Esta semana se han publicado parches de emergencia para PHP, el lenguaje en el que funcionan millones de webs. Si tienes una web, una tienda online o simplemente programas en tu Mac, esta guía te lleva de la mano: qué versión tienes, cómo actualizarla y cómo comprobar que tu código sigue funcionando. Los ejemplos usan IONOS como hosting y un Mac, pero sirve igual para otros proveedores. No hace falta ser programador: cada comando lleva su simulación y su explicación.
- Entender qué ha pasado (2 minutos).
- Mirar qué versión de PHP tiene tu hosting.
- Actualizar PHP en tu Mac.
- Comprobar que tus archivos PHP no tienen errores.
- Pasar una herramienta que detecta código incompatible con versiones nuevas.
- Subir de versión en el hosting con seguridad.
🚨 1. Qué ha pasado
El 21 de octubre de 2026 el equipo de PHP publicó las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Corrigen dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, que según el propio proyecto pueden permitir ejecución remota de código sin autenticación.
Dicho en llano: alguien desde internet podría conseguir que un servidor con una versión vulnerable ejecute órdenes suyas, sin necesitar ninguna contraseña. El proyecto PHP indica además que no hay mitigaciones completas: actualizar es la única opción segura.
Que exista el fallo no significa que tu web haya sido atacada. Significa que hay un parche y que conviene tenerlo puesto cuanto antes. Esta guía es para comprobarlo con calma.
¿Qué parte me toca a mí y cuál al hosting?
Son dos sitios distintos donde se ejecuta PHP:
- El servidor de tu hosting (IONOS, por ejemplo). En un hosting compartido el servidor lo mantiene el proveedor: él aplica el parche y tú eliges la rama (8.3, 8.4...). En mi caso, IONOS escribió a sus clientes diciendo que ya lo había aplicado, también en versiones sin soporte oficial gracias a su servicio de Soporte Extendido para PHP. Aun así, conviene comprobarlo tú.
- Tu ordenador. Si programas en local, tu copia de PHP no se actualiza sola.
Con noticias así circulan correos falsos que imitan a tu proveedor. No pulses enlaces de un correo: entra a tu panel escribiendo tú la dirección en el navegador, y comprueba que el remitente es del dominio oficial.
🔎 2. Mira qué versión de PHP tiene tu hosting
En el panel de IONOS entra en la sección de Hosting y busca la configuración de PHP (también puedes escribir «PHP» en el buscador del panel). Verás una lista como esta, con cada dominio y la versión que usa:
| Dominio | Versión PHP | Estado |
|---|---|---|
| tudominio.com | PHP 8.4 | Con soporte |
| otra-web.es | PHP 8.3 | Con soporte |
| web-antigua.com | PHP 7.4 | Sin soporte oficial |
Recreación de ejemplo con dominios inventados. El diseño real del panel puede cambiar.
Cómo interpretarlo:
- 8.2, 8.3, 8.4 o 8.5: ramas con parche oficial. Si el hosting ya lo ha aplicado, estás cubierto.
- 8.1 o anterior: el proyecto PHP ya no las parchea. Algunos proveedores ofrecen soporte extendido, pero lo sensato es subir de rama en cuanto puedas.
El panel suele mostrar solo la rama (8.3, 8.4). Si quieres ver la versión exacta, puedes crear un archivo de prueba, abrirlo en el navegador y borrarlo enseguida. Es importante borrarlo: enseña información interna de tu servidor.
info.php, súbelo a tu web, ábrelo (tudominio.com/info.php) y mira el título de la página, donde pone «PHP Version». Después elimínalo del servidor.💻 3. Actualiza PHP en tu Mac
Aunque tu web esté en un hosting, es muy probable que tengas PHP también en tu propio ordenador para programar y probar. Esa copia no se actualiza sola: la tienes que actualizar tú. Son cuatro pasos y se hacen en la aplicación Terminal (la encuentras con Spotlight: ⌘ + Espacio y escribes «Terminal»).
Cada rama de PHP tiene su propio parche. La tuya tiene que ser igual o superior a la de esta tabla:
| Si usas la rama… | Debes tener al menos… |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 o anterior | Sin parche oficial: conviene subir de rama |
Paso 1 · Mira qué versión tienes ahora
Escribe el comando y pulsa Enter. Pulsa ▶ Ver ejemplo para ver cómo se vería en tu pantalla.
Si en lugar de la versión te sale command not found: php, es que no tienes PHP instalado en el Mac. Entonces no hay nada que actualizar; puedes instalarlo más adelante con brew install php si quieres probar tus proyectos en local.
Paso 2 · Actualiza la lista de Homebrew
Homebrew es el programa que instala y actualiza PHP en el Mac. Primero le pedimos que consulte cuáles son las últimas versiones disponibles.
Paso 3 · Instala la versión con el parche
Ahora sí: le pedimos que actualice PHP. Homebrew te enseñará qué va a cambiar y te preguntará si quieres continuar. Escribe y (de «yes») y pulsa Enter. Puede tardar unos minutos, porque también actualiza librerías que PHP necesita.
Paso 4 · Comprueba que ha funcionado
Cierra la ventana de Terminal, ábrela de nuevo y repite el comando del paso 1.
Si usas un servidor local (por ejemplo php -S, MAMP o Apache) y lo tenías encendido mientras actualizabas, reinícialo para que use la versión nueva.
✅ 4. Comprueba que tus archivos PHP no tienen errores
Antes de subir de versión en el hosting, conviene saber si tu código se lleva bien con PHP moderno. La primera comprobación es la más sencilla: php -l (la «l» es de lint, revisar). Lee el archivo y te dice si PHP lo entiende. No ejecuta nada.
Un solo archivo
Y así se ve cuando hay un fallo (aquí, una llave que sobra):
Todos los archivos de una carpeta
Sustituye ~/mi-web por la carpeta de tu proyecto. Un truco: escribe find y arrastra la carpeta desde el Finder a la ventana de Terminal; la ruta se escribe sola.
| grep -v "No syntax errors": si no sale nada, todo está bien.php -l solo confirma que el código está bien escrito para la versión de PHP que tengas en tu Mac. No avisa de funciones obsoletas ni de errores de lógica. Para eso sirve la herramienta del siguiente apartado.
🧰 5. Instala una herramienta que detecta código incompatible
PHPCompatibility revisa tu código y te dice qué funciones se han eliminado (dan error) o están obsoletas (funcionan hoy, pero dejarán de hacerlo) en la versión de PHP a la que quieres subir. Se instala una sola vez y vale para todos tus proyectos. Necesita Composer, que es el gestor de paquetes de PHP.
Paso 1 · Instala Composer
Paso 2 · Crea una carpeta para las herramientas
php-tools.Paso 3 · Instala la herramienta
Es un único comando largo, pulsa Copiar para no equivocarte. Durante la instalación Composer te preguntará si confías en un plugin necesario (phpcodesniffer-composer-installer). Responde y.
Paso 4 · Comprueba que quedó instalada
📋 6. Revisa tu proyecto y aprende a leer el resultado
Ahora lo pasamos por tu proyecto. Cambia 8.4- por la versión a la que quieres subir (el guion final significa «esta versión o superiores»). Como antes, puedes arrastrar la carpeta desde el Finder para escribir la ruta al final del comando.
¿Y si salen errores?
Verás un bloque por cada archivo con problemas. Se interpretan así:
- ERROR: ese código se romperá (o ya se rompe) en la versión que has indicado. Hay que arreglarlo antes de subir.
- WARNING: funciona hoy, pero está obsoleto y dejará de funcionar más adelante. Conviene arreglarlo con calma.
Esta herramienta lee el código sin ejecutarlo y a veces se equivoca. El caso más típico es el mensaje de arriba («'break' outside of a loop») cuando el break está dentro de un bucle escrito en una sola línea y sin llaves, como este:
foreach ($lista as $x) if ($x == 1) { echo "ok"; break; }
Ese código es válido, pero la herramienta no lo entiende bien. Cómo salir de dudas: pasa php -l sobre ese archivo (apartado 4). Si PHP dice «No syntax errors detected», el archivo es correcto y el aviso era una falsa alarma. Si de verdad hubiera un break fuera de un bucle, PHP daría error fatal al cargar la página.
🚀 7. Sube de versión en el hosting con seguridad
Si la revisión sale limpia (o solo con falsos positivos), ya puedes cambiar la versión. Hazlo de una web en una web, empezando por la menos importante.
- Vuelve a la pantalla de configuración de PHP de tu hosting (apartado 2).
- Marca solo el dominio que quieras cambiar y elige la nueva versión (por ejemplo, de 8.3 a 8.4).
- Guarda. El cambio puede tardar unos minutos en aplicarse.
- Prueba la web. Mira la lista de abajo.
- Si algo falla, vuelve a la versión anterior desde el mismo panel y revisa el registro de errores.
- La portada y varias páginas interiores.
- Todos los formularios (contacto, registro, buscador...).
- Si tienes tienda: carrito, checkout y pagos, con un pedido de prueba o en modo sandbox, nunca con uno real.
- El panel de administración, subiendo una imagen.
- Cualquier envío de emails o conexión con otros servicios.
Un error 500 o una página en blanco suele significar que PHP ha encontrado algo que no soporta. No vuelvas atrás a ciegas: mira primero el registro de errores del hosting, porque ahí aparece el archivo y la línea exactas. Si no lo localizas, vuelve a la versión anterior y pasa ese mensaje a quien te ayude con la programación.
🧾 8. Checklist final
Marca lo que ya has hecho (es solo para ti, no se guarda).
Fuentes: aviso de seguridad del proyecto PHP del 21 de octubre de 2026, en la web oficial de PHP, y notas de la versión 8.5.12 en GitHub. Los números de versión y los identificadores CVE son los publicados por el propio proyecto. Los dominios, rutas y salidas de terminal de esta guía son ejemplos ilustrativos.
