Cómo actualizar PHP en WHM y cPanel: guía completa de EasyApache 4 y extensiones esenciales para WordPress
octubre 22, 2026
Node.js corrige vulnerabilidades en Brotli, DNS, TLS y permisos: actualizaciones de seguridad de octubre de 2026
octubre 24, 2026
El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó una actualización extraordinaria para corregir dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una clasificación CVSS 4.0 de 9.2 sobre 10.
Debido a que PHP es utilizado por millones de sitios y aplicaciones web, estos hallazgos requieren atención prioritaria por parte de desarrolladores, proveedores de hosting y administradores de infraestructura.
¿Cuáles son las vulnerabilidades identificadas?
CVE-2026-109618: corrupción de memoria por falta de memoria
Esta vulnerabilidad se relaciona con el manejo interno de condiciones de memoria insuficiente (Out of Memory u OOM).
En circunstancias específicas, PHP puede interrumpir la inicialización de estructuras internas y posteriormente procesarlas de manera incorrecta.
El problema puede ocasionar corrupción de memoria y permitir escenarios de ejecución de código.
El equipo de PHP considera especialmente preocupante el riesgo en determinadas configuraciones de Apache con mod_php, donde se ha demostrado una vía de explotación antes de ejecutar el código de la aplicación.
CVE-2026-109619: reutilización de estado interno
La segunda vulnerabilidad involucra información interna asociada a una solicitud que puede permanecer accesible después de liberar la memoria correspondiente.
Una solicitud posterior procesada por el mismo trabajador PHP podría utilizar ese estado de forma insegura.
Esto puede derivar en corrupción de memoria y ejecución de código bajo determinadas condiciones.
Ambos problemas se encuentran en componentes internos del lenguaje. Por ello, actualizar WordPress, Laravel o los plugins de una aplicación no sustituye la actualización de PHP.
¿Qué instalaciones están expuestas?
El aviso oficial contempla entornos PHP que procesan solicitudes web mediante tecnologías como:
- PHP-FPM.
- Apache con
mod_php. - PHP-CGI.
- LiteSpeed.
- FrankenPHP.
El riesgo exacto puede variar según la configuración, la versión y las funcionalidades utilizadas.
Versiones de PHP corregidas
| Rama | Primera versión con corrección |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Las ramas PHP 8.1 y anteriores ya no reciben mantenimiento oficial del proyecto PHP. Algunos proveedores especializados pueden ofrecer correcciones adaptadas, pero se recomienda planificar la migración.
Un tercer aviso: CVE-2026-115560
El 23 de octubre, PHP publicó una advertencia informativa adicional relacionada con el seguimiento de progreso de carga de archivos mediante sesiones.
La incidencia CVE-2026-115560 corresponde a una combinación poco habitual en la que una aplicación modifica durante su ejecución el serializador de sesiones y mantiene habilitado el seguimiento de cargas.
El equipo recomienda desactivar temporalmente session.upload_progress.enabled hasta que exista una corrección completa en el ciclo de lanzamientos correspondiente, cuando la aplicación no necesite esa funcionalidad.
Es importante distinguir este aviso de las dos vulnerabilidades críticas corregidas el 21 de octubre.
¿Cómo actualizar PHP desde WHM y cPanel?
Si administramos un VPS con WHM, podemos actualizar PHP mediante EasyApache 4.
El procedimiento general es:
- Ingresar a WHM con privilegios administrativos.
- Abrir Software → EasyApache 4.
- Personalizar el perfil actualmente instalado.
- Seleccionar la versión PHP corregida.
- Revisar las extensiones requeridas.
- Comprobar los paquetes que serán instalados o eliminados.
- Ejecutar Provision durante una ventana de mantenimiento.
- Verificar la instalación y asignar la versión apropiada mediante MultiPHP Manager.
En servidores con múltiples dominios, debemos mantener las versiones anteriores hasta completar las pruebas de migración, aunque ello no elimina el riesgo de tener aplicaciones antiguas expuestas.
Extensiones que debemos verificar
En proyectos WordPress conviene comprobar especialmente:
mysqli, curl, mbstring, gd, imagick, intl, fileinfo, exif, xml, zip y opcache.
La disponibilidad de estas extensiones permite conservar funcionalidades como conexiones MySQL, formularios, tratamiento de imágenes y procesamiento de archivos.
Una versión PHP actualizada, pero sin sus extensiones necesarias, puede provocar errores de funcionamiento.
Precaución adicional con PHP 8.4.27 y PHP 8.5.12
Después del lanzamiento de seguridad se reportó una regresión que puede ocasionar errores de memoria cuando determinadas operaciones sobre objetos SimpleXML interactúan con el recolector de basura.
La incidencia se documentó en php/php-src, número 24488.
Esto no significa que debamos regresar a versiones vulnerables. Lo recomendable es verificar si nuestro entorno incluye una corrección del proveedor, probar el comportamiento de la aplicación y valorar una rama corregida que no presente esa regresión, como PHP 8.3.36, si resulta compatible.
Otras recomendaciones de seguridad
Además de actualizar PHP, debemos:
- Revisar el estado de soporte del sistema operativo.
- Actualizar WordPress, plugins, temas y dependencias.
- Comprobar que los errores técnicos no se muestren públicamente.
- Mantener activos registros de errores para diagnóstico.
- Validar respaldos y mecanismos de restauración.
- Revisar ModSecurity y otras medidas de protección.
- Verificar que no existan aplicaciones desatendidas utilizando PHP antiguo.
Las medidas de mitigación temporales no deben considerarse sustitutos permanentes de las actualizaciones de seguridad.
Conclusión
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 constituyen un recordatorio de que la seguridad de una aplicación depende también del entorno de ejecución.
Mantener PHP actualizado, revisar las extensiones y planificar correctamente las migraciones permite reducir riesgos y mejorar la continuidad operativa.
En Naranja y Media® trabajamos en el desarrollo, administración y modernización de plataformas web y aplicaciones empresariales, promoviendo entornos tecnológicos más seguros y sostenibles.
Más información: https://naranjaymediahn.com
Fuentes oficiales
- PHP Security Advisory: https://www.php.net/archive/2026.php
- CERT-EU: https://cert.europa.eu/publications/security-advisories/2026-018/
- Incidencia SimpleXML: https://github.com/php/php-src/issues/24488
- Documentación de EasyApache 4: https://docs.cpanel.net/whm/software/easyapache-4-interface/
