Hay tecnologías que trabajan tan al fondo que solo reparamos en ellas cuando llega una noticia. PHP es una de ellas. Lleva casi treinta años detrás de millones de páginas web, y en octubre ha aparecido en los avisos de los organismos de ciberseguridad. Buen momento para conocerla un poco mejor.
Un currículum que se convirtió en lenguaje
La historia arranca en 1994. Un programador llamado Rasmus Lerdorf quería mostrar su currículum en internet y saber cuánta gente lo visitaba. Escribió unas herramientas para conseguirlo y las llamó «Personal Home Page», algo así como «página personal». En 1995 las publicó para que cualquiera las usara.
Aquel pequeño experimento creció, otros programadores lo reescribieron y las siglas acabaron significando «PHP: Hypertext Preprocessor». Un currículum con contador de visitas terminó siendo una de las piezas más extendidas de la web.
Qué hace PHP cuando abres una web
Piensa en un restaurante. Tú estás en la sala y pides un plato. En la cocina alguien lo prepara y el camarero te lo trae a la mesa. Disfrutas del resultado y la cocina sigue a resguardo, tras la puerta.
PHP es esa cocina. Cuando abres una página, tu navegador hace el pedido. El servidor ejecuta el código PHP, consulta lo que necesita, ya sean los productos de una tienda, las entradas de un blog o los datos de tu cuenta, y te devuelve la página lista para servir. Todo lo que ocurre entre fogones se queda en el servidor, y a ti te llega el plato terminado.
Por eso se le llama un lenguaje «del lado del servidor». Es el encargado de preparar las webs que cambian según quién las visita o qué ha pedido.
Una ventaja de este reparto es la tranquilidad del visitante: el código que se ejecuta en la cocina permanece en el servidor, y el navegador recibe solo el resultado. Esa manera de trabajar explica en buena parte su éxito durante tantos años.
Dónde vive PHP
WordPress, el gestor de contenidos más extendido, está hecho en PHP. También Drupal, Joomla y la propia Wikipedia. Si tu web funciona con WordPress, PHP trabaja cada vez que alguien la visita.
Les ocurre a muchos negocios: descubren a PHP el día que sale en las noticias, después de años de servicio discreto y constante.
Qué ocurrió el 21 de octubre
El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones para corregir dos vulnerabilidades críticas en su núcleo, identificadas como CVE-2026-109618 y CVE-2026-109619. Según el aviso de INCIBE-CERT, ambas podían permitir que una persona externa y anónima ejecutara código en el servidor. Las dos reciben una puntuación de 9,2 sobre 10 en la escala CVSS, la que se utiliza para medir la gravedad de este tipo de fallos.
En lenguaje de cocina: un fallo en los fogones que, bajo ciertas condiciones, permitía que alguien de fuera diera órdenes al personal. INCIBE señala además que se habían comunicado ataques antes de que los parches estuvieran disponibles.
La parte tranquilizadora de esta historia
La solución llegó el mismo día. PHP publicó versiones corregidas para cada rama mantenida (8.5.12, 8.4.27, 8.3.36 y 8.2.35) y parches para versiones más antiguas, como la 8.1, la 8.0 y la 7.4. Con la actualización aplicada, la puerta queda cerrada.
En un alojamiento compartido, suele ser el proveedor quien se ocupa de actualizar PHP, porque forma parte de la infraestructura que gestiona. El aviso de INCIBE continúa actualizándose, de modo que merece una visita para conocer la situación más reciente.
Qué puedes hacer tú, con calma
Una primera gestión sencilla consiste en preguntar a tu proveedor de alojamiento, o a la persona que cuida tu web, qué versión de PHP utiliza y si ya incluye las correcciones del 21 de octubre. Suele bastar con un correo breve.
Si tu web funciona con WordPress, conviene mantener al día el propio WordPress, el tema y los plugins. Y si la versión de PHP es antigua, merece la pena planificar el cambio a una rama mantenida: según INCIBE, PHP 8.1 y las anteriores han dejado de recibir actualizaciones regulares del proyecto.
Y si gestionas varias webs o aplicaciones, ayuda llevar un pequeño registro con la tecnología de cada una y la fecha de la última revisión. Con esa información a mano, cualquier aviso de seguridad se convierte en una consulta de cinco minutos.
Una web es un jardín
Las piezas que sostienen una web evolucionan, aparecen mejoras y, de vez en cuando, correcciones urgentes. Una revisión periódica mantiene todo en forma, igual que un jardín agradece una visita regular. Es la misma hospitalidad que contamos en tu web es tu escaparate digital: un espacio cuidado transmite que detrás hay alguien atento.
En nuestro trabajo de desarrollo web y aplicaciones a medida nos gusta que cada persona conozca la tecnología que sostiene su proyecto. Si quieres saber qué hay detrás de tu web y en qué estado se encuentra, hablemos.