Fallo de PHP en webs del Kit Digital: qué revisar en la tuya.

Revisa una sola cosa: la versión de PHP con la que funciona tu web. Si es la 8.2.35, la 8.3.36, la 8.4.27, la 8.5.12 o una posterior de su misma rama, ya lleva el arreglo. Si es más antigua, lo normal es que siga expuesta a los dos fallos críticos que PHP corrigió el 21 de octubre de 2026, que pueden permitir a un atacante ejecutar código en el servidor sin usuario ni contraseña. La excepción son los proveedores que ya han aplicado el parche sin cambiar el número; más abajo te explico cómo saberlo.

Red.es lo ha recomendado en un aviso a los beneficiarios del Kit Digital y a los agentes digitalizadores: comprobar si la web usa PHP, mirar la versión y actualizar con prioridad. Para la primera parte no necesitas saber programar. Te explico dónde mirar, qué número tiene que salir y qué pedirle a quien te lleva la web.

Qué ha pasado, en corto

PHP es el lenguaje con el que funcionan muchas webs. WordPress, por ejemplo, está hecho con él (documentación de WordPress). Si tu web se edita desde un panel de WordPress, funciona con PHP.

El 21 de octubre, el equipo de PHP sacó versiones nuevas de sus cuatro ramas mantenidas para corregir dos vulnerabilidades críticas. Su aviso dice que afectan a cualquier instalación que sirva páginas web, recomienda actualizar de inmediato y añade que no hay medidas que sustituyan del todo a la actualización (aviso de seguridad de PHP).

INCIBE-CERT, el centro de respuesta a incidentes de INCIBE, lo clasifica con importancia «5 - Crítica», la más alta, y recoge que se han comunicado ataques contra servidores PHP antes incluso de que salieran las actualizaciones (aviso de INCIBE-CERT).

Y el 23 de octubre, Red.es publicó un aviso para beneficiarios y agentes digitalizadores del Kit Digital con cuatro recomendaciones que traslada de INCIBE: comprobar si la web usa PHP; verificar la versión y aplicar las actualizaciones con carácter prioritario; revisar primero lo que está accesible desde internet; y, si no se puede actualizar ya, adoptar las medidas temporales y valorar limitar o desconectar lo expuesto hasta corregirlo (aviso de Red.es).

Cómo saber qué versión tiene tu web

Tienes tres caminos, de más fácil a menos:

1. Si tu web es WordPress, entra en el panel y ve a Herramientas, Salud del sitio y la pestaña Información. Despliega el apartado Servidor: ahí aparece la versión de PHP. Necesitas entrar con un usuario administrador.
2. En el panel de tu hosting. Casi todos tienen un apartado de PHP donde se ve, y a veces se cambia, la versión de cada web. El nombre varía según el proveedor.
3. Por escrito a quien te lleva la web. Una pregunta basta: «¿Qué versión de PHP usa mi web y lleva ya la corrección del 21 de octubre?». Que la respuesta quede en un correo.

Un matiz antes de asustarte por un número. Algunos proveedores instalan PHP desde los paquetes de su sistema operativo, que reciben el arreglo sin cambiar el número de versión. El propio aviso de PHP dice que las distribuciones de Linux recibieron los parches por adelantado. Si ves un número algo menor que los de la tabla de abajo, pregunta si ya lleva el parche antes de dar nada por perdido.

Qué número tiene que salir

Las fechas de la última columna salen de la página de versiones con soporte de PHP (versiones mantenidas). Fíjate en la fila de la 8.2: aunque tu web ya esté corregida, esa rama deja de recibir arreglos el 31 de diciembre de 2026. Si estás en ella, toca planear el paso a una rama más nueva antes de esa fecha.

Si tu web va con PHP 8.1 o anterior

Es el caso más delicado. El proyecto PHP ya no saca versiones para esas ramas. Por la gravedad del fallo, publicó unos parches mínimos para la 7.4, la 8.0 y la 8.1, pensados para técnicos que compilan PHP por su cuenta, y algunos proveedores ofrecen sus propias correcciones. Pregunta al tuyo si las tiene.

La salida de verdad es pasar a una rama mantenida. Y ahí está el trabajo: una web montada hace años puede llevar plantillas o extensiones que no funcionan con un PHP moderno. Por eso el orden importa:

• Copia de seguridad completa antes de tocar nada, guardada fuera del servidor.
• El cambio de versión, mejor probado primero en una copia de la web.
• Después, comprobar lo que da dinero: formularios, reservas, pagos y el correo que llega desde la web.

Quién tiene que actualizar

Depende de cómo esté montada tu web.

• Hosting compartido. Lo normal es que el proveedor actualice los números dentro de cada rama, y que la rama la elija quien gestiona la web desde el panel. Si estás en una rama sin mantenimiento, no des por hecho que el proveedor lo arregla: pregúntale.
• Servidor propio. La actualización la hace quien lo administra. Si nadie lo administra, ese es el primer problema.
• Web del Kit Digital. Las bases dicen que Red.es no responde en ningún caso del funcionamiento de las soluciones, artículo 12.2 (bases en el BOE). Y, según nuestra lectura, tampoco dicen nada de quién mantiene la web pasados los doce meses de servicio que exigía el programa: manda el contrato que firmaste. Si ese contrato terminó y nadie se ha encargado desde entonces, lo más probable es que ahora te toque a ti decidir quién lo hace.

Qué pedir por escrito

1. La versión de PHP actual, si lleva la corrección del 21 de octubre y si ha aplicado el ajuste temporal que PHP recomienda desde el 23 de octubre, e INCIBE desde el 26, mientras sale la próxima versión.
2. Una copia de seguridad reciente y guardada fuera del servidor, antes de cualquier cambio.
3. Si estás en la 8.2 o en una anterior, un plan con fecha para pasar a la 8.3 o posterior.
4. La lista de lo que se comprobó después de actualizar.
5. Quién se encarga de esto a partir de ahora, y cuánto cuesta.

Si nadie sabe contestarte a la quinta, ya tienes la respuesta más importante.

Si no se puede actualizar ya

INCIBE-CERT recuerda que la actualización es la única solución completa. Las medidas temporales que publica son ajustes de configuración para técnicos: reducen la exposición, pero no la quitan. Y para lo que está en internet es claro: si un sistema expuesto no se puede actualizar, hay que aislarlo de las redes públicas hasta aplicar una versión corregida. En el aviso de Red.es aparece como algo a valorar: limitar o desconectar temporalmente lo expuesto. Si quien te lleva la web no puede actualizar todavía, pregúntale qué va a hacer mientras tanto (ajustes temporales, limitar el acceso o desconectar la web) y hasta cuándo.

Para que no vuelva a pillarte

Estos fallos se arreglan con una actualización. Lo que conviene preguntarse es quién la aplica en tu web la próxima vez. Si ahora mismo no hay nadie, para eso está el plan de Mantenimiento: actualizaciones y copias de seguridad, monitorización de caídas, una bolsa de cambios cada mes y soporte por WhatsApp, por 297 € al mes más IVA y sin permanencia. Al darte de alta revisamos el estado de la web y la dejamos al día. Si pasar a una rama nueva de PHP exige rehacer alguna pieza, te lo presupuestamos aparte, con el precio cerrado antes de tocar nada.

Si no tienes claro en qué caso estás, escríbenos con la dirección de tu web y lo miramos contigo.