Si la web de tu empresa funciona con PHP (WordPress, PrestaShop, Joomla o una aplicación a medida), pide hoy a quien la mantiene que actualice PHP a la última versión corregida: INCIBE ha alertado de vulnerabilidades críticas que podrían permitir a un atacante controlar el servidor sin necesidad de usuario ni contraseña.
Qué ha pasado
El 21 de octubre de 2026, el INCIBE se sumó a las alertas internacionales por varias vulnerabilidades en PHP, el lenguaje en el que se programan una enorme cantidad de páginas web. Según recoge la prensa, el aviso las califica de importancia crítica y les asigna una puntuación de gravedad de 9,2 sobre 10. Fuente: El Independiente.
El origen está en la gestión de la memoria: PHP puede tratar datos internos de forma incorrecta y reutilizar información de una petición anterior al atender otra. Un atacante remoto, sin credenciales, podría aprovecharlo para ejecutar código en el servidor. También han emitido alertas organismos de Alemania, Países Bajos, Estados Unidos y Japón, y en los Países Bajos varias instituciones y empresas llegaron a desconectar sus webs de forma preventiva.
Ya hay versiones corregidas. Según Revista E&N, son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones antiguas sin soporte pueden no recibir parche.
Qué significa para las empresas
Una web comprometida no es solo un problema de imagen: el atacante puede robar datos de clientes, instalar malware, redirigir a sitios fraudulentos o usar tu servidor para atacar a terceros. Si hay datos personales afectados, además, entra en juego el RGPD y la obligación de notificar la brecha a la AEPD en 72 horas.
Lo importante es saber dónde tienes PHP. Muchas pymes no lo saben porque la web la gestiona el proveedor de hosting o una agencia. Tres pasos prácticos:
- Pregunta a tu hosting o desarrollador qué versión de PHP usa tu web y si ya está actualizada a una versión corregida.
- Revisa otros servicios: tienda online, intranet, CRM o aplicaciones internas que también puedan usar PHP.
- Si no se puede actualizar ya, INCIBE recomienda aislar la aplicación expuesta a internet hasta aplicar el parche. Las medidas temporales solo reducen el riesgo, no lo eliminan.
Y una buena práctica permanente: copias de seguridad recientes y probadas, y un responsable claro de las actualizaciones.
¿Necesitas ayuda?
En OnSystem te enseñamos a revisar estas cuestiones por ti mismo para que seas autosuficiente. Consulta nuestros servicios de asesoría IT para pymes o contacta con nosotros: atendemos en todo Aragón en un plazo de 24 horas, en el 682 235 067 o en info@onsystem.es.