Hoy se va a publicar una actualización de seguridad crucial para PHP, ¡así que prepárate para actualizar!

El grupo en­car­ga­do de la se­gu­ri­dad de PHP pro­gra­mó una ac­tua­li­za­ción de se­gu­ri­dad ur­gen­te para el miér­co­les 21 de oc­tu­bre de 2026 a las 14:00 UTC. Esta nueva ver­sión lle­ga­rá para so­lu­cio­nar dos fa­llos de se­gu­ri­dad di­fe­ren­tes, los cua­les han re­ci­bi­do una ca­li­fi­ca­ción crí­ti­ca de 9.2 según el sis­te­ma CVSS v4.0.

Hasta el mo­men­to, la ad­ver­ten­cia ofi­cial no es­pe­ci­fi­ca en qué con­sis­ten estas vul­ne­ra­bi­li­da­des ni cuá­les ver­sio­nes de PHP re­sul­tan afec­ta­das, ya que dicha in­for­ma­ción se pu­bli­ca­rá junto con los nú­me­ros de las ver­sio­nes co­rre­gi­das en el mo­men­to del lan­za­mien­to. No obs­tan­te, exis­te la po­si­bi­li­dad de que el equi­po pu­bli­que la ac­tua­li­za­ción antes de lo pre­vis­to si los de­ta­lles de al­gu­na de las fa­llas se hacen pú­bli­cos o si se de­tec­ta que los ata­can­tes ya las están ex­plo­tan­do.

Ante este pa­no­ra­ma, se re­co­mien­da a los ad­mi­nis­tra­do­res de ser­vi­do­res que se pre­pa­ren de in­me­dia­to para apli­car los par­ches tan pron­to estén dis­po­ni­bles. Las ac­cio­nes pre­ven­ti­vas su­gie­ren ela­bo­rar un in­ven­ta­rio de todos los lu­ga­res donde se eje­cu­te PHP, iden­ti­fi­car quién es el res­pon­sa­ble de apli­car las ac­tua­li­za­cio­nes —ya sea un pro­vee­dor de hos­ting o el pro­pio equi­po téc­ni­co— y ve­ri­fi­car si se están uti­li­zan­do ver­sio­nes sin so­por­te ofi­cial, re­cor­dan­do que las co­rrec­cio­nes de se­gu­ri­dad sue­len apli­car­se úni­ca­men­te a las ramas vi­gen­tes.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las vul­ne­ra­bi­li­da­des es­pe­cí­fi­cas o los im­pac­tos adi­cio­na­les de estos fa­llos.