En resumen: PHP es un lenguaje de scripts de código abierto que se utiliza sobre todo para aplicaciones web. El código se ejecuta en el servidor, genera allí HTML y envía solo el resultado al navegador. Como muchos CMS, tiendas y herramientas internas se basan en PHP, la versión de PHP del servidor es un factor de seguridad propio, independiente de la actualización del CMS.
¿Qué es PHP? Una definición en palabras sencillas
El manual de PHP describe PHP como un lenguaje de scripts muy extendido, de código abierto y de uso general, especialmente adecuado para el desarrollo web y que puede incrustarse en HTML. El nombre es un acrónimo recursivo, es decir, una sigla que se contiene a sí misma: «PHP: Hypertext Preprocessor».
La diferencia decisiva con JavaScript en el navegador: el código PHP se ejecuta en el servidor. El visitante solo recibe el resultado final y no ve el código fuente. Esto hace que PHP sea adecuado para todo lo que debe permanecer confidencial, como los accesos a bases de datos, los inicios de sesión o el cálculo de precios.
Según el manual, PHP tiene dos campos de uso principales: scripts del lado del servidor para sitios web y scripts en la línea de comandos, por ejemplo para tareas periódicas mediante Cron. Ambos se encuentran en casi cualquier empresa que gestione un sitio web propio, una tienda o un portal de clientes.
¿Dónde hay PHP en su empresa?
PHP rara vez es visible de forma directa. Está dentro de software que usted conoce con otro nombre. Ejemplos típicos:
- Sistemas de gestión de contenidos como WordPress, TYPO3, Joomla, Drupal o Contao
- Sistemas de tienda como Shopware, WooCommerce, Magento o PrestaShop
- Servicios internos como Nextcloud, Moodle, MediaWiki o Matomo
- Desarrollos propios basados en frameworks como Laravel o Symfony
- Interfaces web de dispositivos y paneles de hosting
Cada una de estas aplicaciones necesita un entorno de ejecución de PHP instalado, es decir, el programa que ejecuta el código PHP. Este entorno es un software con sus propias actualizaciones. Actualizar WordPress o Shopware no actualiza PHP. Por eso, quién gestiona qué sistemas debe constar en un inventario, como describe el artículo Inventario de todos los sitios web y servidores.
¿Qué aspecto tiene el código PHP?
El código PHP va entre las marcas <?php y ?>. Todo lo que queda fuera se emite sin cambios como HTML. Un pequeño ejemplo inofensivo:
<?php
$stunde = (int) date('G');
$gruss = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
<body>
<p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
</body>
</html>
El servidor ejecuta la parte PHP y envía al navegador solo HTML ya terminado, por ejemplo «Guten Tag, heute ist der 25.10.2026». La función htmlspecialchars() convierte los caracteres especiales y protege así frente a HTML introducido de forma maliciosa. Estas funciones de protección integradas son una de las razones por las que el código PHP bien escrito puede ser seguro.
¿De qué componentes consta un entorno PHP?
Un sitio web en PHP no consta solo del código de la aplicación. Varias capas trabajan juntas y cada una necesita su propio mantenimiento:
| Componente | Función | ¿Quién actualiza normalmente? |
|---|---|---|
| Servidor web (Apache, Nginx, LiteSpeed) | recibe las peticiones desde la red | proveedor de hosting o administrador del servidor |
| Entorno de ejecución de PHP (intérprete) | ejecuta el código PHP | proveedor de hosting, administrador del servidor, origen de paquetes |
| Extensiones | controladores de bases de datos, tratamiento de imágenes, cifrado | junto con el entorno de ejecución de PHP |
Configuración (php.ini) |
límites, salida de errores, sesiones | administrador del servidor |
| Aplicación (CMS, tienda) | contenidos y lógica de negocio | agencia o equipo propio |
| Plugins y bibliotecas | funciones adicionales | agencia o equipo propio |
La conexión entre el servidor web y PHP se denomina SAPI (Server Application Programming Interface). Que PHP se ejecute como módulo de Apache, mediante PHP-FPM o como CGI tiene consecuencias para la operación y la seguridad. Más información en SAPI explicada y en el artículo Cómo genera PHP una página web.
Por qué la versión de PHP importa para la seguridad
Cada versión de PHP se mantiene solo durante un tiempo limitado. Según php.net, cada rama de versiones recibe dos años de soporte activo y, después, dos años más solo de correcciones de seguridad. A partir de entonces la rama llega al final de su vida útil y ya no recibe actualizaciones oficiales. Los detalles están en Versiones de PHP y ciclo de versiones.
PHP2Shell muestra hasta qué punto esto es importante. En octubre de 2026 se hicieron públicas dos vulnerabilidades críticas en el propio PHP, CVE-2026-109618 y CVE-2026-109619, ambas con CVSS v4.0 9.2. Permiten ejecutar código malicioso de forma remota sin autenticación. Están corregidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para PHP 8.1 y anteriores ya no hay actualizaciones oficiales.
Para quienes toman las decisiones, de aquí se desprenden tres puntos:
- Una actualización del CMS no cierra una vulnerabilidad de PHP. Ambas cosas deben actualizarse por separado.
- Tras una actualización de PHP deben reiniciarse todos los procesos de PHP; de lo contrario, el código antiguo sigue ejecutándose en memoria.
- Un parche no demuestra que antes no haya ocurrido nada. En los servidores que estaban desprotegidos, forma parte del proceso una revisión en busca de rastros.
Aclare por escrito quién es responsable del entorno de ejecución de PHP en su empresa: el proveedor de hosting, la agencia o la informática propia. Con PHP2Shell se vio que, en muchas empresas, esta cuestión estaba sin resolver.
Qué es exactamente la vulnerabilidad y a quién afecta se explica en la página ¿Qué es PHP2Shell?.
¿Cómo ayuda PHP SOS en concreto?
- Inventariar: averiguamos cuáles de sus sistemas usan PHP, en qué versión y en qué modo de ejecución.
- Aclarar responsabilidades: mostramos qué partes mantiene su proveedor de hosting y cuáles dependen de usted o de su agencia.
- Actualizar: mediante el servicio de parcheo de PHP instalamos las actualizaciones, reiniciamos todos los procesos y documentamos el estado.
- Comprobar a posteriori: donde un servidor era accesible sin protección, revisamos si hay rastros de una intrusión.
Preguntas frecuentes
¿PHP es un lenguaje de programación o solo un lenguaje de scripts?
Ambas cosas son ciertas. PHP es un lenguaje de programación completo y de uso general, con funciones, clases y tipos. Se le llama lenguaje de scripts porque el código fuente no se traduce de antemano a un archivo ejecutable, sino que el intérprete de PHP lo procesa en tiempo de ejecución.
¿Ven los visitantes de mi sitio web el código PHP?
No. PHP se ejecuta en el servidor y el navegador solo recibe el resultado, normalmente HTML. Las excepciones se deben a errores de configuración, por ejemplo si el servidor web entrega los archivos PHP como texto o si hay copias de seguridad como index.php.bak accesibles públicamente.
¿Cómo sé si mi sitio web funciona con PHP?
La mayoría de los CMS y sistemas de tienda habituales, como WordPress, TYPO3, Shopware, Joomla o Nextcloud, están escritos en PHP. Se puede confirmar con seguridad a través del proveedor de hosting, la agencia o revisando la configuración del servidor.
¿Debo entender PHP como gerente?
No en detalle. Lo importante es saber que PHP es un software con sus propias actualizaciones, independiente del CMS. Debería quedar aclarado por escrito quién es responsable de la versión de PHP en sus servidores.