¿Mi hosting está protegido de la falla de seguridad de PHP?

Qué pasó

El 21 de octubre el proyecto PHP publicó dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que afectaban a todos los proveedores de hosting. En un servidor sin corregir permitían ejecutar código sin usuario ni contraseña. PHP es el lenguaje de WordPress, Joomla y la mayoría de los sitios.

Qué hicimos

• Desactivamos en todos los servidores la función de PHP que usaba uno de los ataques, antes de que existiera la corrección.
• Instalamos las versiones corregidas de PHP en todos los servidores, tanto las de MultiPHP como las del Selector de PHP, de la 7.4 a la 8.5.
• Comprobamos que todos los procesos de PHP en marcha usan la versión corregida.
• Revisamos los intentos de ataque que recibió la plataforma: ninguno tuvo éxito.

No fue una revisión de un solo día: nuestros servidores se validan a diario frente a este tipo de situaciones.

¿Tengo que hacer algo?

No para estar protegido: nosotros administramos PHP en los servidores y la corrección ya se aplica a tu sitio.

Sube siempre tu versión de PHP

La mejor protección de tu sitio es usar la versión más reciente de PHP que funcione con él: es la primera que recibe las correcciones. Si tu sitio usa PHP 7.4, 8.0 u 8.1, súbelo a 8.3 o superior cuanto antes, porque el proyecto PHP ya no publica correcciones para esas versiones. Antes de cambiarla, revisa que tu WordPress, tus plugins y tu tema estén al día.

Cómo cambiar la versión de PHP de tu sitio

Una tercera falla, publicada el 23 de octubre

El 23 de octubre PHP informó otra vulnerabilidad, CVE-2026-115560, que solo aparece con una configuración poco común. La medida que aplicamos el 21 de octubre ya la cubre, así que tampoco tienes que hacer nada. Cuando PHP publique su corrección, la instalaremos.

¿Por qué un escáner dice que mi PHP es vulnerable?

Nuestros servidores usan las versiones de CloudLinux, que en varias ramas traen la corrección sin cambiar el número. Un escáner que solo compara números puede marcarlas como vulnerables aunque no lo sean. Lo que cuenta es la fecha de compilación: el 21 de octubre de 2026 o después.

Compruébalo tú mismo

1. En cPanel, abre el Administrador de archivos y entra a la carpeta public_html.
2. Crea un archivo llamado verificar-php.php con este contenido:

   <?php
   // Verificación del parche de PHP (CVE-2026-109618 y CVE-2026-109619).
   // Borra este archivo al terminar.
   ob_start(); phpinfo(INFO_GENERAL); $i = strip_tags(ob_get_clean());
   $f = preg_match('/Build Date\s*(?:=>)?\s*([A-Za-z]{3}\s+\d+\s+\d{4})/', $i, $m) ? $m[1] : '';
   $ok = $f !== '' && strtotime($f) >= strtotime('2026-10-21');
   echo 'PHP ' . PHP_VERSION . ' | compilado: ' . ($f !== '' ? $f : 'desconocido')
      . ' | ' . ($f === '' ? 'SIN FECHA: escríbenos a soporte' : ($ok ? 'CORREGIDO' : 'REVISAR: escríbenos a soporte'));

3. Abre https://tu-dominio/verificar-php.php en el navegador. La línea debe terminar en CORREGIDO.
4. Borra el archivo al terminar.

Si tu sitio tiene una carpeta o un subdominio con otra versión de PHP, repite la prueba allí. Si ves «REVISAR» o «SIN FECHA», escríbenos y lo revisamos de inmediato.

Alcance

Esto cubre el PHP de los servidores de hosting web de mi.com.co. El código de tu sitio, como WordPress, sus plugins y su tema, lo actualizas tú: tenerlo al día protege tanto como la versión de PHP.