La versión de seguridad de PHP de octubre de 2026 fue un recordatorio útil: algunas correcciones no llegan con una actualización de WordPress. Cuando el fallo está en el propio PHP, la corrección es una versión más reciente de PHP en el servidor, y los sitios en una rama que ya no recibe correcciones de seguridad no reciben ninguna. Esta guía es una rutina que puedes aplicar en cada sitio de cliente para llevarlo a una versión de PHP con soporte sin sorpresas.
Por qué la versión de PHP importa más de lo que parece
Cada rama de PHP recibe correcciones de seguridad durante un tiempo limitado. Cuando deja de recibirlas, cualquier fallo nuevo queda abierto, por mucho cuidado que pongas al actualizar WordPress, plugins y temas. PHP 8.1 y anteriores ya no reciben correcciones de seguridad oficiales. Consulta php.net/supported-versions para ver las fechas actuales de cada rama.
Hay una segunda razón. Los autores de plugins y temas van dejando de dar soporte a versiones antiguas de PHP. Un sitio que se queda en una rama antigua pierde poco a poco el acceso a las actualizaciones de plugins y, con ellas, a las correcciones de seguridad de los propios plugins.
Paso 1: anota la versión de PHP de cada sitio
En WordPress la encuentras en Herramientas → Salud del sitio → Información → Servidor. Tu panel de hosting también la muestra. Para cada sitio, anota la versión de PHP, la versión de WordPress, el tema, el maquetador, si usa WooCommerce y si hay código propio en un tema hijo o un plugin must-use.
Después ordena la lista. Empieza por las versiones de PHP más antiguas y, dentro de ellas, por los sitios que generan ingresos o contactos: tiendas, sitios de reservas y sitios con formularios importantes.
Paso 2: encuentra lo que bloqueará el cambio
La mayoría de las actualizaciones de PHP fallan por un plugin antiguo, un tema abandonado o un trozo de código propio. Búscalos antes de cambiar:
- Plugins y temas que no se han actualizado en dos años o más. Revisa las líneas «Requires PHP» y «Tested up to» en su página de plugin.
- Versiones antiguas de maquetadores y plugins premium con la licencia caducada, de modo que el sitio nunca recibió las versiones compatibles con un PHP más reciente.
- Código propio en functions.php o en plugins must-use. Funciones como each() y create_function() se eliminaron en PHP 8.0, y PHP 8.2 avisa sobre las propiedades dinámicas.
- Los analizadores de compatibilidad pueden ayudar, pero dan falsos positivos. Toma su resultado como una lista de partida, no como un veredicto.
Actualiza primero WordPress, los plugins y los temas mientras el sitio sigue en la versión actual de PHP. Las versiones más nuevas de los plugins suelen ser compatibles con un PHP más reciente. Haz las actualizaciones y el cambio de PHP en días distintos, para saber qué cambio causó un problema.
Paso 3: prueba primero en una copia
Haz una copia de staging del sitio y ponla en la versión de PHP de destino. La mayoría de los hostings permiten elegir la versión de PHP por sitio. Activa WP_DEBUG_LOG en la copia para que los errores vayan a un archivo de registro en lugar de a la pantalla.
Luego revisa lo que importa para este cliente:
- La página de inicio y las dos o tres páginas más visitadas, en escritorio y móvil.
- Cada formulario importante: envíalo y comprueba que llega el correo.
- En una tienda: añadir al carrito, pagar con un pedido de prueba, la página de la cuenta.
- En el administrador: el editor y el maquetador se abren, la subida de medios funciona, las páginas de ajustes cargan.
Después lee wp-content/debug.log. Los errores fatales hay que corregirlos antes de publicar. Los avisos de obsolescencia son advertencias para la próxima actualización; apúntalos, pueden esperar. Comparar capturas de las páginas clave antes y después detecta los problemas que no generan un error, como un slider o un menú que ya no se muestra.
Paso 4: cambia el sitio en producción en un momento tranquilo
Elige un momento con poco tráfico. Haz una copia de seguridad reciente de archivos y base de datos justo antes del cambio y anota la versión actual de PHP. Cambia PHP en el panel de hosting, vacía la caché de páginas y la caché de objetos si la hay, y haz las mismas comprobaciones que en la copia. Deja activado el registro de errores en un archivo uno o dos días, para detectar la página que nadie visitó durante tu revisión.
Cuéntale al cliente en una o dos frases qué hiciste y por qué. Una actualización de PHP es invisible cuando sale bien, y es un buen trabajo de mantenimiento que conviene que conozca.
Paso 5: conoce el camino de vuelta
Volver atrás tras una actualización de PHP suele ser sencillo: vuelve a poner la versión anterior en el panel de hosting. Por eso anotaste la versión antigua. Si resulta que el problema es un plugin, tienes tres opciones: actualizarlo, sustituirlo o quedarte poco tiempo en la rama con soporte anterior mientras lo resuelves. Nunca te quedes más de lo necesario en una rama sin soporte.
Cuando es urgente: una versión de seguridad del propio PHP
Cuando se publica un fallo en PHP, una actualización de WordPress no lo arregla. Pregunta a tu hosting si se ha aplicado la versión de parche de tu rama. Un parche dentro de la misma rama, por ejemplo de una versión 8.3 a la siguiente, rara vez rompe algo. El paso arriesgado es saltar a una rama nueva, y justo para eso te prepara esta guía. Los sitios en una rama sin correcciones de seguridad son los primeros que hay que planificar.
Actualización del 23 de octubre de 2026: un segundo problema de PHP de menor riesgo. Dos días después de la versión crítica, PHP publicó un aviso informativo sobre la CVE-2026-115560 en session upload progress (php.net). PHP considera poco probable su explotación: requiere varios ajustes y un código concretos a la vez. Todavía no hay corrección; llegará en la próxima versión regular de PHP. Hasta entonces, termina primero las actualizaciones del 21 de octubre y después pide a tu hosting que ponga session.upload_progress.enabled en off en php.ini o en el pool de PHP-FPM y reinicie PHP. Configurarlo desde WordPress o desde un archivo .user.ini puede llegar tarde con PHP-FPM.
Cómo gestiona Verploy las actualizaciones de PHP
En los sitios con una versión antigua de PHP, la comprobación de actualización de PHP de Verploy muestra qué bloquea el cambio y en qué orden resolverlo. Cada actualización se revisa, y las arriesgadas se prueban primero en una copia. Mira cómo encaja en una rutina de mantenimiento completa en mantenimiento de WordPress para agencias.
¿Quieres ver qué bloquea una actualización de PHP en tus sitios?
Cada actualización se revisa, y las arriesgadas se prueban primero en una copia. Empieza gratis, sin tarjeta de crédito.