Cómo comprobar qué versión de PHP utiliza realmente tu web
Distingue PHP de consola, entorno web, pools e imágenes Docker. Reúne la versión efectiva y el origen del paquete antes de valorar un aviso de seguridad.
Para conocer la versión de PHP de una web, hay que identificar el proceso que atiende sus peticiones. El selector del hosting, la consola y un contenedor pueden mostrar versiones diferentes sin que ninguno de esos datos sea falso: describen entornos distintos.
Esta comprobación permite preparar una actualización. No demuestra por sí sola si un paquete incorpora un parche ni si la aplicación está libre de problemas.
Empezar por el dominio y su recorrido
Anota dominio, aplicación y proveedor. Si hay varios sitios, no asumas que todos comparten PHP. Un subdominio de administración o una instalación antigua puede utilizar otro pool o servidor.
Como ejemplo hipotético, la tienda puede usar un PHP y una herramienta interna bajo otro subdominio conservar una versión anterior. Actualizar la tienda no modifica automáticamente esa segunda aplicación.
Consultar el contexto web
Utiliza la información autenticada del hosting o del CMS cuando permita identificar el entorno activo. Contrástala con la configuración del servidor que dirige las peticiones: pool de PHP-FPM, módulo de Apache u otro mecanismo.
Registra versión, modalidad de ejecución y origen del dato. La documentación de configuración de PHP explica que la carga de configuración depende del entorno. Por eso una misma máquina puede tener ajustes distintos para web y consola.
No publiques una página de diagnóstico completa para resolver una duda de versión. El manual de phpinfo describe que puede mostrar configuración, rutas, extensiones y datos del entorno. Si un diagnóstico temporal es necesario, limita acceso e información y retíralo al terminar.
Comparar con consola sin confundirlos
El intérprete que ejecuta un comando por SSH puede ser distinto del utilizado por la web. Guarda ambas referencias, pero no cierres la comprobación de una vulnerabilidad web únicamente con el resultado de consola.
Revisa también tareas programadas y workers. Aunque la web use la versión prevista, una tarea de importación puede invocar otra ruta de intérprete. Esa diferencia importa para compatibilidad y mantenimiento.
Revisar pools y contenedores
En PHP-FPM, identifica qué pool recibe el tráfico de cada sitio y qué servicio lo ejecuta. Si hay varios servidores detrás de un balanceador, comprueba todos: una única respuesta no demuestra que cada instancia tenga la misma versión.
En Docker, registra imagen, despliegue y contenedor efectivo. Actualizar PHP en el sistema anfitrión no cambia el intérprete incluido en una imagen. Una etiqueta de imagen tampoco acredita por sí sola qué contenido conserva un contenedor ya arrancado.
La revisión debe permitir relacionar aplicación, proceso y paquete o imagen. Es esa cadena la que luego permite actualizar y verificar sin dejar una instancia antigua atendiendo tráfico.
Separar versión y estado del parche
El número base es una pista, no siempre la respuesta completa. Un proveedor puede distribuir una revisión corregida manteniendo la versión base. El paso siguiente es contrastar el paquete completo con su aviso de seguridad.
Consulta cómo confirmar que tu hosting aplicó un parche de PHP para preparar esa evidencia. Si estás investigando el aviso de octubre, el artículo PHP2Shell reúne las primeras versiones corregidas publicadas por el proyecto.
Qué dejar documentado
El inventario mínimo incluye dominio, aplicación, versión web efectiva, configuración utilizada, origen del paquete o imagen y responsable de actualizarlo. Añade las tareas y procesos independientes que entren en el alcance.
Podemos realizar esta revisión como parte de la actualización de PHP, ordenar el entorno en servidores Linux o coordinarla con el mantenimiento WordPress.