Cuando contratamos un servicio de alojamiento web, esperamos que nuestra página funcione correctamente, que el servidor sea estable y que la información esté protegida.
Pero cuando aparece una vulnerabilidad de seguridad, surge una pregunta importante: ¿quién debe encargarse de actualizar PHP, WordPress, WooCommerce, Moodle y las demás aplicaciones: el proveedor de hosting o el cliente?
La respuesta depende del servicio contratado y de cómo se distribuyan las responsabilidades entre el proveedor de infraestructura y el administrador de cada aplicación.
Comprender esta diferencia es fundamental para mantener un entorno seguro, evitar problemas de compatibilidad y saber cómo actuar cuando se publica una alerta de seguridad.
1. La seguridad del hosting comienza en la infraestructura
Un proveedor de alojamiento profesional debe mantener la infraestructura bajo su responsabilidad en condiciones adecuadas de funcionamiento y seguridad.
Dependiendo del servicio contratado, esta administración puede incluir:
- Administración y actualización del sistema operativo del servidor.
- Aplicación de parches de seguridad a los servicios gestionados.
- Protección de los servicios de red.
- Monitorización de recursos, estabilidad y disponibilidad.
- Mantenimiento del entorno de alojamiento.
- Configuración de herramientas de aislamiento y protección.
- Gestión de los servicios compartidos de la infraestructura.
En infraestructuras que utilizan tecnologías como CloudLinux, cPanel y LiteSpeed, existen diferentes capas de administración, aislamiento y seguridad.
CloudLinux, por ejemplo, permite limitar y aislar recursos entre cuentas de alojamiento y proporcionar entornos PHP diferenciados.
Sin embargo, que el servidor esté correctamente administrado no significa que todas las aplicaciones alojadas estén automáticamente actualizadas o protegidas frente a cualquier vulnerabilidad.
2. ¿Qué significa tener un hosting autogestionado con cPanel?
En un servicio de hosting autogestionado, el proveedor administra la infraestructura del servidor, mientras que el cliente gestiona los recursos y aplicaciones de su cuenta.
Desde cPanel, el cliente puede administrar diferentes elementos, según las funciones habilitadas en su plan:
- Cuentas de correo electrónico y contraseñas.
- Archivos y directorios de sus páginas web.
- Bases de datos y usuarios asociados.
- Dominios y subdominios.
- Configuración DNS, cuando corresponda.
- Copias de seguridad disponibles en su cuenta.
- Selección de versiones PHP y determinadas extensiones.
La administración de WordPress, WooCommerce, Moodle u otras aplicaciones corresponde normalmente al cliente o al profesional encargado de su mantenimiento.
Contratar alojamiento web no equivale necesariamente a contratar mantenimiento técnico de la página web.
Si el cliente necesita que el proveedor también gestione sus aplicaciones, debe contratar un servicio administrado que incluya expresamente esas tareas.
3. PHP: una tecnología compartida con responsabilidades diferentes
PHP es uno de los lenguajes de programación más utilizados en el desarrollo web. Aplicaciones como WordPress, WooCommerce y Moodle dependen de él para ejecutar buena parte de sus funcionalidades.
Como cualquier tecnología, PHP puede presentar vulnerabilidades que requieran actualizaciones o parches de seguridad.
Aquí conviene diferenciar dos operaciones que suelen confundirse.
Actualizar los paquetes PHP del servidor
El proveedor de infraestructura debe gestionar los paquetes PHP incluidos en los entornos que administra, conforme al alcance del servicio contratado.
En servidores que utilizan CloudLinux, las actualizaciones pueden distribuirse mediante los repositorios oficiales del fabricante.
Estas actualizaciones pueden incorporar correcciones de seguridad sin que el cliente tenga que modificar manualmente los archivos de su aplicación.
Seleccionar la versión PHP utilizada por una web
En un hosting autogestionado, la selección de la versión PHP de una aplicación suele corresponder al cliente o a su administrador técnico.
Por ejemplo, una instalación de Moodle puede utilizar PHP 8.2 mientras una tienda WooCommerce utiliza PHP 8.3, siempre que ambas versiones estén disponibles y sean compatibles con sus respectivos sistemas.
Las dos aplicaciones pueden compartir infraestructura y utilizar versiones PHP diferentes.
Actualizar los paquetes PHP disponibles en el servidor no significa cambiar automáticamente todas las aplicaciones a una nueva versión.
Esta separación permite gestionar la compatibilidad de cada proyecto de forma independiente.
4. ¿Qué son los parches de seguridad y los backports?
Uno de los errores más frecuentes es considerar que una versión de PHP está desprotegida simplemente porque su número no coincide con el de la última publicación oficial.
En entornos profesionales existe un mecanismo denominado backport.
Consiste en incorporar correcciones de seguridad a una versión existente del software sin necesidad de cambiar a una nueva versión principal o menor.
Por eso, dos instalaciones que muestran el mismo número de versión PHP pueden tener revisiones de paquete diferentes y, por tanto, distintos niveles de corrección.
Un caso real: CloudLinux y las vulnerabilidades de octubre de 2026
El 22 de octubre de 2026 realizamos una comprobación técnica en uno de nuestros servidores de alojamiento, administrado mediante CloudLinux y cPanel, tras la publicación de dos vulnerabilidades identificadas como:
- CVE-2026-109618
- CVE-2026-109619
Durante la revisión consultamos directamente los paquetes RPM instalados y sus registros de cambios, conocidos como changelogs.
Los resultados fueron los siguientes:
| Entorno PHP | Versión instalada y verificada |
|---|---|
| CloudLinux ALT-PHP 8.2 | 8.2.34-7 |
| CloudLinux ALT-PHP 8.3 | 8.3.35-6 |
| cPanel EA-PHP 8.3 | 8.3.35-2.cloudlinux.2 |
Los registros de cambios de estos tres paquetes documentaban la incorporación de las correcciones correspondientes a ambas vulnerabilidades el 21 de octubre de 2026, un día antes de nuestra revisión.
Esto permitió comprobar que los paquetes instalados ya incluían las correcciones, aunque continuaban identificándose como PHP 8.2.34 y PHP 8.3.35.
¿Qué demuestra este caso?
Que el número de versión PHP, por sí solo, no siempre es suficiente para determinar si una vulnerabilidad concreta ha sido corregida.
Para realizar una evaluación fiable es necesario consultar los avisos del fabricante, los paquetes instalados, sus revisiones y los registros de cambios.
Además, debe comprobarse qué entorno PHP está utilizando realmente cada aplicación.
Nota técnica: los datos anteriores corresponden exclusivamente a la comprobación realizada el 22 de octubre de 2026. No representan el estado actual de los repositorios de CloudLinux ni garantizan que otras instalaciones dispongan de las mismas correcciones. Las versiones y los paquetes disponibles pueden cambiar con posteriores actualizaciones.
Fuente de la comprobación: registros RPM de CloudLinux ALT-PHP y cPanel EA-PHP consultados directamente en el servidor el 22/10/2026.
5. ¿Por qué no debemos actualizar PHP sin comprobar la compatibilidad?
Actualizar PHP es importante, especialmente cuando una versión deja de recibir soporte o se detectan vulnerabilidades.
Sin embargo, cambiar de versión sin analizar las aplicaciones puede provocar incidencias.
Una web puede depender de plugins, extensiones o código personalizado que todavía no sean compatibles con una versión determinada.
WordPress
Antes de cambiar PHP conviene revisar la compatibilidad del núcleo de WordPress, los plugins, el tema y las personalizaciones.
Una extensión desactualizada puede generar errores incluso cuando WordPress es compatible con la nueva versión.
WooCommerce
En una tienda online hay que prestar especial atención a las pasarelas de pago, los procesos de compra, las integraciones externas y las extensiones comerciales.
Un error de compatibilidad puede afectar directamente a las ventas, los pedidos o la comunicación con sistemas externos.
Moodle
Las plataformas educativas necesitan comprobar los requisitos de la versión de Moodle instalada, sus extensiones y los componentes utilizados.
Una actualización sin validación puede afectar al acceso de alumnos, evaluaciones, actividades o integraciones.
Por eso, una actualización responsable debería contemplar copias de seguridad, revisión de requisitos, pruebas de compatibilidad y un procedimiento de reversión.
La seguridad y la compatibilidad deben gestionarse conjuntamente.
6. ¿Quién es responsable de cada elemento?
En un modelo habitual de hosting compartido autogestionado, las responsabilidades pueden distribuirse de la siguiente manera:
| Elemento | Responsable habitual |
|---|---|
| Sistema operativo del servidor | Proveedor de hosting |
| Infraestructura y servicios del servidor | Proveedor de hosting |
| Parches de los paquetes PHP gestionados | Proveedor de hosting |
| Selección de PHP para cada aplicación | Cliente o administrador web |
| Actualizaciones de WordPress | Cliente o mantenimiento contratado |
| Actualizaciones de WooCommerce y plugins | Cliente o mantenimiento contratado |
| Actualizaciones de Moodle | Cliente o administrador Moodle |
| Compatibilidad del código personalizado | Responsable del desarrollo |
| Copias de seguridad | Según el contrato y el alcance del servicio |
| Configuración de correo, DNS y bases de datos de la cuenta | Según el modelo de gestión contratado |
Esta distribución es orientativa. La responsabilidad definitiva depende siempre de las condiciones contractuales y del alcance de los servicios contratados.
En un hosting completamente administrado, por ejemplo, el proveedor puede asumir tareas que en un alojamiento autogestionado corresponden al cliente.
7. Un servidor seguro no garantiza una web segura
La seguridad de una página web no depende de una sola herramienta ni de una única empresa.
Podemos tener una infraestructura con aislamiento de cuentas, protección de red, actualizaciones de seguridad y recursos profesionales.
Sin embargo, si una instalación de WordPress utiliza un plugin vulnerable o una plataforma Moodle mantiene extensiones desactualizadas, seguirá existiendo un riesgo.
También ocurre lo contrario: una aplicación correctamente mantenida puede verse afectada por problemas de seguridad en la infraestructura.
Por eso es necesario trabajar en diferentes niveles:
Infraestructura segura + aplicaciones actualizadas + configuración adecuada + mantenimiento continuo.
Cada capa protege una parte del sistema, pero ninguna sustituye completamente a las demás.
8. ¿Qué debe comprobar un cliente cuando se publica una vulnerabilidad de PHP?
Ante una alerta de seguridad, lo recomendable es evitar cambios precipitados y seguir un procedimiento ordenado.
- Identificar la vulnerabilidad: localizar sus referencias CVE y comprender qué versiones o componentes están afectados.
- Consultar los avisos oficiales: revisar las comunicaciones del proyecto PHP y del proveedor de los paquetes utilizados.
- Comprobar el entorno real: identificar qué versión y distribución PHP utiliza efectivamente la aplicación.
- Verificar los parches: consultar las revisiones instaladas y sus registros de cambios.
- Evaluar la compatibilidad: comprobar los requisitos de WordPress, WooCommerce, Moodle y sus extensiones.
- Planificar la actualización: realizar copias de seguridad, pruebas y preparar un procedimiento de reversión.
Una versión aparentemente anterior puede incorporar los parches correspondientes mediante backports.
Del mismo modo, disponer de una versión corregida en el servidor no garantiza que todas las aplicaciones estén utilizándola.
La comprobación debe realizarse sobre el entorno efectivo de cada aplicación.
9. Hosting y mantenimiento web: dos servicios que conviene diferenciar
El alojamiento web proporciona los recursos y servicios necesarios para publicar y ejecutar una página o aplicación.
El mantenimiento web comprende tareas adicionales, como actualizar WordPress, comprobar extensiones, corregir incompatibilidades, realizar pruebas y supervisar el funcionamiento de la aplicación.
Son servicios relacionados, pero no necesariamente incluidos en el mismo contrato.
Un cliente puede contratar únicamente el hosting y gestionar sus aplicaciones internamente, o recurrir a un profesional para su mantenimiento.
Lo importante es que las responsabilidades estén claramente definidas desde el principio.
Una infraestructura profesional no sustituye al mantenimiento de las aplicaciones, del mismo modo que mantener una web actualizada no sustituye a una infraestructura correctamente administrada.
10. Preguntas frecuentes sobre hosting, PHP y seguridad
¿El proveedor de hosting es responsable de actualizar PHP?
En un hosting autogestionado, el proveedor suele encargarse de mantener los paquetes PHP de la infraestructura que administra. Sin embargo, la selección de la versión PHP utilizada por cada web puede corresponder al cliente. La distribución exacta depende del contrato.
¿Quién debe cambiar la versión PHP en cPanel?
Normalmente, el cliente o su administrador técnico, cuando el servicio es autogestionado. Antes de realizar el cambio, debe comprobar la compatibilidad de la aplicación y sus extensiones.
¿Una versión antigua de PHP siempre es vulnerable?
No necesariamente. Algunos proveedores incorporan correcciones mediante backports, manteniendo el número de versión principal. Sin embargo, esto no significa que cualquier versión antigua sea segura: es necesario comprobar su soporte y las correcciones específicas instaladas.
¿Qué diferencia existe entre actualizar PHP y actualizar WordPress?
Actualizar PHP modifica el entorno de ejecución del servidor. Actualizar WordPress modifica los archivos y componentes del gestor de contenidos. Son operaciones diferentes y ambas requieren atención para mantener la seguridad y compatibilidad del sitio.
¿Mi hosting actualiza WordPress automáticamente?
Depende del servicio contratado y de la configuración de WordPress. Algunas instalaciones tienen activadas actualizaciones automáticas, pero esto no significa que el proveedor supervise la compatibilidad, los errores o el funcionamiento de todos los plugins.
¿Quién es responsable de actualizar WooCommerce y las pasarelas de pago?
En un hosting autogestionado, normalmente corresponde al propietario de la tienda o a su servicio de mantenimiento. Es especialmente importante comprobar la compatibilidad de las pasarelas de pago y realizar pruebas del proceso de compra.
¿Es obligatorio utilizar siempre la última versión de PHP en Moodle?
No. Moodle debe utilizar una versión PHP compatible con la edición instalada y que cuente con mantenimiento de seguridad adecuado. Antes de actualizar, deben revisarse los requisitos oficiales de Moodle y de sus extensiones.
¿Qué ocurre si el hosting está actualizado, pero mi web tiene plugins vulnerables?
La web puede continuar expuesta a ataques. Las medidas de seguridad de la infraestructura no eliminan automáticamente las vulnerabilidades existentes en las aplicaciones, plugins o desarrollos personalizados.
Conclusión: la seguridad es una responsabilidad compartida
La seguridad de una web comienza en una infraestructura correctamente administrada, pero continúa en cada aplicación, extensión y configuración utilizada.
El proveedor de hosting debe cumplir las obligaciones de seguridad y mantenimiento de la infraestructura que tenga contratadas.
Por su parte, el cliente o su administrador técnico debe gestionar los componentes que están bajo su control, salvo que exista un servicio adicional de mantenimiento.
Comprender esta separación permite reaccionar mejor ante vulnerabilidades, evitar actualizaciones innecesarias y mantener la continuidad del negocio.
Una buena infraestructura es la base de una web segura. Un mantenimiento adecuado es lo que permite conservar esa seguridad a lo largo del tiempo.
Si necesitas ayuda para revisar la seguridad de tu alojamiento, comprobar la compatibilidad de PHP o mantener actualizadas tus aplicaciones, puedes consultar nuestros servicios de desarrollo web, hosting y mantenimiento.
