa si ves algo raro: usuarios nuevos que no creaste, archivos desconocidos o páginas que cambiaron sin que lo hicieras.
¿Cómo te podemos ayudar?
En Konection nos encargamos de que tu sitio siga funcionando y protegido, sin que tengas que preocuparte por los detalles técnicos. Tenemos planes de mantenimiento web que incluyen: gestión del servidor de hosting, administración y actualización de tu plataforma web como WordPress con sus respectivos plugins, actualizaciones de seguridad gestionadas, copias de seguridad, soporte, migración de sitios, etc.
Si quieres hacer comprobaciones en tu servidor o tienes alguna inquietud, nuestro equipo de soporte está disponible para atenderte AQUÍ.
Para quienes quieren el detalle técnico
- Fallas: CVE-2026-109618 (ejecución remota de código por corrupción de memoria ante falta de memoria) y CVE-2026-109619 (ejecución remota de código por estado global obsoleto). Ambas con puntuación 9.2 sobre 10 (CVSS v4.0), sin autenticación.
- Versiones oficiales corregidas del proyecto PHP: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. OJO: Las versiones 8.1 y anteriores no recibieron parche oficial.
- Soporte: 8.4 con soporte activo; OJO: 8.3 solo seguridad (hasta el 31/12/2027); 8.2 solo seguridad, fin de vida el 31/12/2026.
- Entornos afectados: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
- En nuestros servidores: el parche se entregó mediante los paquetes alt-php y ea-php de CloudLinux. Por eso
php -vpuede mostrar la versión anterior aunque la corrección ya esté aplicada. - Fuentes oficiales: aviso de seguridad de PHP y anuncios de versiones.