--- title: "Fallas críticas en PHP: qué ocurre y por qué HubSpot queda fuera del riesgo" description: Dos fallas críticas en PHP exigen actualizar servidores. Cómo se descubrieron, cuántos podrían estar expuestos y por qué el CMS de HubSpot evita ese riesgo. image: https://www.titular.com/hubfs/portada-php-hubspot.png --- [Skip to content](https://www.titular.com/blog/fallas-cr%C3%ADticas-en-php-qu%C3%A9-ocurre-y-por-qu%C3%A9-hubspot-queda-fuera-del-riesgo#main-content) [![](https://www.titular.com/hs-fs/hubfs/Logo.01.2026_04.png?width=150&height=58&name=Logo.01.2026_04.png) ![](https://www.titular.com/hs-fs/hubfs/Logo.01.2026_04.png?width=150&height=58&name=Logo.01.2026_04.png)](https://www.titular.com) - [SOLUCIONES](https://www.titular.com/#soluciones) Show submenu for SOLUCIONES - [HubSpot](https://www.titular.com/soluciones-hubspot) - [PowerLearn](https://www.titular.com/soluciones-powerlearn) - [Clupik](https://www.titular.com/soluciones-clupik) - [SERVICIOS](https://www.titular.com/#servicios) - [CASOS DE ÉXITO](https://www.titular.com/casos-de-exito) - [BLOG](https://www.titular.com/blog) Show submenu for BLOG - [Actualidad](https://www.titular.com/blog/tag/actualidad) - [Atención al cliente](https://www.titular.com/blog/tag/atencion-al-cliente) - [Casos de estudio](https://www.titular.com/blog/tag/casos-de-estudio) - [Diseño](https://www.titular.com/blog/tag/diseño) - [E-learning](https://www.titular.com/blog/tag/elearning) - [HubSpot](https://www.titular.com/blog/tag/hubspot) - [Inteligencia artificial](https://www.titular.com/blog/tag/inteligencia-artificial) - [Marketing](https://www.titular.com/blog/tag/marketing) - [Marketing deportivo](https://www.titular.com/blog/tag/marketing-deportivo) - [Métricas](https://www.titular.com/blog/tag/metricas) - [Publicidad digital](https://www.titular.com/blog/tag/publicidad-digital) - [Redes sociales](https://www.titular.com/blog/tag/redes-sociales) - [SEO](https://www.titular.com/blog/tag/seo) - [Ventas](https://www.titular.com/blog/tag/ventas) - [RECURSOS](https://www.titular.com/recursos) - [CONTACTO](https://www.titular.com/contacto) - [SOLUCIONES](https://www.titular.com/#soluciones) Show submenu for SOLUCIONES - [HubSpot](https://www.titular.com/soluciones-hubspot) - [PowerLearn](https://www.titular.com/soluciones-powerlearn) - [Clupik](https://www.titular.com/soluciones-clupik) - [SERVICIOS](https://www.titular.com/#servicios) - [CASOS DE ÉXITO](https://www.titular.com/casos-de-exito) - [BLOG](https://www.titular.com/blog) Show submenu for BLOG - [Actualidad](https://www.titular.com/blog/tag/actualidad) - [Atención al cliente](https://www.titular.com/blog/tag/atencion-al-cliente) - [Casos de estudio](https://www.titular.com/blog/tag/casos-de-estudio) - [Diseño](https://www.titular.com/blog/tag/diseño) - [E-learning](https://www.titular.com/blog/tag/elearning) - [HubSpot](https://www.titular.com/blog/tag/hubspot) - [Inteligencia artificial](https://www.titular.com/blog/tag/inteligencia-artificial) - [Marketing](https://www.titular.com/blog/tag/marketing) - [Marketing deportivo](https://www.titular.com/blog/tag/marketing-deportivo) - [Métricas](https://www.titular.com/blog/tag/metricas) - [Publicidad digital](https://www.titular.com/blog/tag/publicidad-digital) - [Redes sociales](https://www.titular.com/blog/tag/redes-sociales) - [SEO](https://www.titular.com/blog/tag/seo) - [Ventas](https://www.titular.com/blog/tag/ventas) - [RECURSOS](https://www.titular.com/recursos) - [CONTACTO](https://www.titular.com/contacto) Open main navigation Close main navigation Open search Close search Quick Links - Top Services - Pillar Page - Meeting Page - Lead Magnet [mailto:?body=https://www.titular.com/blog/fallas-críticas-en-php-qué-ocurre-y-por-qué-hubspot-queda-fuera-del-riesgo](mailto:?body=https://www.titular.com/blog/fallas-críticas-en-php-qué-ocurre-y-por-qué-hubspot-queda-fuera-del-riesgo) [Hubspot](https://www.titular.com/blog/tag/hubspot), [Actualidad](https://www.titular.com/blog/tag/actualidad) # Fallas críticas en PHP: qué ocurre y por qué HubSpot queda fuera del riesgo [titular.com](https://www.titular.com/blog/author/titular-com) 21/10/26, 22:06 3 min. read ## Claves del artículo - Dos vulnerabilidades de PHP permiten, bajo determinadas condiciones, ejecutar código en servidores sin iniciar sesión. - El descubrimiento combinó una auditoría de seguridad, investigación especializada y herramientas de inteligencia artificial. - VirusTotal identificó unos **3,8 millones de direcciones IP con PHP y puertos abiertos**. La cifra no equivale a sitios vulnerables confirmados. - Los sitios alojados nativamente en el CMS de HubSpot utilizan una arquitectura diferente, que evita la exposición directa a estos fallos de PHP. PHP publicó el **21 de octubre de 2026** actualizaciones de emergencia para corregir dos vulnerabilidades críticas: **CVE-2026-109618 y CVE-2026-109619**. Los fallos afectan al procesamiento interno de solicitudes web y pueden permitir que un atacante ejecute código en el servidor sin autenticarse. Para las empresas, el riesgo alcanza tanto a sus páginas públicas como a las aplicaciones que dependen de este lenguaje. El [aviso oficial de PHP](https://www.php.net/archive/2026.php#2026-10-21-5) recomienda actualizar inmediatamente a las versiones **8.2.35, 8.3.36, 8.4.27 o 8.5.12**, según la rama utilizada. Las instalaciones con PHP 8.1 o versiones anteriores necesitan consultar a su proveedor sobre parches específicos o migrar a una versión con soporte. ## Cómo se descubrieron los fallos La investigación comenzó antes de la alerta pública. En 2024, una auditoría realizada por **Quarkslab**, coordinada por OSTIF y financiada mediante la Sovereign Tech Agency, permitió identificar problemas de seguridad en PHP. Mientras corregía uno de ellos, un desarrollador encontró los primeros indicios del fallo relacionado con el agotamiento de memoria. En ese momento no existía una demostración concreta de ejecución remota de código. Las alternativas de corrección también planteaban dificultades de compatibilidad y funcionamiento. Según la [reconstrucción publicada por la PHP Foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/), el escenario cambió el **11 de agosto de 2026**: el investigador Ryan A, de Calif, reportó una vía de ejecución remota asociada a esa misma causa. OpenAI informó independientemente el mismo problema ese día; después llegaron nuevos vectores de ataque de OpenAI y Wiz. La fundación reconoció que la demora en resolverlo fue “**un fallo estructural**”, relacionado con los procesos de decisión y la falta de recursos. El hallazgo refleja una combinación de trabajo humano, auditorías e investigación asistida por IA. ## Qué puede ocurrir en un servidor afectado Ambas vulnerabilidades comprometen la gestión de memoria y errores. Una puede dejar datos internos parcialmente inicializados cuando PHP alcanza su límite de memoria. La otra permite que una solicitud posterior reutilice referencias a memoria que ya se liberó. El [reporte técnico de CVE-2026-109619](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) documenta cómo ese estado residual puede conducir a ejecución remota de código. PHP considera especialmente elevado el riesgo en **Apache con mod\_php**, donde se demostró un ataque antes de que se ejecutara el código de la aplicación. También pide revisar instalaciones con PHP-FPM y otros modos de funcionamiento. Actualizar únicamente el CMS o sus complementos no reemplaza la actualización del intérprete PHP. ## Cuántos sitios podrían estar expuestos Todavía no existe un recuento global confirmado de sitios vulnerables. El [análisis de exposición de VirusTotal](https://blog.virustotal.com/2026/10/sizing-php-exposure-window-for-cve-2026.html) identificó aproximadamente **5,1 millones de direcciones IP asociadas a PHP**, de las cuales unos **3,8 millones tenían al menos un puerto abierto** al momento de la medición. Estas cifras muestran la magnitud de la infraestructura que necesita revisión, pero requieren una distinción: **una dirección IP no equivale a un sitio web**. Un servidor puede alojar numerosas páginas y la identificación de PHP no confirma por sí misma que el fallo resulte explotable. La versión instalada, los parches del proveedor y la configuración determinan la exposición concreta. Presentar esos millones de direcciones como sitios comprometidos daría una dimensión incorrecta del incidente. ## Por qué los sitios alojados en HubSpot quedan fuera de esta exposición La diferencia principal está en la tecnología que procesa las páginas. La [documentación del CMS de HubSpot](https://developers.hubspot.com/docs/cms/start-building/introduction/overview) describe un sistema de plantillas basado en **HubL**, una extensión de Jinjava, junto con HTML, CSS y JavaScript. Ese mecanismo de renderizado no utiliza el intérprete PHP afectado por estas vulnerabilidades. Por esa arquitectura, **las páginas construidas y alojadas nativamente en HubSpot no presentan la misma vía de ataque**. Esta conclusión técnica se refiere a los fallos concretos de PHP; no implica una garantía absoluta frente a cualquier amenaza. HubSpot también administra el alojamiento y mantenimiento de sus páginas. Su [servicio de hosting](https://www.hubspot.com/products/cms/web-hosting) incorpora un firewall de aplicaciones web, monitoreo de amenazas y certificados SSL gestionados automáticamente. Son capas complementarias: SSL protege la comunicación, mientras que el firewall filtra tráfico malicioso. La distinción resulta decisiva para las empresas que utilizan varias plataformas. **Tener HubSpot CRM, instalar su código de seguimiento o insertar un formulario no cambia la tecnología del servidor de una web externa**. Un WordPress conectado a HubSpot sigue necesitando revisar y actualizar PHP. Lo mismo ocurre con tiendas, portales o integraciones externas desarrolladas con ese lenguaje. Como explicamos al abordar las [posibilidades de HubSpot para gestionar sitios y procesos comerciales](https://www.titular.com/blog/15-maneras-de-potenciar-tu-negocio-con-hubspot-en-2025-incluyendo-funciones-de-ia), el CMS constituye una parte específica del ecosistema. Ante esta alerta, una medida útil es identificar dónde funciona cada componente: la página institucional puede estar alojada en HubSpot mientras una tienda o un portal de clientes depende de otro proveedor. Ese mapa permite dirigir la revisión al servidor correspondiente y asignar un responsable para confirmar la instalación del parche. [![](https://www.titular.com/hs-fs/hubfs/Logo.01.2026_04.png?width=2090&height=822&name=Logo.01.2026_04.png)](https://www.titular.com) facebook-f icon linkedin-in icon instagram icon - [SOLUCIONES](https://www.titular.com/#soluciones) - [SERVICIOS](https://www.titular.com/#servicios) - [CASOS DE ÉXITO](https://www.titular.com/casos-de-exito) - [BLOG](https://www.titular.com/blog) - [RECURSOS](https://www.titular.com/recursos) - [CONTACTO](https://www.titular.com/contacto) ## SUSCRIBITE AL BLOG ©2026 All rights reserved - Terms of use - Privacy policy ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "titular.com", "url" : "https://www.titular.com/blog/author/titular-com" }, "dateModified" : "2026-10-22T01:06:38.279Z", "datePublished" : "2026-10-22T01:06:38.000Z", "headline" : "Fallas críticas en PHP: qué ocurre y por qué HubSpot queda fuera del riesgo", "image" : [ "https://www.titular.com/hubfs/portada-php-hubspot.png" ], "mainEntityOfPage" : { "@id" : "https://www.titular.com/blog/fallas-críticas-en-php-qué-ocurre-y-por-qué-hubspot-queda-fuera-del-riesgo", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.titular.com/hubfs/TITULAR.logo-goat-negatrivo.png" }, "name" : "TITULAR LATAM S.A." } } ```