Alerta de seguridad en PHP (octubre 2026): ¿Tu sitio web en hosting colombiano está en riesgo?

La seguridad en desarrollo web requiere atención constante, especialmente cuando se gestionan plataformas en PHP puro, gestores de contenidos o infraestructuras personalizadas. Recientemente, la comunidad global de desarrollo e infraestructura reportó una vulnerabilidad crítica de seguridad en PHP (registrada bajo los identificadores CVE-2026-109618 y CVE-2026-109619, conocida en la comunidad como php2shell).

Esta falla, calificada con una severidad de 9.2 sobre 10, permite la ejecución remota de código (RCE) no autorizada si el servidor no cuenta con los parches de actualización al día.

Si administras un sitio web, una tienda virtual o un sistema a medida alojado en proveedores de hosting en Colombia o Latinoamérica, a continuación te explicamos qué significa este reporte y cómo verificar en pocos minutos si tu servidor se encuentra protegido.

¿A qué versiones de PHP afecta esta vulnerabilidad?

El fallo afecta a instalaciones que no hayan aplicado el parche de emergencia publicado oficialmente el 21 de octubre de 2026.

Las versiones seguras que corrigen esta falla son:

• PHP 8.1: versión 8.1.32 o superior.

• PHP 8.2: versión 8.2.35 o superior.

• PHP 8.3: versión 8.3.13 o superior.

Importante: Si tu selector en cPanel u otro panel de administración muestra etiquetas generales como ea-php82 o PHP 8.2, esto indica la rama principal instalada, pero no confirma automáticamente que el paquete contenga la última revisión de seguridad.

Cómo comprobar la versión exacta de PHP en cPanel (Paso a Paso)

Muchos entornos de hosting compartido desactivan la consola de comandos por políticas de seguridad. La forma más precisa y rápida de verificar el número de compilación exacto sin necesidad de la terminal es la siguiente:

Paso 1: Ingresa al Administrador de Archivos

Acede al panel de control de tu proveedor de alojamiento (cPanel, Plesk o DirectAdmin) y abre la herramienta Administrador de Archivos (File Manager).

Paso 2: Crea un archivo de comprobación temporal

1. Ve al directorio raíz de tu sitio web (usualmente la carpeta public_html).

2. Crea un archivo nuevo y nómbralo verificar.php.

3. Edita el archivo e inserta la siguiente instrucción:

<?php
echo "Mi versión exacta de PHP es: " . phpversion();
?>

4. Guarda los cambios.

Paso 3: Consulta el resultado desde el navegador

Abre una pestaña en tu navegador e ingresa a la dirección de tu dominio con el nombre del archivo:[https://midominio.com/verificar.php](https://midominio.com/verificar.php)

Verás desplegado el número de versión completo de tu servidor (por ejemplo: 8.2.35).

• Si la versión termina en .35 (en PHP 8.2) o superior: Tu proveedor de hosting ya aplicó la actualización del sistema y tu entorno está protegido.

• Si la versión es inferior (ejemplo: 8.2.20 o 8.2.24): Tu servidor continúa expuesto a la vulnerabilidad.

Paso 4: Limpieza de seguridad

Una vez realizada la comprobación, elimina el archivo verificar.php del servidor para no exponer datos sobre el entorno de ejecución de tu plataforma.

¿Qué hacer si tu servidor aún está desactualizado?

Si la prueba indica que el servidor no cuenta con el parche de emergencia:

1. Abre un ticket de soporte: Contacta de inmediato a la empresa de hosting que administra tu infraestructura.

2. Solicita actualización de paquetes: Pídeles que apliquen la última actualización de seguridad de EasyApache o los paquetes del sistema para actualizar la rama PHP que utilizas a la versión con el parche del 21 de octubre de 2026.

3. Mantenimiento en sitios personalizados: En desarrollos en PHP puro o plataformas a medida, mantener la versión del lenguaje actualizada a nivel de servidor es la primera línea de defensa para prevenir accesos no autorizados antes de que cualquier línea de código de la aplicación se ejecute.

Mantener los entornos de alojamiento web monitoreados y actualizados es fundamental para garantizar la disponibilidad, integridad y continuidad de los proyectos digitales en la región.