Vulnerabilidades de seguridad en PHP, Node.js, Nuxt y Python: actualizaciones críticas de octubre de 2026
octubre 21, 2026
PHP bajo alerta de seguridad: dos vulnerabilidades críticas permiten ejecución remota de código
octubre 23, 2026
Actualizado: octubre de 2026 | Tiempo de lectura: 10 minutos
Mantener PHP actualizado es una de las tareas más importantes para garantizar la seguridad, compatibilidad y buen funcionamiento de un sitio web. Sin embargo, cuando administramos un servidor VPS con múltiples dominios, actualizar PHP requiere algo más que seleccionar la versión más reciente.
Una instalación incorrecta puede provocar errores de compatibilidad, formularios que dejan de funcionar, problemas con plugins o incluso la interrupción de sitios que dependen de versiones antiguas.
En esta guía explicamos cómo instalar PHP 8.3 y PHP 8.4 desde WHM utilizando EasyApache 4, cuáles son las extensiones recomendadas para WordPress y qué verificaciones debemos realizar antes y después de actualizar nuestro servidor.
1. ¿Por qué es importante mantener PHP actualizado?
PHP es el lenguaje de programación que ejecuta WordPress y numerosas aplicaciones web. Su actualización no solamente permite utilizar nuevas funcionalidades, sino también incorporar correcciones de errores y parches de seguridad.
Entre los principales beneficios encontramos:
- Mayor seguridad: las versiones con soporte reciben correcciones frente a vulnerabilidades identificadas.
- Mejor rendimiento potencial: las optimizaciones del motor PHP pueden mejorar determinados procesos.
- Mayor compatibilidad: las versiones recientes de WordPress, plugins y temas evolucionan junto con PHP.
- Mantenimiento más sencillo: utilizar versiones soportadas facilita recibir actualizaciones y asistencia técnica.
- Mayor estabilidad: las correcciones de errores pueden reducir fallos en determinadas aplicaciones.
No obstante, instalar la última versión disponible no garantiza que un sitio funcione mejor. La compatibilidad debe comprobarse en todo el conjunto de tecnologías que utiliza la aplicación.
¿Qué versiones de PHP conviene utilizar en 2026?
| Versión | Situación en octubre de 2026 | Recomendación |
|---|---|---|
| PHP 7.2 a 7.4 | Sin soporte oficial | Migrar urgentemente |
| PHP 8.0 y 8.1 | Sin soporte oficial | Planificar actualización |
| PHP 8.2 | Soporte de seguridad hasta diciembre de 2026 | Migrar próximamente |
| PHP 8.3 | Soporte de seguridad hasta diciembre de 2027 | Opción de transición |
| PHP 8.4 | Soporte activo hasta diciembre de 2026; seguridad hasta 2028 | Recomendable tras validar compatibilidad y parches |
| PHP 8.5 | Soporte activo hasta diciembre de 2027; seguridad hasta 2029 | Evaluar según aplicación |
WordPress recomienda oficialmente PHP 8.3 o superior. Para instalaciones modernas, PHP 8.4 es una opción adecuada siempre que los plugins, temas y bibliotecas del proyecto sean compatibles.
Importante: la compatibilidad del núcleo de WordPress con una versión de PHP no significa que todos los plugins instalados tengan esa misma compatibilidad.
2. Antes de actualizar PHP: comprobaciones obligatorias
La actualización debe comenzar con una evaluación del servidor.
Verificar el sistema operativo y los recursos
Dentro de WHM podemos ingresar a:
WHM → Server Information (Información del servidor)
Desde esa sección verificamos el sistema operativo, procesadores, memoria y otros datos del entorno.
Antes de aplicar cualquier modificación debemos confirmar que el sistema operativo es compatible con los paquetes de PHP que pretendemos instalar.
También conviene revisar el espacio libre, la carga del procesador, la memoria disponible y el estado de los servicios.
Realizar copias de seguridad
Antes de actualizar, recomendamos:
- Respaldar todos los archivos de los sitios afectados.
- Respaldar las bases de datos.
- Guardar una copia de la configuración de EasyApache.
- Registrar las versiones de PHP asignadas a cada dominio.
- Verificar que los respaldos realmente puedan restaurarse.
Un respaldo completo debe incluir tanto los archivos como sus bases de datos. Guardar únicamente la carpeta wp-content no constituye una copia completa de WordPress.
Comprobar los componentes de WordPress
Es indispensable revisar la versión de WordPress, tema activo, tema hijo y plugins instalados.
Debemos prestar especial atención a herramientas como Advanced Custom Fields PRO, WPBakery Page Builder, WooCommerce, plugins de formularios y desarrollos personalizados.
Un plugin antiguo puede generar mensajes como:
Deprecated: Creation of dynamic property
Este aviso puede indicar que determinado código utiliza comportamientos desaconsejados por PHP. Ocultar la advertencia no equivale a solucionar su causa.
La práctica recomendada consiste en actualizar el componente responsable y realizar pruebas de compatibilidad.
3. Cómo instalar PHP 8.3 y PHP 8.4 desde WHM
WHM incorpora EasyApache 4, una herramienta que permite administrar Apache, versiones de PHP, extensiones y otros componentes del servidor.
Paso 1. Ingresar a EasyApache 4
Accedemos a WHM con privilegios administrativos y navegamos a:
WHM → Software → EasyApache 4
Aquí encontraremos una sección denominada Currently Installed Packages, que muestra los paquetes instalados actualmente.
Es conveniente guardar una copia del perfil mediante Convert to profile antes de modificarlo.
Paso 2. Personalizar la configuración existente
En lugar de instalar directamente un perfil predeterminado, seleccionamos Customize sobre la configuración actualmente instalada.
Esto resulta especialmente importante en servidores que alojan diferentes sitios y necesitan mantener varias versiones de PHP.
En el menú lateral encontraremos:
- Apache MPM
- Apache Modules
- PHP Versions
- PHP Extensions
- Ruby via Passenger
- Additional Packages
- Review
La recomendación es modificar únicamente los componentes que necesitamos, evitando cambios simultáneos innecesarios en Apache, NGINX y otros servicios.
Paso 3. Seleccionar las versiones de PHP
Entramos a PHP Versions (Versiones de PHP) y activamos las versiones que queremos incorporar.
Por ejemplo, un VPS podría tener instaladas PHP 7.4, 8.0, 8.1 y 8.2, y necesitar agregar PHP 8.3 y 8.4.
EasyApache permite mantener varias versiones de PHP simultáneamente.
No debemos desinstalar versiones antiguas mientras existan aplicaciones que todavía dependan de ellas.
La estrategia recomendada es instalar primero las nuevas versiones en paralelo y migrar cada sitio de forma individual.
4. Extensiones de PHP esenciales y recomendadas para WordPress
Una versión de PHP correctamente instalada debe contar también con las extensiones adecuadas.
Las extensiones amplían las capacidades del lenguaje y permiten realizar operaciones como conectar bases de datos, procesar imágenes, manipular XML, comprimir archivos o establecer comunicaciones externas.
En EasyApache ingresamos a:
PHP Extensions (Extensiones de PHP)
Al instalar una nueva versión, WHM puede detectar las extensiones de versiones anteriores y proponer paquetes equivalentes.
Sin embargo, debemos revisar esa selección manualmente.
Extensiones indispensables para WordPress
| Extensión | Función |
|---|---|
mysqli |
Conexión con bases de datos MySQL y MariaDB |
json |
Procesamiento de datos JSON |
hash |
Funciones de hash utilizadas por WordPress |
Estas capacidades son fundamentales para el funcionamiento del núcleo de WordPress.
En versiones modernas de PHP, json y hash forman parte de la instalación normal. Por su parte, mysqli debe encontrarse disponible para permitir la comunicación con la base de datos.
Atención: mysqlnd es un controlador de MySQL para PHP, pero no sustituye por sí solo a mysqli. Debemos verificar que mysqli esté efectivamente cargada.
Extensiones altamente recomendadas
| Extensión | Utilidad |
|---|---|
curl |
Comunicaciones HTTP con APIs y servicios externos |
dom |
Procesamiento y manipulación de documentos |
exif |
Lectura de metadatos de fotografías |
fileinfo |
Identificación de tipos de archivos |
gd |
Procesamiento básico de imágenes |
imagick |
Edición y generación avanzada de imágenes |
intl |
Internacionalización y formatos regionales |
mbstring |
Manejo de caracteres multibyte y UTF-8 |
openssl |
Funciones criptográficas y conexiones seguras |
xml |
Procesamiento de información XML |
zip |
Compresión y descompresión de archivos |
opcache |
Almacenamiento de código PHP precompilado |
Algunas de estas capacidades vienen integradas en PHP o se distribuyen dentro de otros paquetes. Por ello, no todas aparecen necesariamente como extensiones independientes en EasyApache.
Extensiones adicionales según la aplicación
En proyectos con necesidades específicas podemos requerir:
bcmath: operaciones matemáticas de precisión decimal.soap: integración con servicios SOAP.sodium: funciones criptográficas modernas.redisomemcached: caché de objetos, cuando el servicio correspondiente está configurado.imap: acceso a buzones de correo mediante aplicaciones que lo requieran.ionCube Loader: ejecución de componentes protegidos compatibles.
Estas extensiones no son obligatorias para todas las instalaciones de WordPress.
Nuestra recomendación: mantener una configuración PHP ajustada a las necesidades reales de los sitios y evitar instalar componentes innecesarios.
5. PHP-FPM y OPcache: optimización del rendimiento
Además de las extensiones, hay dos componentes que merecen atención especial.
PHP-FPM
PHP-FPM (FastCGI Process Manager) permite gestionar procesos PHP mediante grupos de trabajadores.
Puede mejorar la gestión de solicitudes concurrentes y facilitar la configuración por sitio.
Desde WHM → MultiPHP Manager podemos administrar PHP-FPM según las capacidades y configuraciones del servidor.
Sin embargo, PHP-FPM también consume memoria. Su funcionamiento debe ajustarse a la capacidad del VPS y al tráfico recibido.
OPcache
OPcache almacena en memoria el código PHP previamente compilado, evitando repetir parte del trabajo de interpretación en solicitudes posteriores.
Es una de las optimizaciones más útiles para aplicaciones basadas en PHP.
Recomendamos mantener OPcache habilitado y supervisar su consumo de memoria, especialmente cuando alojamos varios sitios.
PHP-FPM y OPcache cumplen funciones diferentes y pueden utilizarse conjuntamente.
6. Configuración recomendada de PHP para WordPress
Después de instalar la versión correspondiente, podemos revisar su configuración desde:
WHM → Software → MultiPHP INI Editor
Algunos valores de referencia son:
| Directiva | Valor inicial sugerido |
|---|---|
memory_limit |
256M |
upload_max_filesize |
64M |
post_max_size |
64M |
max_execution_time |
120 |
max_input_vars |
3000 |
display_errors |
Off, en producción |
log_errors |
On |
Estos valores son orientativos, no requisitos universales.
Los sitios que utilizan WooCommerce, constructores visuales, importaciones grandes o procesamiento intensivo pueden necesitar memory_limit de 512M o más, dependiendo de sus recursos y consumo real.
También debemos recordar que post_max_size debe ser suficiente para las solicitudes que admitimos, especialmente al cargar archivos.
No se recomienda aumentar indiscriminadamente todos los límites del servidor, porque una configuración excesiva puede facilitar el agotamiento de recursos.
7. Apache, ModSecurity y seguridad del servidor
Durante una actualización de PHP, recomendamos conservar la configuración existente de Apache salvo que exista una necesidad técnica específica.
Apache MPM
Apache ofrece diferentes modelos de procesamiento, como Worker, Event y Prefork.
Cambiar el MPM no es un requisito para instalar PHP 8.3 o 8.4. Hacerlo simultáneamente añade variables al diagnóstico ante cualquier problema.
ModSecurity y WAF
ModSecurity es una tecnología de firewall de aplicaciones web o Web Application Firewall (WAF).
Puede ayudar a detectar y bloquear determinadas solicitudes maliciosas mediante reglas configuradas.
En WHM debemos revisar:
Security Center → ModSecurity Configuration
Security Center → ModSecurity Vendors
Security Center → ModSecurity Tools
Un WAF correctamente administrado complementa las medidas de seguridad del sitio, pero no sustituye las actualizaciones de PHP, WordPress, plugins o temas.
También debemos verificar que existan reglas activas y revisar los falsos positivos antes de implementar políticas restrictivas.
8. Verificar los paquetes antes de instalar
La última sección de EasyApache 4 es Review (Revisar).
Aquí encontraremos cuatro categorías:
| Categoría | Significado |
|---|---|
| Packages to be installed | Nuevos paquetes seleccionados |
| Packages to be upgraded | Paquetes que serán actualizados |
| Packages to be uninstalled | Paquetes que serán eliminados |
| Unaffected packages | Paquetes que permanecerán sin cambios |
Antes de continuar debemos revisar especialmente Packages to be uninstalled.
Si nuestro objetivo es instalar nuevas versiones de PHP sin afectar los entornos actuales, no debería aparecer ninguna eliminación inesperada de versiones, extensiones o componentes esenciales.
Una vez confirmada la selección, con respaldos disponibles y durante una ventana de mantenimiento, podemos presionar Provision.
EasyApache aplicará los cambios y puede reiniciar servicios relacionados con el servidor web.
Cuando termine el proceso, debemos comprobar que no existan errores y seleccionar Done.
9. Asignar PHP a un dominio específico mediante MultiPHP Manager
Instalar PHP en el servidor no significa que todos los sitios comiencen a utilizar esa versión.
Para seleccionar PHP individualmente ingresamos a:
WHM → Software → MultiPHP Manager
Localizamos el dominio que queremos actualizar y asignamos una versión disponible, como:
ea-php83
o
ea-php84
También podemos realizar esta operación desde el Administrador MultiPHP de cPanel, según los permisos disponibles.
¿Qué ocurre con los demás dominios?
Los dominios con una versión explícitamente configurada normalmente conservan dicha versión.
Sin embargo, es importante revisar los dominios y subdominios configurados como Inherit (Heredar).
Dependiendo de la configuración y los archivos .htaccess, pueden utilizar la versión PHP de otro nivel del sitio o la versión predeterminada del servidor.
Por este motivo, no recomendamos cambiar la versión global sin verificar previamente las dependencias.
10. Comprobar el funcionamiento de WordPress después de actualizar PHP
Después de asignar la nueva versión a un dominio de pruebas, debemos comprobar tanto el frontend como el panel de administración.
Nuestra lista de verificación incluye:
- Confirmar que WordPress abre correctamente.
- Ingresar al área administrativa.
- Revisar Herramientas → Salud del sitio → Información → Servidor.
- Verificar que se utiliza la versión PHP esperada.
- Probar formularios de contacto, envíos y notificaciones.
- Comprobar imágenes, miniaturas y la biblioteca multimedia.
- Revisar los campos personalizados y constructores visuales.
- Probar conexiones externas, APIs y servicios de pago, cuando existan.
- Revisar tareas programadas y procesos automáticos.
- Comprobar los registros de errores de PHP y del servidor.
Si tenemos WP-CLI disponible, podemos complementar el diagnóstico con:
wp core verify-checksums
Este comando ayuda a verificar la integridad de los archivos oficiales del núcleo de WordPress.
También podemos utilizar:
wp plugin verify-checksums --all
No obstante, determinados plugins comerciales o desarrollados a medida no disponen de verificaciones públicas de WordPress.org y pueden producir advertencias sin que necesariamente exista una infección.
11. Nota de seguridad: actualizaciones críticas de octubre de 2026
El 21 de octubre de 2026 se publicaron actualizaciones críticas de seguridad para las ramas PHP 8.2, 8.3, 8.4 y 8.5.
Estas actualizaciones corrigen dos vulnerabilidades de severidad crítica, identificadas como CVE-2026-109618 y CVE-2026-109619, relacionadas con posibles escenarios de ejecución remota de código sin autenticación.
Las versiones correctivas incluyen:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Existe, sin embargo, una consideración adicional: se ha identificado una regresión en PHP 8.4.27 y 8.5.12 que puede provocar fallos en aplicaciones que realizan ciertas operaciones con objetos SimpleXML.
Por este motivo, recomendamos validar las versiones correctivas en entornos de pruebas y consultar la disponibilidad de parches posteriores.
Para proyectos compatibles que necesiten una transición inmediata, PHP 8.3.36 representa una alternativa con las correcciones críticas indicadas y sin esa regresión específica conocida.
No recomendamos volver a versiones vulnerables como solución permanente.
12. Problemas frecuentes al actualizar PHP en WHM
El sitio muestra un error HTTP 500
Puede deberse a código incompatible, extensiones faltantes, problemas de permisos o configuraciones del servidor.
Debemos consultar el registro de errores antes de realizar modificaciones adicionales.
WordPress muestra advertencias Deprecated
Generalmente indican código que utiliza funciones o comportamientos antiguos.
La solución consiste en identificar el plugin, tema o desarrollo responsable y actualizarlo o corregirlo.
Falta una extensión de PHP
Ingresamos nuevamente a EasyApache 4, seleccionamos Customize → PHP Extensions, localizamos el paquete requerido para la versión correspondiente y revisamos los cambios antes de aprovisionar.
Los formularios dejan de funcionar
Debemos verificar la compatibilidad del plugin, el registro de errores, las conexiones externas y el mecanismo de envío de correo.
La nueva versión no aparece en cPanel
Primero debemos confirmar que el aprovisionamiento terminó correctamente y que la versión está instalada y disponible para la cuenta.
También conviene revisar las restricciones de versiones PHP establecidas por el administrador.
El sitio presenta errores después de cambiar de versión
Si el problema es grave, podemos restaurar temporalmente la versión PHP anterior del dominio mientras investigamos, siempre que se comprenda su estado de soporte y se apliquen las medidas de seguridad correspondientes.
Revertir una asignación de PHP no sustituye un respaldo ni corrige las incompatibilidades que originaron el problema.
13. Buenas prácticas para administrar múltiples versiones PHP
En servidores que alojan varios proyectos, recomendamos establecer un plan de actualización progresiva.
Esto incluye mantener un inventario de dominios y versiones PHP, identificar aplicaciones heredadas, actualizar plugins y temas, realizar pruebas individuales y establecer un calendario para retirar versiones sin soporte.
No es recomendable mantener indefinidamente PHP 7.4 u otras versiones obsoletas en servicios expuestos a Internet.
Si una aplicación todavía requiere PHP antiguo, deben evaluarse servicios de soporte extendido con parches, medidas de aislamiento y una estrategia de modernización.
La seguridad del servidor también depende de otros componentes: sistema operativo, Apache, base de datos, certificados SSL, firewall, respaldos y políticas de acceso.
Conclusión
Actualizar PHP desde WHM con EasyApache 4 es un procedimiento accesible, pero requiere planificación técnica.
La clave no consiste únicamente en instalar la versión más reciente, sino en mantener una combinación segura y compatible de PHP, extensiones, Apache, WordPress y sus componentes.
Un proceso adecuado incluye respaldos, evaluación de dependencias, instalación paralela de versiones, selección de extensiones, revisión de paquetes y pruebas antes de modificar los sitios en producción.
Con estas buenas prácticas podemos reducir riesgos, mejorar la capacidad de mantenimiento y preparar nuestros proyectos para futuras actualizaciones tecnológicas.
¿Necesitas actualizar o modernizar tu servidor web?
En Naranja y Media® desarrollamos, administramos y optimizamos soluciones digitales, sitios web, aplicaciones y plataformas empresariales.
Si tu organización utiliza WordPress, un servidor VPS o aplicaciones desarrolladas en PHP, contar con una estrategia adecuada de mantenimiento y modernización es fundamental para proteger la continuidad de sus servicios digitales.
Conoce más en www.naranjaymediahn.com.
Fuentes y documentación técnica
- cPanel & WHM — EasyApache 4 Interface
- cPanel — Instalación de versiones y extensiones PHP
- WordPress — Requisitos oficiales
- WordPress Hosting Handbook — Entorno del servidor
- PHP — Versiones con soporte
- PHP — Actualizaciones de seguridad de octubre de 2026
- PHP — Incidencia técnica SimpleXML
Artículo técnico elaborado con información vigente a octubre de 2026. Las versiones disponibles, requisitos y condiciones de soporte pueden cambiar.
