El proyecto PHP publicó, el 21 de octubre de 2026, correcciones para dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Las fallas pueden afectar a integraciones que usan PHP o a tiendas en WooCommerce, PrestaShop y Adobe Commerce/Magento.

Para verificar la situación de tu integración, solicita a tu proveedor de hosting o al equipo técnico una evaluación prioritaria de la versión de PHP y de las correcciones aplicadas. Si la instalación sigue siendo vulnerable, gestiona la actualización a una versión corregida y compatible con tu integración.

Las versiones anunciadas por el proyecto PHP son:

Tu proveedor de hosting puede ofrecer un paquete con las correcciones y otra numeración. En ese caso, solicita la confirmación de que se aplicaron las correcciones de ambas vulnerabilidades.

• Verifica el PHP utilizado en el servidor. Solicita a tu proveedor de hosting, agencia o equipo técnico que identifique la versión y confirme las correcciones. Pide la actualización a una versión corregida y compatible con la plataforma, los temas, los plugins y la integración.
• Confirma las alternativas para PHP 8.1 o anterior. Estas versiones están fuera del soporte regular del proyecto PHP. Consulta con tu proveedor de hosting si dispone de un paquete con las correcciones aplicadas o solicita un plan prioritario de migración.
• Prepara la actualización antes de modificar el entorno de producción. Haz una copia de seguridad y verifica el funcionamiento de la tienda o aplicación, del checkout y de los pagos en un entorno de pruebas.
• Si las correcciones no pueden aplicarse de inmediato, pide un plazo y medidas temporales. Solicita al responsable técnico que evalúe medidas para reducir la exposición, como un firewall de aplicaciones web (WAF). Estas medidas no reemplazan la actualización ni hacen que la instalación sea segura.
• Si sospechas que el entorno ha sido comprometido, contacta de inmediato al equipo técnico. Solicita la investigación, la corrección del entorno y el reemplazo de las credenciales potencialmente expuestas, incluidas contraseñas y tokens de integración. Coordina el reemplazo con la contención y la recuperación: las nuevas credenciales pueden ser capturadas si el entorno sigue comprometido.

Si tienes dudas sobre qué versión está en uso o si ya se aplicaron las correcciones, envía este aviso a tu proveedor de hosting, agencia o equipo responsable de tu integración.

Las versiones y las indicaciones de actualización están en el aviso oficial de seguridad de PHP. Consulta también:

• Aviso técnico de la CVE-2026-109618
• Aviso técnico de la CVE-2026-109619