Odoo y PHP: por qué los fallos críticos de PHP no afectan a tu Odoo.

Odoo no funciona sobre PHP. Por eso los dos fallos críticos que PHP corrigió el 21 de octubre de 2026 no afectan a tu Odoo, aunque pusieron en riesgo millones de webs y obligaron a algunas organizaciones a desconectar sus sitios por precaución.

Si tu empresa trabaja con Odoo, la respuesta corta es esta: tus entornos Odoo no estuvieron expuestos. Si además tienes webs o aplicaciones en PHP, aquí tienes lo que pasó y lo que debes revisar.

Odoo no usa PHP en ninguna parte de su funcionamiento.

Un fallo en PHP no tiene por dónde entrar en tu ERP: ni en la contabilidad, ni en el almacén, ni en la tienda online de Odoo. Cuando saltó la alerta, nuestros clientes de Odoo no tuvieron que hacer nada. Tampoco desconectar nada.

La confusión entre Odoo y PHP es habitual porque muchos ERP, tiendas online y gestores de contenido sí están hechos en PHP. Odoo no es uno de ellos.

El fallo está en PHP, no en un plugin.

PHP es el lenguaje con el que funciona la mayoría de las webs: WordPress, WooCommerce, Magento, Drupal y miles de aplicaciones a medida. Cuando falla un plugin, se arregla ese plugin. Esta vez falló la base sobre la que se apoya todo lo demás.

Los dos fallos (CVE-2026-109618 y CVE-2026-109619) puntúan 9,2 sobre 10 en gravedad. En la práctica, significan tres cosas:

• Basta una petición. El atacante no necesita usuario ni contraseña. Le llega con enviar una visita preparada a tu web.

• Da igual lo bien hecha que esté tu web. El ataque se ejecuta antes de que arranque el código de la aplicación, así que ni el mejor desarrollo lo frena.

• El atacante manda en el servidor. Puede ejecutar lo que quiera: robar datos, instalar malware o usar tu máquina para atacar a otros.

El error lleva ahí 14 años, desde PHP 5.4 (2012), y afecta a las configuraciones por defecto. Todas las formas habituales de servir PHP están expuestas, y Apache con mod_php es la más arriesgada.

La solución pasa por actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. PHP 8.1 y anteriores ya no reciben soporte, así que no tendrán parche oficial nunca.

Del aviso privado al parche de PHP, en tres días.

• Agosto: los investigadores de Calif y Wiz avisan a PHP en privado.

• 20 de octubre: se filtran los detalles antes de tiempo, watchTowr confirma que son reales y PHP adelanta la publicación.

• 21 de octubre, 09:43: Cloudflare detecta los primeros ataques, horas antes de que exista ningún parche.

• 21 de octubre, 15:30: PHP publica las versiones corregidas.

Todas las horas son peninsulares. CERT-EU, el NCSC británico y el NCSC neerlandés emitieron alertas ese mismo día. El consejo de CERT-EU fue claro: parchear de inmediato o desconectar el sistema si no es posible.

Millones de webs en PHP expuestas, y muchas sin arreglo posible.

PHP mueve alrededor del 70 % de las webs cuyo lenguaje de servidor se conoce. El fallo alcanza a WordPress, WooCommerce, Magento, Shopware, Drupal, Joomla, Nextcloud, phpMyAdmin, Laravel y Symfony.

Una estimación basada en Shodan cuenta unos 2,2 millones de servidores que muestran PHP abiertamente en internet. Unos 884.000 usan versiones que nunca recibirán parche, y otros 740.000 ocultan su versión.

En Países Bajos, Tweakers y el propio NCSC desconectaron sus webs por precaución. Ya circulan pruebas de concepto públicas, watchTowr detecta intentos de explotación activos y Magento tiene un exploit confirmado. El comercio electrónico es la zona caliente: Sansec espera una explotación masiva ahora que el parche y los análisis técnicos son públicos.

Odoo y PHP en la misma empresa: dónde sí hay riesgo.

Tu Odoo está a salvo, pero lo que lo rodea puede no estarlo. Si tienes una web en WordPress, una tienda en WooCommerce o Magento, o cualquier aplicación en PHP junto a tu Odoo, esas piezas sí están expuestas. Revísalas hoy:

1. Haz inventario. Web corporativa, tienda online, intranet, gestor de documentos, herramientas internas: anota todo lo que funcione con PHP.

2. Comprueba la versión. Necesitas PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 o superior. Si estás en 8.1 o anterior, no hay parche: toca migrar.

3. Pregunta a quien lo mantiene. Y pide una hora, no una promesa.

Un certificado no responde a una alerta. Un equipo, sí.

Dynapps tiene la certificación ISO 27001. Es un papel que acredita que trabajamos con procesos de seguridad serios. En la práctica significa saber, en cuanto salta una alerta, qué parte de cada sistema está expuesta y actuar ese mismo día.

Si trabajas con Odoo, este fallo de PHP no te afecta.