El 21 de octubre se publicaron dos fallos graves en PHP, el lenguaje con el que funciona tu WordPress, y desde entonces hay titulares que dan miedo. Si tu web está en un alojamiento compartido de IONOS, Hostinger o una empresa con cPanel, lo más probable es que no tengas que hacer nada: ya lo han arreglado ellos. Lo que sí te toca es comprobar dos cosas en cinco minutos. Aquí van, empresa por empresa.
Qué ha pasado, en dos líneas
El proyecto PHP avisó el 21 de octubre de dos fallos críticos que permiten a un atacante ejecutar código en el servidor sin contraseña, y sacó las versiones que los corrigen: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El INCIBE-CERT publicó ese mismo día su aviso (INCIBE-2026-762), con una puntuación de 9,2 sobre 10, y recuerda que la actualización es la única solución completa.
Una cosa que conviene saber: actualizar WordPress o los plugins no arregla esto. Lo dice el propio WordPress: el fallo está en PHP, que corre en el servidor, y el servidor es cosa de tu empresa de alojamiento.
¿Tienes que hacer algo? Depende de dónde esté tu web
- Alojamiento compartido (lo normal en un negocio pequeño): tu empresa de alojamiento actualiza PHP en sus servidores. IONOS, Hostinger, Raiola, Dinahosting y Webempresa han publicado que ya lo han hecho. cPanel sacó las versiones corregidas para sus servidores el mismo día 21.
- VPS o servidor propio no administrado: aquí no lo hace nadie por ti. Hostinger lo dice claro para sus VPS y Raiola recuerda que en los servicios no administrados «es urgente actualizar PHP». Si no sabes quién lleva tu servidor, pregúntalo hoy.
Ojo con una cosa: el número de versión que ves puede no cambiar aunque el parche ya esté puesto. Hostinger y Webempresa lo avisan: el proveedor puede corregir sin tocar ese número.
Lo que sí te toca: mirar qué PHP usa tu web
Desde el escritorio de WordPress: Herramientas → Salud del sitio → pestaña Información y despliega Servidor. En «Versión de PHP» verás algo como 8.3.36.
Lo que importa es el principio, la rama:
- 8.3, 8.4 u 8.5: bien. WordPress recomienda la 8.3 o superior.
- 8.2: está corregida, pero deja de recibir parches de seguridad el 31 de diciembre de este año. Aprovecha para pasar a la 8.3.
- 8.1 o anterior: el proyecto PHP ya no la actualiza. Algunos proveedores han aplicado el arreglo también a estas versiones antiguas, pero vas por libre: Dinahosting, por ejemplo, avisa de que de la 7.3 hacia atrás no hay parche oficial. Toca subir de versión.
Antes de cambiar nada, haz una copia de seguridad completa: un plugin o un tema antiguo puede dejar de funcionar con un PHP más nuevo. Si pasa, se vuelve a la versión anterior desde el mismo sitio. Cómo se hace bien una copia lo contamos en copia de seguridad de tu página web.
Cómo actualizar PHP en IONOS
IONOS ha publicado que ya instaló las actualizaciones oficiales y que la mayoría de sus clientes no tienen que hacer nada. Para mirar o cambiar la versión:
- Entra en tu cuenta y ve a Menú → Hosting.
- Elige el contrato y, en el apartado PHP, pulsa Administrar.
- Pulsa en tu dominio, elige la versión (la 8.3, por ejemplo) y Guardar. Se aplica en unos instantes.
Dos avisos. Si tienes el Hosting gestionado para WordPress o MyWebsite, la versión la lleva IONOS y no se puede cambiar. Y si sigues en una versión antigua (de la 4 a la 8.1), IONOS te cobra cada mes un «soporte extendido para PHP» por mantenerla: otro motivo para subir.
Cómo actualizar PHP en Hostinger
Hostinger dice que ya instaló la corrección en todos sus planes salvo los VPS, y que en sus alojamientos gestionados también cubre las versiones antiguas. Para comprobarlo de verdad, como el número puede no cambiar, mira la fecha: en hPanel, dentro de tu web, abre PHP Info; si la fecha de compilación es del 21 de octubre de 2026 o posterior, el parche está.
Para cambiar de versión: Sitios web → Administrar → Configuración de PHP (en la barra lateral), elige la versión y pulsa Actualizar.
Cómo actualizar PHP en un hosting con cPanel
Muchas empresas usan cPanel, o un panel propio parecido, y el nombre del botón cambia un poco de una a otra:
- cPanel: en la sección Software, MultiPHP Manager. Marca tu dominio, elige la versión y aplica. Si tu empresa usa CloudLinux, el botón se llama Seleccionar versión PHP (así está en Raiola).
- Webempresa no usa cPanel sino su WePanel: Herramientas → Versiones PHP.
- Dinahosting, en su panel, con el desplegable Cambiar versión.
Si no encuentras el botón, no toques nada más: pregunta a tu empresa en qué versión estás y si ya han aplicado el parche. Es una pregunta que esta semana contestan muchas veces.
Si no quieres estar pendiente de esto cada vez que salga un aviso, para eso está el mantenimiento: la versión de PHP, las actualizaciones y las copias de seguridad los vigilamos nosotros.
Preguntas que nos hacen
He actualizado WordPress y todos los plugins. ¿Ya estoy a salvo?
De esto no. El fallo está en PHP, no en WordPress, y WordPress dice que no hace falta ni está prevista ninguna actualización suya para arreglarlo. Lo arregla tu empresa de alojamiento en el servidor.
Mi versión sigue siendo la misma que la semana pasada. ¿Me han dejado sin arreglar?
No necesariamente. Algunos proveedores aplican el parche sin cambiar el número que ves. En Hostinger se comprueba por la fecha de compilación en PHP Info; en los demás, lo más rápido es preguntarles.
¿Qué versión elijo?
La 8.3 o la 8.4. WordPress recomienda la 8.3 o superior, y la 8.2 deja de recibir seguridad a final de año. Haz copia antes y, después de cambiar, abre la web y el escritorio para ver que todo funciona.
Al cambiar de versión, la web ha dejado de funcionar
Vuelve a la versión anterior desde el mismo sitio donde la cambiaste: es inmediato. Lo normal es que un plugin o el tema sean antiguos y no se lleven bien con el PHP nuevo; hay que actualizarlos o cambiarlos antes de volver a intentarlo.
Si tu web lleva tiempo sin que nadie la mire, este aviso es buen momento para revisar lo demás: lo contamos en qué pasa si no actualizas WordPress.