Una falla en un lenguaje usado por el 70% de los sitios obligó a apagar portales de gobiernos y hospitales

Dos vulnerabilidades críticas en PHP, el lenguaje que sostiene buena parte de Internet, desataron una cadena de desconexiones preventivas en Europa y otros continentes. El miércoles 21 de octubre, cientos de páginas de gobiernos, empresas e instituciones quedaron fuera de servicio, no por un ataque, sino por precaución.

El origen está en dos fallas detectadas en PHP, uno de los lenguajes de programación más difundidos para el funcionamiento de páginas y servicios web. Los errores permiten que un atacante ejecute código malicioso en servidores vulnerables sin necesidad de contar con contraseña ni credenciales de acceso.

Frente a la gravedad, los organismos de seguridad informática recomendaron desconectar temporalmente los sitios hasta poder instalar las actualizaciones correspondientes.

Qué encontraron y por qué se encendieron las alarmas

Los responsables de PHP alertaron sobre dos vulnerabilidades bautizadas CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de 9,2 sobre 10, considerada crítica según el sistema internacional de evaluación de fallas de seguridad.

El riesgo principal es que los ciberdelincuentes puedan aprovechar estos errores para ejecutar instrucciones de manera remota en servidores vulnerables, acceder a información almacenada, modificar archivos, sustraer datos o comprometer el funcionamiento de servicios.

La gravedad del hallazgo llevó al Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea (CERT-EU) a recomendar que las organizaciones y empresas que no pudieran aplicar las correcciones de inmediato aislaran sus sistemas de las redes públicas. Esa recomendación desencadenó una serie de desconexiones preventivas en centenares de servidores en todo el mundo.

El efecto dominó en Europa y el resto del mundo

El impacto fue especialmente visible en Europa, donde quedaron fuera de servicio portales gubernamentales, instituciones educativas, hospitales y otros servicios digitales. Las interrupciones respondieron principalmente a medidas preventivas para evitar posibles ataques, y no a una caída generalizada de Internet.

En Alemania, las autoridades suspendieron temporalmente el acceso a varios sitios de la administración federal. En Francia, el Ministerio del Interior desconectó las páginas de distintas prefecturas, mientras que Finlandia interrumpió servicios digitales gubernamentales como medida de precaución.

En los Países Bajos, las restricciones alcanzaron a organismos públicos, hospitales, el puerto de Róterdam y otras instituciones. La Fundación Wikimedia, responsable de Wikipedia, también informó que había desconectado algunos de sus sistemas mientras trabajaba en las actualizaciones de seguridad.

Las autoridades de varios países aclararon que las interrupciones no implicaban necesariamente que los sitios hubieran sido atacados. En muchos casos, la decisión buscó reducir el riesgo mientras los equipos técnicos aplicaban las correcciones.

Qué dijeron la NSA y la primera ministra de Japón

La Agencia Nacional de Seguridad de Estados Unidos (NSA), a través de un comunicado publicado en X, también aconsejó desconectar sistemas que no pudieran ser actualizados: “Con efecto inmediato, se recomienda a todas las organizaciones que utilicen PHP en sus sistemas que se preparen para una actualización que solucione dos vulnerabilidades críticas. PHP se utiliza ampliamente en aplicaciones web. Estas vulnerabilidades suelen proporcionar un acceso directo al sistema de archivos o a la base de datos del servidor. Si no es posible realizar una actualización inmediata, se recomienda a las organizaciones que desconecten el sistema hasta que la vulnerabilidad pueda mitigarse por completo. La NSA proporcionará en breve más orientación específica al respecto”.

Por su parte, la primera ministra de Japón, Sanae Takaichi, solicitó también desde su cuenta en X: “Les ruego que atiendan esta petición urgente esta misma noche. En relación con PHP, que se utiliza en numerosas páginas web, el equipo de seguridad de PHP ha emitido una alerta sobre dos vulnerabilidades graves. Comprueben si utilizan PHP en sus páginas web y preparen todo lo necesario para poder aplicar lo antes posible el parche correctivo que se publicará esta noche, 21 de octubre, a las 23:00 horas (hora de Japón). Si les resulta difícil aplicar el parche de corrección con rapidez, una medida eficaz para reducir el riesgo podría ser, por ejemplo, suspender temporalmente el sitio web. La cuenta de X de la Oficina Nacional de Coordinación Cibernética también está publicando información al respecto, por lo que les recomendamos que la consulten.”

Qué es PHP y por qué una falla puede afectar a tantos sitios

PHP es un lenguaje de programación de código abierto que se utiliza para desarrollar sitios web y aplicaciones que funcionan a través de Internet. A diferencia de JavaScript, que puede ejecutarse directamente en el navegador del usuario, PHP funciona principalmente en los servidores que procesan las solicitudes y preparan el contenido de las páginas.

Su utilización está muy extendida: está presente en cerca del 70% de los sitios web cuyo lenguaje de programación del servidor puede identificarse. El lenguaje sustenta desde blogs y portales de noticias hasta tiendas en línea y sistemas de gestión de contenidos (CMS) como WordPress, Joomla!, Drupal, Moodle y Typo3. Solo en el caso de WordPress se estiman entre 400 y 500 millones de sitios web activos a nivel global.

Por esa adopción masiva, la preocupación por una posible brecha es internacional: una vulnerabilidad en un componente tan utilizado puede comprometer simultáneamente una enorme cantidad de servicios, incluso cuando pertenecen a organizaciones completamente diferentes.

Sin embargo, utilizar PHP no significa que una página haya sido atacada ni que necesariamente deba dejar de funcionar. El riesgo depende de la versión instalada, la configuración del servidor y las medidas de protección disponibles.

Cuáles son los riesgos y cómo afectan a los usuarios

Las vulnerabilidades afectan a componentes internos de PHP relacionados con la administración de memoria y el procesamiento de solicitudes. Uno de los errores puede provocar que el sistema utilice información que no terminó de inicializarse correctamente. El otro permite que determinados datos internos permanezcan disponibles después de que la memoria que ocupaban haya sido liberada. En determinadas circunstancias, estos comportamientos pueden ser aprovechados para ejecutar código no autorizado.

Tras el descubrimiento de la falla, los desarrolladores de PHP publicaron versiones que corrigen ambos problemas. La recomendación principal para quienes administran sitios y aplicaciones es actualizar cuanto antes a una versión corregida. En los servicios que utilizan versiones antiguas, sin soporte oficial, puede ser necesario migrar a una edición más reciente o consultar al proveedor de infraestructura por actualizaciones de seguridad específicas.

Si una página aparece temporalmente fuera de servicio, puede tratarse de una interrupción preventiva mientras sus administradores actualizan los sistemas.

Para los usuarios que simplemente navegan por Internet, la situación es diferente: no necesitan instalar PHP ni modificar la configuración de sus navegadores.