Si tienes una web creada con el Kit Digital, comprueba qué versión de PHP utiliza y si tu proveedor ha aplicado las correcciones de seguridad de octubre de 2026. Red.es ha recomendado revisar estas soluciones tras los avisos de INCIBE. Tener una web subvencionada no significa que esté infectada: el riesgo depende de la instalación y de sus actualizaciones.
En esta guía te explicamos qué implica el fallo de PHP en webs del Kit Digital, qué pedir a tu hosting y cómo actuar si detectas problemas. En Commercial B2B podemos ayudarte tanto con el mantenimiento preventivo como con la reparación de una web comprometida.
Información técnica contrastada el 3 de noviembre de 2026. Consulta los avisos oficiales enlazados para comprobar posibles actualizaciones.
Qué encontrarás en esta guía
- Qué ha ocurrido y a qué webs afecta
- Versiones de PHP que debes revisar
- Cómo actualizar PHP con seguridad
- Qué hacer si tu web muestra señales de infección
- Cómo te ayudamos en Commercial B2B
- Preguntas frecuentes
Qué ha ocurrido con PHP y las webs del Kit Digital
El 23 de octubre de 2026, Red.es publicó un aviso para beneficiarios y agentes digitalizadores del Kit Digital. Recomendó identificar los servicios que utilizan PHP, revisar sus versiones y priorizar los sistemas accesibles desde Internet.
El aviso de INCIBE-CERT identifica dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, con una puntuación CVSS de 9,2. Pueden permitir que un atacante remoto sin autenticación ejecute código con los permisos del proceso web.
PHP forma parte del entorno que ejecuta muchas aplicaciones y gestores de contenidos. Por eso, el problema no es exclusivo del Kit Digital ni de WordPress. Una web financiada de otra forma también puede necesitar las correcciones. Tampoco se puede concluir que una página esté comprometida solo por pertenecer al programa.
Qué versiones de PHP hay que actualizar
El equipo de PHP publicó las correcciones el 21 de octubre de 2026. Estas son las versiones de referencia para las dos vulnerabilidades críticas:
| Rama de PHP | Versión corregida publicada | Qué comprobar |
|---|---|---|
| PHP 8.2 | PHP 8.2.35 | Esa revisión o una posterior con las correcciones. |
| PHP 8.3 | PHP 8.3.36 | Esa revisión o una posterior con las correcciones. |
| PHP 8.4 | PHP 8.4.27 | Esa revisión o una posterior con las correcciones. |
| PHP 8.5 | PHP 8.5.12 | Esa revisión o una posterior con las correcciones. |
No basta con ver «PHP 8.3» o «PHP 8.4» en el panel: pide la versión completa y la confirmación de los parches. Algunas distribuciones y proveedores incorporan correcciones mediante retroportaciones; en esos casos, el número visible por sí solo no permite decidir si el paquete está corregido.
Si utilizas PHP 8.1 o una rama anterior, solicita además un plan de migración a una rama mantenida. Los parches excepcionales para versiones antiguas no sustituyen el soporte continuado. Según el calendario oficial de PHP, el soporte de seguridad de PHP 8.2 termina el 31 de diciembre de 2026.
Hay un matiz adicional: INCIBE actualizó su aviso el 26 de octubre con otro riesgo ligado a una combinación concreta de sesiones y configuración. El responsable técnico debe revisar también esa actualización; instalar los parches de las dos vulnerabilidades iniciales no resuelve automáticamente todos los avisos posteriores.
Cómo actualizar PHP sin improvisar en tu web
Nuestra recomendación es coordinar hosting y mantenimiento con una lista de comprobaciones. Cambiar de versión sin revisar compatibilidades puede interrumpir funciones importantes del negocio.
1. Identifica el entorno real del dominio
Consulta el panel de tu alojamiento, por ejemplo Plesk o cPanel, y localiza la configuración PHP del dominio. En WordPress, la información del servidor también puede consultarse desde Herramientas → Salud del sitio → Información. Los nombres pueden variar según la instalación.
Confirma con el hosting qué versión procesa las visitas de esa web. Si tienes varios dominios, subdominios o entornos de pruebas, revísalos por separado. Anota quién se encargará de cada cambio.
2. Prepara una copia recuperable y revisa compatibilidades
Guarda archivos y base de datos antes de intervenir. Comprueba cómo se restaurarían y conserva una copia fuera del entorno que vas a modificar. Después, revisa los requisitos del CMS, la plantilla, los plugins y las integraciones.
Cuando sea posible, prueba el cambio en un entorno separado con acceso restringido. Una copia de seguridad ayuda a recuperar el servicio, pero no evita por sí misma los fallos de compatibilidad.
3. Aplica las correcciones y prueba el negocio
Pide al hosting o al técnico que aplique el paquete corregido compatible y confirme la versión efectiva tras el cambio. No asumas que actualizar WordPress actualiza también PHP: son componentes distintos.
- Abre la portada y las páginas de servicios desde móvil y ordenador.
- Comprueba el envío y la recepción de un formulario de prueba.
- Si hay tienda, revisa carrito y compra en modo de pruebas, sin generar cargos reales.
- Verifica accesos, reservas e integraciones relevantes y revisa los registros de errores.
Si aparece una incompatibilidad, coordina su reparación con el proveedor. Evita dejar como solución permanente una versión vulnerable. PHP advierte de que las mitigaciones parciales no sustituyen la actualización; cuando no pueda aplicarse, el técnico debe valorar el aislamiento temporal del servicio expuesto.
¿Tu web ya muestra señales de infección?
Una web puede seguir cargando aunque tenga problemas. Estas señales justifican una revisión, pero no demuestran por sí solas que el origen sea este fallo de PHP:
- Redirecciones a páginas desconocidas o contenido que nadie del equipo ha publicado.
- Usuarios de administración, archivos o enlaces inesperados.
- Avisos de seguridad del navegador o del antivirus.
- Cambios extraños en resultados de búsqueda o actividad anómala del sitio.
Conserva los avisos y registros antes de borrar nada. Si hay indicios de compromiso, pide una revisión de archivos, base de datos, accesos y tareas programadas. Actualizar el motor no elimina necesariamente lo que un atacante haya dejado previamente.
Nuestro servicio de reparación web y seguridad aborda la detección del problema, la limpieza y la recuperación del sitio. El objetivo es identificar también la vía de entrada y reforzar la instalación para reducir el riesgo de que vuelva a ocurrir.
Mantenimiento o reparación: qué necesita tu web
La decisión depende del estado del sitio. Si funciona con normalidad, empieza por verificar actualizaciones, copias y responsables. Si presenta actividad sospechosa, necesita primero una revisión de seguridad.
Mantenimiento web para prevenir problemas
En Commercial B2B ofrecemos mantenimiento web para empresas con soporte técnico humano. Trabajamos con WordPress, Joomla, PrestaShop, Drupal y desarrollos a medida. Revisamos contigo las necesidades de la instalación y el alcance del servicio, incluidas las tareas que deban coordinarse con el alojamiento.
Reparación y seguridad cuando hay una incidencia
Si tu web ha sido marcada como peligrosa, muestra contenido extraño o has perdido el acceso, solicita una revisión de tu web. Analizamos el caso para determinar la intervención necesaria y explicarte los siguientes pasos.
¿No sabes quién está manteniendo la web que te hicieron con el Kit Digital? Contacta con Commercial B2B e indícanos tu dominio, los avisos que has recibido y quién gestiona el hosting. También puedes llamarnos al 611 03 99 15. Te ayudaremos a concretar qué revisar y qué servicio encaja con tu caso.
Preguntas frecuentes sobre PHP y Kit Digital
¿Todas las webs del Kit Digital están infectadas?
No. El aviso pide revisar las instalaciones que utilizan PHP. La exposición depende de su versión, los parches y la configuración; una infección requiere comprobar evidencias.
¿Actualizar WordPress corrige el fallo de PHP?
No necesariamente. WordPress y PHP se actualizan por vías diferentes. Pide que se comprueben tanto la aplicación como el entorno del servidor.
¿Quién debe actualizar PHP en una web del Kit Digital?
Comprueba qué cubre tu contrato con el agente digitalizador y con el hosting. Solicita por escrito quién aplica los parches, quién prueba la web y quién atiende una incidencia. No des por hecho que el mantenimiento continúa después del periodo contratado.
¿Un plugin de seguridad sustituye la actualización?
No. El aviso del equipo de PHP exige aplicar las correcciones del motor. Las medidas adicionales de seguridad deben acompañar esa actualización.
¿Commercial B2B puede revisar una web creada por otra empresa?
Sí. Puedes consultarnos por una web desarrollada por otro proveedor, también si se creó con el Kit Digital. Primero revisaremos la tecnología, los accesos disponibles y el estado del sitio para definir el trabajo.
