La semana PHP #155. WordPress 7.1.4, Drupal y Composer
¿Problemas de visualización? Abre este correo electrónico en tu navegador web.
LA SEMANA PHP · NÚMERO 155 · 3 DE NOVIEMBRE DE 2026
Parchea ya, instala con calma
Hola 👋
Bienvenido a una nueva edición de La semana PHP. Esta semana toca otra vez actualizar: WordPress, Drupal Commerce y, si te animas, tu forma de instalar dependencias.
¿Te lo ha reenviado alguien? Suscríbete en lasemanaphp.com.
El miércoles 28 salió WordPress 7.1.4, la cuarta versión de seguridad en 41 días. Corrige una docena de fallos y el más serio está en el propio actualizador: mientras WordPress descomprime una actualización completa, alguien sin cuenta puede llegar a ejecutar código si da con la ruta temporal. Hay versiones corregidas para todas las ramas desde la 4.7, y los sitios con actualizaciones automáticas ya deberían tenerla.
La ventana es de segundos y aun así Wordfence bloqueó casi 63.000 intentos en 24 horas. Si gestionas sitios con las actualizaciones automáticas apagadas, revísalos hoy. En Drupal la cosa está peor: Commerce Core tiene un fallo de control de acceso que ya se está explotando. Si llevas una tienda con Drupal, actualiza antes de seguir leyendo.
Lo que más me ha llamado la atención es el contraste con Composer 2.11. Mientras todo el mundo nos pide parchear cuanto antes, Composer estrena una política de «cooldown» que hace lo contrario con las dependencias: retiene las versiones recién publicadas el tiempo que tú le digas, un día o una semana, antes de instalarlas. La idea es que, si alguien publica una versión maliciosa de un paquete, dé tiempo a detectarla antes de que llegue a tu proyecto. Viene desactivada y se activa con la opción policy.cooldown.period. Así que hay dos velocidades: el parche de seguridad, ya; la versión nueva de una dependencia, con calma.
Dos cosas más del mismo frente. Symfony aclara qué había en sus últimas versiones de mantenimiento: la lista de cambios repetía avisos antiguos y el único fallo nuevo es una inyección de cabeceras en Mime. Y el equipo de seguridad de WordPress cuenta cómo van sus dos primeros meses: han pasado de recibir entre 20 y 30 informes al mes a 773 en agosto, buena parte encontrados con herramientas de IA, y ya tienen automatizado el 73 % del proceso de publicación. Eso explica el ritmo de parches de este otoño, y no creo que vaya a bajar.
Con el apoyo de WordPress.com
En WordPress.com las versiones de seguridad como la 7.1.4 se aplican solas, sin que tengas que estar pendiente de cada aviso. Copias, seguridad y actualizaciones incluidas en el plan.
TAMBIÉN ESTA SEMANA
Lo más importante
Casi 63.000 intentos de explotar el fallo del actualizador en 24 horas
Wordfence cuenta los ataques que bloqueó justo después del parche. La ventana dura segundos y aun así lo están intentando en masa.
Wordfence cuenta los ataques que bloqueó justo después del parche. La ventana dura segundos y aun así lo están intentando en masa.
Symfony aclara las entradas de seguridad de 5.4.55, 6.4.49, 7.4.22 y 8.1.10
La lista de cambios repetía avisos antiguos. El único fallo nuevo es una inyección de cabeceras en Mime, y si sigues en Symfony 8.0 ya no tiene soporte.
La lista de cambios repetía avisos antiguos. El único fallo nuevo es una inyección de cabeceras en Mime, y si sigues en Symfony 8.0 ya no tiene soporte.
Los dos primeros meses de la iniciativa de seguridad de WordPress
Cuatro versiones de seguridad en 41 días y un salto de 20 o 30 informes al mes a 773 en agosto. Explica el ritmo de parches de este otoño.
Cuatro versiones de seguridad en 41 días y un salto de 20 o 30 informes al mes a 773 en agosto. Explica el ritmo de parches de este otoño.
bbPress 2.6.21 también es de seguridad
Refuerza el control de acceso en feeds, búsquedas, foros de grupo y adjuntos. Si tienes foros con bbPress, actualiza.
Refuerza el control de acceso en feeds, búsquedas, foros de grupo y adjuntos. Si tienes foros con bbPress, actualiza.
PHP y Symfony
PIE 1.5 cambia cómo se instalan las extensiones en CI
Ya no elige el paquete por ti en modo no interactivo: tienes que indicarlo con --select=redis=phpredis/phpredis. Llegan también pie upgrade y pie search.
Ya no elige el paquete por ti en modo no interactivo: tienes que indicarlo con --select=redis=phpredis/phpredis. Llegan también pie upgrade y pie search.
Brent Roose: los parches para versiones sin soporte no son un plan
Los paquetes corregidos de Ondřej Surý salvaron a mucha gente con PHP2Shell, pero dependen de una sola persona. Su consejo es actualizar ya.
Los paquetes corregidos de Ondřej Surý salvaron a mucha gente con PHP2Shell, pero dependen de una sola persona. Su consejo es actualizar ya.
Cloudflare paga por saltarse su WAF con PHP2Shell
Un reto en HackerOne con un entorno vulnerable a propósito. Recompensan cada técnica de evasión distinta que encuentres.
Un reto en HackerOne con un entorno vulnerable a propósito. Recompensan cada técnica de evasión distinta que encuentres.
Symfony 8.2 compila y valida las expresiones
Las de #[IsGranted], access_control y los guards de workflow pasan a PHP al calentar la caché, de 15–30 µs a 1 µs. Y lint:expressions las revisa en CI.
Las de #[IsGranted], access_control y los guards de workflow pasan a PHP al calentar la caché, de 15–30 µs a 1 µs. Y lint:expressions las revisa en CI.
Tomas Votruba porta ECS a Go
Easy Coding Standard pasa de más de 2 minutos a unos 4 segundos sin caché en el repositorio de Symfony.
Easy Coding Standard pasa de más de 2 minutos a unos 4 segundos sin caché en el repositorio de Symfony.
Un visor de logs interactivo con Symfony TUI
Un comando que lee los logs del servidor, agrupa las visitas y clasifica qué bots y crawlers de IA te visitan. Con Console, HttpClient y el componente experimental TUI.
Un comando que lee los logs del servidor, agrupa las visitas y clasifica qué bots y crawlers de IA te visitan. Con Console, HttpClient y el componente experimental TUI.
CakePHP 5.4.4, 5.3.8, 5.2.16 y 4.6.6 con parches de seguridad
Versiones de mantenimiento para las cuatro ramas con soporte. Si usas CakePHP, toca actualizar.
Versiones de mantenimiento para las cuatro ramas con soporte. Si usas CakePHP, toca actualizar.
Actualiza PhpStorm por los certificados de eMudhra
JetBrains publica versiones corregidas de sus IDE, Toolbox y Gateway tras el compromiso de los certificados de eMudhra.
JetBrains publica versiones corregidas de sus IDE, Toolbox y Gateway tras el compromiso de los certificados de eMudhra.
Laravel
Pollora: WordPress dentro de una aplicación Laravel
El router de Laravel y Blade pintan el front, mientras el escritorio y los plugins de WordPress siguen funcionando. Licencia MIT.
El router de Laravel y Blade pintan el front, mientras el escritorio y los plugins de WordPress siguen funcionando. Licencia MIT.
queue-prefork recorta la memoria de los workers de la cola
Un paquete que promete hasta un 80 % menos de memoria en los workers de la cola de Laravel.
Un paquete que promete hasta un 80 % menos de memoria en los workers de la cola de Laravel.
Herramientas MCP que actúan con los permisos del usuario
Si conectas un agente a tu aplicación, que actúe como quien lo conectó: las habilidades del token de Sanctum deciden si lee o escribe y tus policies, qué registros toca.
Si conectas un agente a tu aplicación, que actúe como quien lo conectó: las habilidades del token de Sanctum deciden si lee o escribe y tus policies, qué registros toca.
Búsqueda semántica con el SDK de IA de Laravel
La charla del último Laravel Worldwide Meetup, en vídeo.
La charla del último Laravel Worldwide Meetup, en vídeo.
WordPress
WordPress 7.2 beta 2
La versión final está prevista para el 8 de diciembre. Avanza la Abilities API, DataViews y DataForm admiten registro desde el servidor y el escritorio pasa a iconos SVG.
La versión final está prevista para el 8 de diciembre. Avanza la Abilities API, DataViews y DataForm admiten registro desde el servidor y el escritorio pasa a iconos SVG.
Novedades de Gutenberg 24.3
Formato en selecciones que abarcan varios bloques, un insertador de medios rediseñado y avisos más claros cuando falla el guardado.
Formato en selecciones que abarcan varios bloques, un insertador de medios rediseñado y avisos más claros cuando falla el guardado.
Qué versiones de WordPress y PHP se usan en Europa
Nettingale analiza cuatro millones de portadas: el 21,6 % de los WordPress va con una versión anterior a la 6.9 y, de los que muestran PHP, el 23 % sigue en PHP 7.
Nettingale analiza cuatro millones de portadas: el 21,6 % de los WordPress va con una versión anterior a la 6.9 y, de los que muestran PHP, el 23 % sigue en PHP 7.
WordPress.com: gestiona tus sitios desde ChatGPT o Claude
Ya puedes conectar tu cuenta por MCP y hablar con tus sitios. Y el WordPress Agent monta una tienda con WooCommerce a partir de lo que quieres vender.
Ya puedes conectar tu cuenta por MCP y hablar con tus sitios. Y el WordPress Agent monta una tienda con WooCommerce a partir de lo que quieres vender.
Meetups y WordCamps en España en noviembre
Palma, Granada, A Coruña, Granollers y Málaga tienen meetup este mes, y el 30 hay WordPress Campus Connect en A Coruña.
Palma, Granada, A Coruña, Granollers y Málaga tienen meetup este mes, y el 30 hay WordPress Campus Connect en A Coruña.
Más allá de PHP
Una extensión de Claude Code troyanizada abre una puerta trasera SSH
Las versiones 2.1.312 y 2.1.313 del Marketplace de Cursor añadían una clave SSH y un túnel inverso. El artículo explica cómo comprobar si te afectó.
Las versiones 2.1.312 y 2.1.313 del Marketplace de Cursor añadían una clave SSH y un túnel inverso. El artículo explica cómo comprobar si te afectó.
Stack Overflow recibe menos de 1.000 preguntas al mes
Fueron 969 en septiembre, frente a 141.749 en octubre de 2020. El propio blog de Stack Overflow responde esta semana que su muerte es una exageración.
Fueron 969 en septiembre, frente a 141.749 en octubre de 2020. El propio blog de Stack Overflow responde esta semana que su muerte es una exageración.
GitHub prueba un cortafuegos para npm
Bloquea paquetes sospechosos en el momento de instalarlos. La misma preocupación que el cooldown de Composer, atacada desde el registro.
Bloquea paquetes sospechosos en el momento de instalarlos. La misma preocupación que el cooldown de Composer, atacada desde el registro.
Más de mil servidores de GitLab siguen expuestos a un RCE crítico
Tres semanas después del parche, el fallo de máxima gravedad sigue abierto en muchas instalaciones y ya se explota.
Tres semanas después del parche, el fallo de máxima gravedad sigue abierto en muchas instalaciones y ya se explota.
Para escuchar
#CrónicasWordPress: PHP2Shell, el tráfico de ChatGPT y WordPress 7.2
Fernando Tellado repasa en español lo que ha movido la comunidad estas semanas.
Fernando Tellado repasa en español lo que ha movido la comunidad estas semanas.
Negocios y WordPress 262: skills, agentes y proyectos
En español: cómo pasar de hacer webs a montar negocios con skills y agentes.
En español: cómo pasar de hacer webs a montar negocios con skills y agentes.
The PHP Podcast del 29 de octubre
Joe Ferguson, Sara Golemon y Holly Schilling comentan, entre otras cosas, cómo aterrizó el parche de la RCE de PHP.
Joe Ferguson, Sara Golemon y Holly Schilling comentan, entre otras cosas, cómo aterrizó el parche de la RCE de PHP.
Ship For Brains 1: parches de PHP, Elementor y el estado de WordPress
Primer episodio de un pódcast nuevo sobre WordPress y PHP.
Primer episodio de un pódcast nuevo sobre WordPress y PHP.
Si llevas sitios de clientes, es buen momento para revisar cuáles tienen las actualizaciones automáticas apagadas. Y si conoces a alguien con una tienda en Drupal, reenvíale este correo.
¿Vas a activar el cooldown de Composer en tus proyectos, y con cuánto tiempo de espera? Responde a este correo; los leo todos.
Un saludo,
Jesús Amieiro
Jesús Amieiro
También en Telegram, t.me/la_semana_php; en Bluesky, @lasemanaphp.com; en Mastodon, @[email protected], y en X, @lasemanaphp.
