Vulnerabilidades de PHP. Qué deja expuesto tu sitio y cómo lo parchamos.
Versiones sin soporte, frameworks y plugins sin parches, dependencias viejas y configuración que muestra de más. Revisa gratis qué anuncia tu sitio, mira las fallas de la semana y, si quieres, lo dejamos parchado con evidencia.
Casi nunca es PHP en sí. Lo que deja expuesto un sitio es correr una versión de PHP sin soporte, un framework o plugins sin parches, dependencias viejas de Composer y una configuración que muestra de más. Con una versión soportada y al día, la mayoría de las fallas publicadas ya tiene corrección.
Versión de PHP sin soporte
PHP 8.1 y anteriores ya no reciben parches; PHP 8.2 los recibe solo hasta el 31 de diciembre de 2026, según php.net.
Framework sin parches
Laravel, Symfony o tu CMS corrigen fallas solo en versiones soportadas. Laravel 11 ya no recibe parches de seguridad.
Plugins y temas
En WordPress, la mayoría de las entradas llegan por plugins con fallas o abandonados, no por el núcleo actualizado.
Dependencias de Composer
Paquetes viejos en «composer.lock». El comando «composer audit» los cruza contra avisos de seguridad publicados (documentación).
Configuración que muestra de más
«display_errors» activo en producción, «expose_php» anunciando la versión, archivos «.env» o respaldos al alcance de cualquiera.
Código propio
Inyección SQL, subida de archivos sin validar y sesiones débiles: las fallas que describe el OWASP Top 10.
¿Qué versiones de PHP siguen recibiendo parches?
PHP da dos años de soporte activo a cada rama y dos más solo para fallas de seguridad críticas; después, la rama queda sin soporte. Estas son las fechas publicadas en php.net al 30 de octubre de 2026:
Tomado de nuestras alertas de la semana (actualizadas el 24 oct 2026). Solo fuente primaria.Ver todas las alertas →
¿Cómo parchamos tu PHP?
Con el mismo método de Security OS: primero vemos qué tienes, luego corregimos con tu autorización y al final lo probamos con un antes y después. Si tu sitio ya fue atacado, empieza por la guía de WordPress hackeado o escríbenos.
Del inventario al servidor parchado
01/ 06 · Inventario
01
Inventario
Versiones de PHP en cada servidor, paquetes de Composer, plugins y temas, y el sistema operativo debajo.
02
Prioridad
Cruzamos lo encontrado contra fallas publicadas y el catálogo KEV de CISA, y ordenamos por riesgo real.
03
Plan de actualización
Por etapas, primero en un entorno de pruebas y con plan de regreso. Si hay que cambiar de rama, revisamos compatibilidad.
04
Parche y hardening
Aplicamos parches y endurecemos PHP-FPM, el servidor web y la configuración. Cada cambio con su reversa y tu OK.
05
Evidencia
Corremos la misma revisión antes y después; te queda el comparativo, falla por falla.
06
Vigilancia mensual
Te avisamos de las fallas nuevas que afectan tu stack, con el parche preparado.
Qué recibes al final
Inventario de versiones de PHP, Composer, plugins y servidores.
Lista de fallas priorizadas, con lo que se corrigió y lo que queda pendiente.
Comparativo antes y después del mismo motor de auditoría.
No por sí mismo. Las fallas se corrigen en las versiones soportadas; el riesgo está en correr una rama sin soporte o sin actualizar.
¿Cómo sé qué versión de PHP tengo?
En el servidor, con php -v. Desde fuera, el chequeo gratis lee si tu sitio la anuncia en sus cabeceras.
¿Ocultar la versión de PHP me protege?
Ayuda a que los bots no te encuentren tan fácil, pero no corrige nada. Si la versión es vulnerable, hay que actualizar.
¿Qué pasa con PHP 8.2 después del 31 de diciembre de 2026?
Deja de recibir parches de seguridad oficiales. Cualquier falla nueva queda abierta, salvo que tu distribución publique un backport.
¿También parchan WordPress y Laravel?
Sí. Actualizamos núcleo, plugins, temas y paquetes de Composer, probamos que el sitio siga funcionando y documentamos cada cambio.
¿Tienen que entrar a mi servidor?
Para parchar, sí, con el acceso que tú autorices. El diagnóstico empieza con permisos de solo lectura y cada cambio se aplica solo con tu OK.
La revisión y elaboración de documentos legales se realiza con apoyo de especialistas legales. WITS identifica necesidades y riesgos, pero no presta servicios jurídicos.
