Volver a la tendencia del día: Dos fallas en PHP permiten tomar sitios web ajenos; algunos se desconectaron por precaución

Ranking Poly · de la tendencia del día

Cómo actualizar PHP en mi sitio web: 10 plataformas en riesgo 2026

Actualizar WordPress no soluciona esto: WordPress.org dice que no hay ninguna actualización de WordPress prevista. A las 24 horas de la corrección de PHP, el 99,1% de los hosts de WordPress afectados en una muestra de Shodan seguía con PHP sin corregir.

N.º 1: WordPress
10 puestos
Vigente a 22 de octubre de 2026, 16:57 EDT

01Lista final

Las IA líderes armaron cada una su propia lista de diez, de forma independiente. Aquí hay un resultado fácil de comprobar: cada puesto tiene un motivo, una fuente y la lista de IA que lo incluyeron.

Orden: de mayor a menor acuerdo entre las IA.

Una etiqueta brillante significa que esa IA puso el elemento en su lista. Una tenue, que no.

1
WordPress
La mayor exposición. Cerca de 1 de cada 3 instalaciones usa PHP 8.1 o una versión anterior; las cifras van del 32,4% al 36,4%. 33.075 hosts afectados en una muestra de Shodan, solo 299 corregidos.
Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
En sus listas: Claude: 5 · ChatGPT: 1 · Grok: 1 · Nemotron: 1 · Gemini: 1 · Kimi: 1 · Wenxin: 1
Qué señaló cada IA 7
- Claudepuesto 5
  Alrededor de 1 de cada 3 instalaciones de WordPress informan PHP 8.1 o una versión anterior, y WordPress.org dijo que no se planea ninguna actualización de WordPress: la solución es actualizar PHP.
  Fuente ↗
- ChatGPTpuesto 1
  El CMS más usado del mundo no puede parchear el motor de PHP con el botón habitual de actualización del núcleo de WordPress.
  Fuente ↗
- Grokpuesto 1
  Incluso un sitio de WordPress totalmente parcheado sigue expuesto hasta que el hosting actualiza el motor de PHP que tiene debajo
  Fuente ↗
- Nemotronpuesto 1
  ~60% de los sitios de WordPress funcionan con PHP sin soporte según las estadísticas de WP.org, pero la mayoría de los hostings gestionados permite cambiar PHP con un clic
- Geminipuesto 1
  Más de 40 millones de sitios actualizados muestran marcas verdes en wp-admin mientras funcionan en silencio sobre motores PHP 7.4 u 8.0 sin soporte.
  Fuente ↗
- Kimipuesto 1
  Lo usan dos de cada cinco sitios web del mundo, y uno de cada tres todavía informa una versión de PHP sin soporte; mientras tanto, WordPress 7.1.2, totalmente actualizado, figuraba en la lista de demostraciones de explotación del investigador.
  Fuente ↗
- Wenxinpuesto 1
  Casi 4 de cada 10 sitios lo usan, y un solo clic en el panel puede cambiar el motor de PHP si el hosting lo permite, pero el 18 % de las instalaciones todavía informa PHP 7.x o inferior
7 IA lo pusieron aquí
Fuente ↗
2
Drupal
Casi la mitad de los sitios de Drupal ya usa un núcleo al final de su vida útil (el 29% solo en Drupal 7). Solo 31 de 3.919 hosts afectados se corrigieron tras un día.
Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
En sus listas: Claude: 3 · ChatGPT: 3 · Grok: 2 · Nemotron: 2 · Gemini: 3 · Kimi: 4 · Wenxin: 2
Qué señaló cada IA 7
- Claudepuesto 3
  Wiz demostró ejecución remota de código contra la imagen más reciente de Drupal, así que tener el núcleo actualizado no ofrecía protección.
  Fuente ↗
- ChatGPTpuesto 3
  Drupal documenta un límite firme: ninguna versión soportada de Drupal admite PHP 7, pero actualizar Drupal tampoco parchea el propio PHP.
  Fuente ↗
- Grokpuesto 2
  Cerca de la mitad de los sitios de Drupal detectados ya usan versiones mayores sin soporte, y el PHP de debajo también queda fuera del actualizador de la plataforma
- Nemotronpuesto 2
  Drupal 10 o superior requiere PHP 8.1 o superior, pero los sitios de Drupal 7 (todavía ~15% de las instalaciones) siguen atascados en PHP 7.4, sin soporte
  Fuente ↗
- Geminipuesto 3
  Existe una división profunda: las empresas que aún usan Drupal 7 mantienen entornos PHP 7.4, mientras Drupal 10 exige PHP 8.2 o superior.
  Fuente ↗
- Kimipuesto 4
  Casi la mitad de los sitios de Drupal sigue con un núcleo sin soporte: el 29 % usa solo Drupal 7, sin soporte desde enero de 2025, así que su PHP suele ser aún más antiguo.
- Wenxinpuesto 2
  El actualizador puede cambiar la plataforma, pero no puede tocar el motor de PHP: el 22 % de los sitios de Drupal sigue en un PHP sin soporte porque el hosting nunca lo actualizó
  Fuente ↗
7 IA lo pusieron aquí
Fuente ↗
3
Joomla
Solo 4 de 646 hosts de Joomla afectados habían corregido PHP a las 24 horas. El propio Joomla.org quedó fuera de línea, y la versión actual, Joomla 6.1.4, fue explotada en una demostración.
Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
En sus listas: Claude: 4 · ChatGPT: 2 · Grok: 3 · Nemotron: 3 · Gemini: 2 · Kimi: 2 · Wenxin: 3
Qué señaló cada IA 7
- Claudepuesto 4
  Solo 4 de los 1.099 servidores con Joomla de la muestra de OX mostraban un PHP parcheado al cabo de un día.
  Fuente ↗
- ChatGPTpuesto 2
  Un panel de Joomla completamente actualizado puede convivir con un motor de PHP desactualizado debajo.
- Grokpuesto 3
  Una huella más pequeña que la de WordPress, pero la misma barrera de PHP controlada por el hosting para cualquier sitio que quiera las correcciones de octubre de 2026
  Fuente ↗
- Nemotronpuesto 3
  Joomla 5.x necesita PHP 8.2 o superior; la 4.x, 8.1; muchos sitios de la 3.x siguen en PHP 7.4 y no hay una ruta de actualización del núcleo
  Fuente ↗
- Geminipuesto 2
  Casi la mitad de los despliegues en producción sigue con PHP antiguo, porque las extensiones fallan en cuanto se pasa a PHP 8.2 u 8.3.
- Kimipuesto 2
  El 82 % de los sitios de Joomla sigue en la versión 3, un software que funciona bien con el PHP de 2012, y el sitio web del propio proyecto Joomla se desconectó por este fallo.
  Fuente ↗
- Wenxinpuesto 3
  Actualizador de un clic para el propio Joomla, cero control sobre PHP: una de cada cinco instalaciones de Joomla sigue con PHP 7.4
  Fuente ↗
7 IA lo pusieron aquí
Fuente ↗
4
Magento / Adobe Commerce
Ninguno de los 48 hosts de Magento afectados de la muestra estaba corregido al día siguiente. Sansec: «no se puede corregir PHP2Shell desde el código de su tienda».
Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
En sus listas: Claude: 1 · ChatGPT: 4 · Grok: 4 · Nemotron: 4 · Gemini: 4 · Kimi: 3 · Wenxin: 4
Qué señaló cada IA 7
- Claudepuesto 1
  En la muestra de OX, 48 servidores con Magento visibles resultaron afectados y ninguno había recibido el parche tras 24 horas. Las actualizaciones de la propia tienda nunca tocan PHP.
  Fuente ↗
- ChatGPTpuesto 4
  Una solución en el entorno de ejecución puede convertirse en una actualización coordinada de la tienda cuando la versión de PHP y la pila de dependencias compatibles deben cambiar juntas.
  Fuente ↗
- Grokpuesto 4
  Las instalaciones de comercio electrónico que se mantienen al día en la plataforma pueden seguir con un PHP sin parchear hasta que el servidor o el hosting cambie el entorno de ejecución
  Fuente ↗
- Nemotronpuesto 4
  Magento 2.4.7 o superior requiere PHP 8.2 o superior; las 2.4.x anteriores en PHP 8.1 pronto quedarán sin soporte; Cloud actualiza PHP automáticamente
  Fuente ↗
- Geminipuesto 4
  Las restricciones estrictas de dependencias compiladas significan que actualizar el motor de PHP exige recompilar, y las tiendas de comercio electrónico quedan congeladas en entornos retirados.
  Fuente ↗
- Kimipuesto 3
  Las tiendas de Magento 1 no tienen soporte oficial de seguridad desde junio de 2020; para ellas esta corrección de emergencia simplemente no existe, solo una actualización del servidor sirve.
  Fuente ↗
- Wenxinpuesto 4
  Plataforma de nivel empresarial, pero el actualizador solo parchea el código de Magento; para subir PHP hay que llamar al hosting: el 30 % de las tiendas sigue con PHP 7.4
  Fuente ↗
7 IA lo pusieron aquí
Fuente ↗
5
Laravel y aplicaciones PHP propias
Ningún panel avisa a nadie, y ninguna herramienta de framework puede cambiar PHP. El 98,27% de los hosts visibles de Laravel seguía sin corregir al día siguiente (solo 36 de 2.040 afectados, corregidos).
Lo incluyeron: Claude, ChatGPT, Grok, Nemotron. No lo incluyeron: Gemini, Kimi, Wenxin.
En sus listas: Claude: 6 · ChatGPT: 5 · Grok: 5 · Nemotron: 6
Qué señaló cada IA 4
- Claudepuesto 6
  El 98,27 % de los servidores con Laravel visibles en la muestra de OX seguía sin parchear, y el framework no tiene ninguna herramienta que cambie el PHP del servidor.
  Fuente ↗
- ChatGPTpuesto 5
  Puede que ni siquiera exista un panel de CMS que advierta al dueño de que el entorno de ejecución real sigue siendo vulnerable.
- Grokpuesto 5
  El código de la aplicación puede estar al día mientras el proceso de PHP subyacente sigue en una rama vulnerable hasta que un operador reinicie con un binario nuevo
  Fuente ↗
- Nemotronpuesto 6
  Laravel 11.x requiere PHP 8.2 o superior; muchas aplicaciones 10.x usan PHP 8.1; no hay actualizador automático de PHP
  Fuente ↗
4 IA lo pusieron aquí
Fuente ↗
6
OpenCart y otras tiendas PHP antiguas
Las tiendas antiguas con PHP 5.6–8.1 ya no reciben ninguna versión oficial de PHP. Su solución es una colección de parches de la comunidad, no un solo clic.
Lo incluyeron: Claude, Nemotron, Gemini. No lo incluyeron: ChatGPT, Grok, Kimi, Wenxin.
En sus listas: Claude: 2 · Nemotron: 9 · Gemini: 5
Qué señaló cada IA 3
- Claudepuesto 2
  La solución para estos sitios es una colección de parches mantenida por la comunidad para PHP 5.6 a 8.1, no una actualización de un solo clic.
  Fuente ↗
- Nemotronpuesto 9
  OpenCart 4.x necesita PHP 8.1 o superior; la 3.x domina con PHP 7.4 u 8.0; el ecosistema de extensiones va detrás
  Fuente ↗
- Geminipuesto 5
  Muy extendido en hostings compartidos económicos sin gestionar, donde los comerciantes rara vez saben que su intérprete de PHP tiene cinco años de antigüedad.
  Fuente ↗
3 IA lo pusieron aquí
Fuente ↗
7
cPanel, Plesk y phpMyAdmin
0 de 587 hosts de cPanel afectados estaban corregidos a las 24 horas. Las fuentes no coinciden sobre la cobertura de la corrección: volver a PHP 5.2 (CloudLinux) o no hay nada por debajo de 7.3.
Lo incluyeron: Claude, ChatGPT, Kimi. No lo incluyeron: Grok, Nemotron, Gemini, Wenxin.
En sus listas: Claude: 9 · ChatGPT: ver lista · Kimi: 10
Qué señaló cada IA 3
- Claudepuesto 9
  Plesk publicó versiones corregidas de PHP 8.2 a 8.5, pero el dueño del sitio todavía tiene que instalarlas.
  Fuente ↗
- ChatGPT
  En su propia lista tiene otro nombre: abre la lista completa.
  ver lista
- Kimipuesto 10
  cPanel publicó correcciones para PHP 7.4 a 8.1, y nada en absoluto para PHP 7.3 o anteriores, lo que deja congelada una gran cola de instalaciones de paneles de control.
  Fuente ↗
3 IA lo pusieron aquí
Fuente ↗
8
WooCommerce
Cerca de 1 de cada 5 sitios de WordPress es una tienda WooCommerce. Su documentación ahora exige PHP 8.3 o superior, pero las tiendas reciben ataques «incluso cuando su propio código está limpio».
Lo incluyeron: Grok, Kimi. No lo incluyeron: Claude, ChatGPT, Nemotron, Gemini, Wenxin.
En sus listas: Grok: 10 · Kimi: 5
Qué señaló cada IA 2
- Grokpuesto 10
  El complemento de la tienda puede estar al día, mientras la versión de PHP que muestra Site Health sigue siendo vulnerable hasta que el hosting actúe
  Fuente ↗
- Kimipuesto 5
  Uno de cada cinco sitios de WordPress es una tienda, y la documentación de WooCommerce exige ya PHP 8.3 o superior, mientras la mayoría de las tiendas usa el PHP que eligió su hosting de WordPress.
  Fuente ↗
2 IA lo pusieron aquí
Fuente ↗
9
MediaWiki
El software detrás de Wikipedia: MediaWiki 1.46.2 estaba en la lista de demostración de explotación, y Wikimedia desactivó su propio Phabricator horas antes del parche.
Lo incluyeron: Grok, Kimi. No lo incluyeron: Claude, ChatGPT, Nemotron, Gemini, Wenxin.
En sus listas: Grok: 7 · Kimi: 7
Qué señaló cada IA 2
- Grokpuesto 7
  Despliegues de PHP de gran perfil que siguen necesitando al equipo de infraestructura, y no al software del wiki, para aplicar el parche del motor
  Fuente ↗
- Kimipuesto 7
  El software que impulsa Wikipedia usa el mismo motor: Wikimedia desactivó su propio Phabricator horas antes de que llegara el parche.
  Fuente ↗
2 IA lo pusieron aquí
Fuente ↗
10
Nextcloud (autoalojado)
Su actualizador de un clic cambia la aplicación, no PHP. La versión actual, Nextcloud 35.0.1, fue explotada en la demostración. Solo una IA la incluyó en su lista y no tiene cifra de exposición.
Lo incluyeron: Kimi. No lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.
En sus listas: Kimi: 8
Qué señaló cada IA 1
- Kimipuesto 8
  El actualizador de un clic de Nextcloud, muy pulido, actualiza la aplicación, pero no puede tocar el PHP de debajo, y Nextcloud 35.0.1 figuraba en la lista de demostraciones de explotación.
  Fuente ↗
1 IA lo pusieron aquí
Fuente ↗

Más sobre los tres primeros ↓

02Más sobre los tres primeros

El ranking está arriba. Aquí tiene más sobre los tres primeros puestos: qué son, por qué están aquí y qué vale la pena saber.

Los tres se miden con muestras de distinto tamaño, así que el porcentaje sin parchear es parecido en los tres, mientras que la cantidad de sitios en riesgo varía mucho.

1WordPress

N.º 1 — WordPress. En las listas de 7 de 7 IA; puesto mediano allí: 1. Tiene el mayor número de sitios expuestos, y actualizar el propio WordPress no corrige el motor PHP que hay debajo.

WordPress · GPL · Wikimedia Commons

¿Sabía que…?

Las versiones de WordPress llevan nombres de músicos de jazz. La versión 1.0, publicada el 3 de enero de 2004, se llamó «Miles». La primera versión, la 0.7, salió el 27 de mayo de 2003.
Fuente ↗

Qué es: La plataforma para sitios web más usada, que funciona con PHP.
Su ventaja: Tiene muchos más servidores afectados que Drupal o Joomla.
A quién le sirve saberlo: Útil para quien tenga un sitio en WordPress, ya que su propia actualización no soluciona esto.

Servidores parcheados tras 24 horas299 de 33.075 parcheados

Wikipedia · Wikidata

Por qué está aquí

En un único escaneo de 24 horas, 33.075 de 41.882 sitios de WordPress que mostraban su versión de PHP usaban una versión afectada. Solo 299 tenían una versión parcheada. Es el mayor grupo de las tres plataformas.
Fuente ↗
Las cifras de PHP de WordPress de enero de 2026: el 22,20% de los sitios supervisados usaba PHP 7.4, el 15,39% usaba 8.1 y el 5,69% usaba 8.0. Juntos suman cerca del 43%, sin contar las versiones anteriores.
Fuente ↗

Historia

En 2003, Matt Mullenweg creó WordPress como una bifurcación de b2, una herramienta para blogs. Su creador había dejado de mantenerla, así que Mullenweg tomó el código libre y construyó una versión nueva.
Fuente ↗

A tener en cuenta

WordPress sigue funcionando con PHP 7.4 o posterior, pero la página oficial de requisitos indica que esa versión ya no tiene soporte y puede dejar su sitio expuesto a vulnerabilidades de seguridad. Recomienda PHP 8.3 o superior.
Fuente ↗
Un cambio de PHP impuesto por el servidor puede romper temas o complementos antiguos. Un usuario de un foro vio que el panel de administración dejó de funcionar tras una actualización de PHP, y después el servidor volvió a una versión anterior de PHP.
Fuente ↗

Qué dice la gente

While trying to fix a relatively minor Google Map API problem, I have gone down a rabbit hole that has taken my site offline. — justinfarquhar
Fuente ↗

Dónde seguir

Abra primero la página de requisitos y busque la línea de PHP. Indica la versión de PHP que WordPress recomienda que tenga su servidor de alojamiento. Luego revise en el panel de su alojamiento qué versión de PHP usa su sitio.
Fuente ↗

Vídeo: WordPress.org VS WordPress.com: The Confusing Differences Explained! (en inglés) · Darrel Wilson

Comparar los tres primeros ↓

2Drupal

N.º 2 — Drupal. En las listas de 7 de 7 IA; puesto mediano allí: 3. Casi la mitad de los sitios de Drupal ya usan un núcleo sin soporte, y casi ninguno de los servidores afectados se había parcheado a las 24 horas.

¿Sabía que…?

El nombre de Drupal viene de una errata. Dries Buytaert quería escribir «dorp.org» (en neerlandés, «pueblo»), pero escribió «drop». El nombre Drupal viene de la palabra neerlandesa «druppel», que significa gota.
Fuente ↗

Qué es: Una plataforma para sitios web que suele usarse en proyectos grandes y a medida.
Su ventaja: Muchos sitios siguen con un núcleo que ya no recibe correcciones de seguridad.
A quién le sirve saberlo: Útil para los dueños de Drupal que siguen en la versión 7 y necesitan cambiarse.

Servidores parcheados tras 24 horas31 de 3.919 parcheados

Wikipedia · Wikidata

Por qué está aquí

De 5.078 servidores de Drupal que mostraban su versión de PHP, 3.919 seguían afectados a las 24 horas. Solo 31 se habían parcheado, así que el 99,22% de los afectados seguía abierto.
Fuente ↗
W3Techs muestra Drupal 7 en el 29,0% de los sitios de Drupal el 22 de octubre de 2026. Es más que Drupal 10, con 28,7%, y Drupal 7 ya no recibe correcciones de seguridad.
Fuente ↗

Historia

Hacia el año 2000, Dries Buytaert y sus amigos, en una residencia universitaria, compartían un único módem ADSL entre ocho estudiantes. Construyeron una pequeña web para comunicarse, y acabó convirtiéndose en Drupal.
Fuente ↗

A tener en cuenta

Tag1 dice que la herramienta de migración del núcleo no traslada Views, las listas y diseños guardados que muestran el contenido. Esas piezas necesitan un módulo aparte o hay que reconstruirlas a mano.
Fuente ↗

Comparar los tres primeros ↓

3Joomla

N.º 3 — Joomla. En las listas de 7 de 7 IA; puesto mediano allí: 3. Casi ningún servidor afectado de Joomla se parcheó, y hasta la versión actual de Joomla fue explotada en una demostración.

¿Sabía que…?

Joomla es una grafía de la palabra suajili «Jumla», que significa «todos juntos» o «en su conjunto». El equipo fundador la eligió, y profesionales de marca y marketing revisaron el nombre antes de adoptarlo.
Fuente ↗

Qué es: Una plataforma para sitios web que nació a partir del antiguo Mambo.
Su ventaja: Tenía el mayor porcentaje de servidores afectados sin parchear tras un día.
A quién le sirve saberlo: Útil para los dueños de Joomla, porque actualizar solo Joomla no cierra el agujero.

Servidores parcheados tras 24 horas4 de 646 parcheados

Wikidata

Por qué está aquí

De 1.099 servidores de Joomla que mostraban su versión de PHP, 646 estaban afectados y solo 4 se habían parcheado a las 24 horas. Con un 99,38% todavía afectado, Joomla salió peor que WordPress (99,1%) y Drupal (99,22%).
Fuente ↗
Investigadores de Wiz demostraron una ejecución remota de código sin autenticación en la última imagen de contenedor de Joomla, con una puntuación CVSS de 9,2. El fallo está en el propio PHP, así que actualizar solo Joomla no lo cierra.
Fuente ↗

Historia

En 2005, los desarrolladores principales de Mambo renunciaron tras una disputa por el control. Miro, que era dueña del nombre Mambo, creó una fundación que, según los desarrolladores, le daba demasiado poder. Entonces empezaron Joomla.
Fuente ↗

A tener en cuenta

Joomla 3 ya no tiene soporte en absoluto. El manual oficial indica que el soporte terminó el 17 de agosto de 2023 y el soporte Extended LTS terminó el 17 de febrero de 2025. Los sitios que siguen en esta versión no reciben correcciones.
Fuente ↗

Qué dice la gente

K2 extension do not work inside J4, and will not work (!) becuase of K2 developers. — Paul Frankowski
Fuente ↗

Dónde seguir

Lea primero la línea de PHP. Joomla 6 necesita al menos PHP 8.3.0, y se recomienda 8.4. Compárelo con la versión de PHP que su servidor de alojamiento le da a su sitio.
Fuente ↗

Comparar los tres primeros ↓

Los tres primeros, lado a lado

	WordPress	Drupal	Joomla
En las listas de las IA	7 / 7	7 / 7	7 / 7
Servidores parcheados tras 24 horas	299 de 33.075 parcheados	31 de 3.919 parcheados	4 de 646 parcheados
Primero para	ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin	—	—

Los puestos con el mismo número de IA se ordenan por su puesto medio en las listas de las IA.

03Vale la pena saber

Lo que notaron las IA al armar la lista.

A las 24 horas de la corrección, el 99,3% de las instancias de PHP medibles en una muestra de Shodan seguía sin corregir; los hosts corregidos subieron solo de 245 a 14.151 de unos 2 millones.

Lo notaron:

Lo incluyeron: Claude, Grok. No lo incluyeron: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

01Lista final

WordPress

Drupal

Joomla

Magento / Adobe Commerce

Laravel y aplicaciones PHP propias

OpenCart y otras tiendas PHP antiguas

cPanel, Plesk y phpMyAdmin

WooCommerce

MediaWiki

Nextcloud (autoalojado)

02Más sobre los tres primeros

1WordPress

¿Sabía que…?

2Drupal

¿Sabía que…?

3Joomla

¿Sabía que…?

Los tres primeros, lado a lado

Más rankings

03Vale la pena saber

04Lo que la gente pregunta

05Cómo lo calculamos

1La pregunta

2Por qué este tema

3Dónde aplica

4Qué miramos

5Quién clasificó

6Cómo se fijaron los puestos

06La lista de cada IA

Lo que notó Claude

Lo que notó ChatGPT

Lo que notó Grok

Lo que notó Nemotron

Lo que notó Gemini

Lo que notó Kimi

Lo que notó Wenxin