Nuestra web y el área de clientes, en 14 minutos; los servidores de alojamiento web, en 27: así respondimos a las actualizaciones de PHP del 21 de octubre.
¡En una vulnerabilidad de seguridad, cada hora cuenta! ⚡️ El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619). En determinadas condiciones, los atacantes podían ejecutar código propio de forma remota en un servidor web con PHP. No es un problema exclusivo de ZAP-Hosting: PHP está presente en gran parte de Internet, por lo que estas vulnerabilidades afectan a sitios web y servidores web de todo el sector del hosting.
- Tipo de vulnerabilidad: ejecución remota de código, es decir, ejecutar código ajeno en el servidor mediante una solicitud manipulada.
- Versiones corregidas: PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
- Sin solución: el proyecto PHP ya no proporciona actualizaciones de seguridad para PHP 8.1 y versiones anteriores, por lo que tampoco recibirán una corrección para estas vulnerabilidades.
La publicación de las actualizaciones se había anunciado con antelación. Nuestro equipo de infraestructura aprovechó ese tiempo para identificar todos nuestros sistemas que usan PHP: desde nuestra web y el área de clientes hasta los servidores de alojamiento web, las interfaces de phpMyAdmin de nuestros productos de bases de datos y los servicios internos. Antes de la publicación, aplicamos medidas de protección temporales y activamos reglas de filtrado adicionales en el perímetro de nuestra red. Así, limitamos la vía de ataque conocida antes de que estuviera disponible la corrección.
Gracias a que lo teníamos todo preparado, actuamos rápidamente tras la publicación: nuestra web y el área de clientes ya usaban la nueva versión unos 15 minutos después, y los servidores de alojamiento web, en menos de media hora. Incluso bajo presión, avanzamos paso a paso y probamos cada cambio antes de aplicarlo. El resto de nuestros sistemas se actualizó ese mismo día.
Actualizamos a PHP 8.2 los alojamientos web que aún usaban PHP 7.4, 8.0 o 8.1, ya que no hay una corrección disponible para esas versiones antiguas. Informamos de ello mediante avisos de servicio en el área de clientes y por correo electrónico. La mayoría de los sitios web seguirán funcionando sin ningún cambio. Si tu aplicación necesita ajustes para la versión más reciente de PHP, nuestro equipo de soporte estará encantado de ayudarte.
Nuestras actualizaciones cubren los servicios que gestionamos por ti. Si tienes tu propio VPS, un servidor dedicado o cualquier otro sistema autogestionado, eres responsable del software instalado, tanto si está con nosotros como con otro proveedor o en tu casa. Si tienes PHP instalado en algún sitio —por ejemplo, para una web, un foro, un panel o dentro de un contenedor Docker—, compruébalo ahora:
- Comprueba qué versión de PHP está instalada en tu servidor. Las versiones corregidas son la 8.2.35, 8.3.36, 8.4.27 y 8.5.12, o cualquier versión posterior.
- Instala las actualizaciones mediante el gestor de paquetes de tu sistema operativo.
- Contenedores Docker con PHP: descarga las imágenes más recientes o vuelve a crearlas y reinicia los contenedores. Una actualización del sistema anfitrión no actualiza el PHP del contenedor.
- Reinicia PHP-FPM o el servidor web para asegurarte de que los procesos en ejecución utilicen la nueva versión.
- Si todavía usas PHP 8.1 o una versión anterior, planifica la actualización a una versión compatible. Estas versiones ya no recibirán ninguna corrección.
Este no es un caso aislado. En agosto, protegimos nuestra infraestructura KVM frente a Zapscape y Januscape, dos vulnerabilidades que, en determinadas condiciones, podían permitir que una máquina virtual escapara de su aislamiento. El principio es siempre el mismo: evaluar rápidamente, proteger de inmediato y aplicar el parche en cuanto haya una corrección estable disponible. La investigación en seguridad nunca se detiene, y nuestro trabajo para ofrecer servicios seguros tampoco.
Fuente preferida en Google
