El proyecto PHP publicó, el 21 de octubre de 2026, correcciones para dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Las fallas pueden afectar a integraciones que usan PHP o a tiendas en WooCommerce, PrestaShop y Adobe Commerce/Magento.

Para verificar la situación de tu integración, solicitá a tu proveedor de hosting o al equipo técnico una evaluación prioritaria de la versión de PHP y de las correcciones aplicadas. Si la instalación sigue siendo vulnerable, gestioná la actualización a una versión corregida y compatible con tu integración.

Las versiones anunciadas por el proyecto PHP son:

Tu proveedor de hosting puede ofrecer un paquete con las correcciones y otra numeración. En ese caso, solicitá la confirmación de que se aplicaron las correcciones de ambas vulnerabilidades.

• Verificá el PHP utilizado en el servidor. Solicitá a tu proveedor de hosting, agencia o equipo técnico que identifique la versión y confirme las correcciones. Pedí la actualización a una versión corregida y compatible con la plataforma, los temas, los plugins y la integración.
• Confirmá las alternativas para PHP 8.1 o anterior. Estas versiones están fuera del soporte regular del proyecto PHP. Consultá con tu proveedor de hosting si dispone de un paquete con las correcciones aplicadas o solicitá un plan prioritario de migración.
• Prepará la actualización antes de modificar el entorno de producción. Hacé una copia de seguridad y verificá el funcionamiento de la tienda o aplicación, del checkout y de los pagos en un entorno de pruebas.
• Si las correcciones no pueden aplicarse de inmediato, pedí un plazo y medidas temporales. Solicitá al responsable técnico que evalúe medidas para reducir la exposición, como un firewall de aplicaciones web (WAF). Estas medidas no reemplazan la actualización ni hacen que la instalación sea segura.
• Si sospechás que el entorno ha sido comprometido, contactá de inmediato al equipo técnico. Solicitá la investigación, la corrección del entorno y el reemplazo de las credenciales potencialmente expuestas, incluidas contraseñas y tokens de integración. Coordiná el reemplazo con la contención y la recuperación: las nuevas credenciales pueden ser capturadas si el entorno sigue comprometido.

Si tenés dudas sobre qué versión está en uso o si ya se aplicaron las correcciones, enviá este aviso a tu proveedor de hosting, agencia o equipo responsable de tu integración.

Las versiones y las indicaciones de actualización están en el aviso oficial de seguridad de PHP. Consultá también:

• Aviso técnico de la CVE-2026-109618
• Aviso técnico de la CVE-2026-109619