Actualización PHP: qué es, por qué importa y por qué tu web la necesita ya

Si tu web está hecha con WordPress (o con casi cualquier gestor de contenidos), funciona gracias a PHP. Y el pasado 21 de octubre, el proyecto PHP publicó un aviso de seguridad urgente: dos fallos críticos que permiten a un atacante ejecutar órdenes en un servidor sin necesidad de usuario ni contraseña. La solución es una sola: hacer la actualización de PHP cuanto antes.

No es una alarma exagerada. Durante esos días, varios gobiernos europeos desconectaron temporalmente algunas de sus webs mientras las actualizaban, y agencias de seguridad de Europa, Estados Unidos, Australia, Japón y Reino Unido recomendaron actualizar o, si no era posible, apagar los sistemas afectados.

Yo no soy programadora. Soy periodista de formación y llevo desde 2008 trabajando en marketing digital y webs para pymes y autónomos. Pero precisamente por eso creo que vale la pena explicarlo en cristiano: qué es PHP, por qué hay que tenerlo al día y qué tienes que hacer tú si tienes una web.

Qué es PHP, explicado sin tecnicismos

Imagina que tu web es un restaurante.

Lo que ve el cliente (la sala, la carta, la decoración) es el diseño: los colores, las fotos, los textos. Pero detrás hay una cocina donde se preparan los platos en el momento. Esa cocina es PHP.

PHP es un lenguaje de programación que trabaja en el servidor, es decir, en el ordenador donde está alojada tu web. Cada vez que alguien entra en una página, PHP “cocina” esa página al momento: busca los textos en la base de datos, monta el menú, muestra los últimos artículos del blog, procesa el formulario de contacto o calcula el precio de un carrito de compra.

Y no es un lenguaje cualquiera. Según los datos de W3Techs que recoge Xataka, PHP está detrás de cerca del 70 % de las webs en las que se puede identificar el lenguaje del servidor. Y WordPress, que funciona con PHP, mueve casi el 40 % de todas las webs del mundo.

Dicho de otra manera: si tienes una web hecha con WordPress, PrestaShop, WooCommerce o Joomla, tienes PHP. Aunque nunca hayas oído hablar de él.

Por qué hay que mantener PHP actualizado

Volvamos al restaurante. Puedes tener la sala más bonita del barrio, pero si la cocina tiene la instalación de gas de hace quince años, tienes un problema. Funciona… hasta que deja de funcionar.

Con PHP pasa lo mismo. Cada versión tiene una vida útil limitada. Mientras tiene soporte, sus responsables corrigen los fallos de seguridad que se van descubriendo. Cuando ese soporte termina, los fallos que aparezcan ya no se corrigen. Y los atacantes lo saben.

Hay tres razones para hacer la actualización de PHP con regularidad:

1. Seguridad. Es la principal. Una versión sin soporte es una puerta que nadie va a volver a cerrar.
2. Velocidad. Las versiones nuevas suelen ser más rápidas. Y una web más rápida gusta más a tus visitantes y a Google.
3. Compatibilidad. Los plugins y temas de WordPress se actualizan pensando en las versiones recientes de PHP. Con una versión antigua, tarde o temprano algo deja de funcionar.

Qué ha pasado exactamente en octubre de 2026

El 21 de octubre, el proyecto PHP publicó la corrección de dos vulnerabilidades críticas, con una puntuación de 9,2 sobre 10 en la escala de gravedad CVSS. Permiten que un atacante ejecute código en el servidor de forma remota y sin identificarse.

Algunos datos para entender la dimensión del asunto:

• Afecta a todas las instalaciones de PHP que sirven páginas web. No depende de si usas WordPress u otra cosa: el fallo está en PHP.
• Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu servidor tiene una versión anterior dentro de esas ramas, tiene que actualizarse.
• PHP 8.1 y anteriores ya no reciben actualizaciones oficiales. Si tu web todavía funciona con PHP 7 o 8.0, el problema es doble.
• PHP 8.2 deja de tener soporte el 31 de diciembre de 2026. Es decir, en menos de dos meses.
• Los fallos se descubrieron con ayuda de la inteligencia artificial, según la información publicada. La misma tecnología que ayuda a encontrar fallos puede ayudar a explotarlos.

Y un detalle importante: según Cloudflare, citado por Xataka, ya se ha detectado tráfico de ataque contra servidores vulnerables. No es un riesgo teórico.

Lo que he hecho con mis clientes

En cuanto salió el aviso, me puse manos a la obra. Y lo hice en tres frentes:

1. Clientes con servicio mensual: ya están actualizados

Los clientes a los que presto servicio mensual de mantenimiento ya tienen su versión de PHP actualizada. No han tenido que pedirlo ni preocuparse: para eso está el mantenimiento. Es exactamente el tipo de situación en la que se nota que alguien está pendiente de tu web.

2. Clientes sin servicio mensual: avisados

A los clientes a los que hice la web pero no les presto un servicio continuo, los he avisado uno a uno. Les he explicado qué ha pasado, por qué es importante y les he ofrecido hacer la actualización. Porque una web que yo he hecho sigue siendo, en parte, mi responsabilidad. Aunque ya no me paguen por ella.

3. Clientes con otro webmaster o informático: también

Y hay un tercer grupo: clientes con los que trabajo en otras cosas (redes sociales, SEO, campañas) pero cuya web la lleva otra persona. A ellos también les he escrito para pedirles que revisen el tema con su webmaster o su informático, si no lo han hecho ya.

¿Podría haberme quedado callada? Sí. No era mi responsabilidad. Pero prefiero un correo de más que una web hackeada de más. Y estoy segura de que, en la mayoría de los casos, la persona que se encarga de su web ya estaba en ello. Mejor así.

Algo curioso: cada vez más gente me pide esto

En las últimas semanas he notado algo que no esperaba: han aumentado las solicitudes que me llegan desde la web relacionadas con este servicio. Personas que no me conocían y que quieren saber si su web está afectada y quién puede revisarla.

Y me hace gracia, porque mi perfil no es puramente técnico. No soy programadora y mi web no está posicionada por palabras clave relacionadas con PHP. Donde sí aparezco es en búsquedas como diseño web Barcelona o soporte WordPress.

Creo que eso dice mucho de cómo funcionan las cosas en la vida real. La mayoría de dueños de pymes y autónomos no buscan “actualización de PHP”. Buscan a alguien que les lleve la web. Alguien que les hable claro, que se encargue de estas cosas y que les avise cuando pasa algo. Y que no les haga sentir tontos por no saber qué es PHP.

Eso es justo lo que intento hacer. No necesitas entender cómo funciona la cocina. Necesitas saber que alguien la revisa.

Cómo saber si tu web está al día (y qué hacer si no)

No hace falta ser técnico para hacer una primera comprobación. Estas son las formas más sencillas:

1. Mira la Salud del sitio de WordPress. En el escritorio de WordPress, ve a Herramientas → Salud del sitio → Información → Servidor. Ahí verás la versión de PHP que usa tu web. Si aparece un aviso en rojo o naranja sobre PHP, presta atención.
2. Entra en el panel de tu hosting. La mayoría de proveedores muestran la versión de PHP en el panel de control y permiten cambiarla con un par de clics. Muchos hostings ya han aplicado el parche por su cuenta, pero no conviene darlo por hecho.
3. Pregunta a quien te lleva la web. Si tienes webmaster, informático o agencia, es tan sencillo como enviar un correo: “¿Mi web está actualizada tras el fallo de PHP de octubre?”.

Si descubres que tu web usa PHP 7 o 8.0, no te asustes, pero no lo dejes para luego.

Cuidado: actualizar PHP no es solo darle a un botón

Aquí viene el aviso importante. Cambiar la versión de PHP de golpe en una web que lleva años sin mantenimiento puede romperla. Plugins abandonados, temas antiguos o código hecho a medida pueden no ser compatibles con las versiones nuevas.

Por eso el orden correcto es este:

1. Haz una copia de seguridad completa.
2. Actualiza WordPress, el tema y los plugins.
3. Si la web es delicada, prueba primero en una copia de pruebas.
4. Cambia la versión de PHP.
5. Revisa que todo funciona: páginas, formularios, tienda online.

Si esto te suena a chino, es normal. Es el tipo de cosas que me encuentro a menudo cuando toca heredar una web hecha por otro. Y si estás pensando en cambiar de proveedor, aquí explico cómo cambiar de diseñador WordPress sin perder tu web.

Preguntas frecuentes sobre la actualización de PHP

---

PHP no sale en las fotos de tu web. Nadie lo ve. Pero es la cocina donde se prepara todo lo demás. Y este mes nos ha recordado que una cocina sin revisar puede dar un buen susto.

Si tienes una web y no sabes en qué versión de PHP está, o no tienes a nadie que se ocupe de estas cosas, puedo revisarla y dejarla al día. Es parte de mi servicio de soporte WordPress. Y si lo que necesitas es empezar de cero, también hago diseño web en Barcelona pensado para que esto no vuelva a ser un problema. ¿Hablamos?