Una vulnerabilidad crítica de PHP ha desencadenado una carrera internacional para proteger páginas web y servidores después de descubrirse dos fallos capaces de permitir que un atacante ejecute código de forma remota sin necesidad de autenticarse. Gobiernos europeos han llegado a desconectar servicios de Internet de manera preventiva mientras las autoridades de ciberseguridad recomiendan actualizar inmediatamente los sistemas afectados.
¿Qué es PHP y por qué es tan importante para Internet?
PHP es un lenguaje de programación utilizado principalmente para crear páginas web dinámicas y aplicaciones online. Funciona en el servidor, es decir, procesa información antes de que el contenido llegue al navegador del usuario. Es una tecnología muy extendida en Internet y forma parte del funcionamiento de numerosos sistemas de gestión de contenidos, entre ellos WordPress. Por eso, una vulnerabilidad crítica en PHP puede tener un impacto especialmente amplio si afecta a servidores que no han sido actualizados.
Dos vulnerabilidades calificadas con una gravedad de 9,2 sobre 10
La seguridad de una parte importante de Internet se encuentra bajo vigilancia después de que el equipo responsable de PHP publicara actualizaciones extraordinarias para corregir dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619.
Ambas han recibido una valoración de 9,2 sobre 10 en la escala CVSS, utilizada internacionalmente para medir la gravedad de los fallos de seguridad.
El principal problema es especialmente serio: los errores pueden permitir ejecución remota de código sin autenticación. En términos prácticos, un atacante podría intentar ejecutar instrucciones maliciosas sobre determinados servidores vulnerables sin disponer previamente de un usuario o contraseña.
El equipo de desarrollo de PHP publicó el 21 de octubre nuevas versiones de seguridad y lanzó una recomendación excepcionalmente contundente: actualizar cuanto antes.
Para PHP 8.5, por ejemplo, la versión corregida es PHP 8.5.12, mientras que también se publicaron actualizaciones específicas para otras ramas actualmente utilizadas.
Los desarrolladores señalaron además que no existen mitigaciones completas que sustituyan a la actualización, por lo que instalar las versiones corregidas es la opción recomendada para eliminar la vulnerabilidad.
Recreación editorial de las autoridades recomiendan comprobar la versión de PHP instalada y aplicar cuanto antes las versiones de seguridad publicadas.
Europa activa una respuesta urgente
La gravedad del incidente llevó a varias instituciones europeas a emitir una advertencia coordinada.
La Comisión Europea, ENISA, CERT-EU, Europol y la red europea de equipos nacionales de respuesta ante incidentes recomendaron a organizaciones públicas y privadas identificar inmediatamente sus aplicaciones basadas en PHP y aplicar las actualizaciones publicadas.
La prioridad debe centrarse especialmente en aquellos sistemas directamente accesibles desde Internet.
Las autoridades europeas advierten de que, cuando una organización no pueda instalar la actualización inmediatamente, debería considerar aislar temporalmente de las redes públicas las aplicaciones expuestas hasta completar la corrección.
El alcance potencial resulta considerable porque PHP no aparece únicamente en aplicaciones desarrolladas expresamente con este lenguaje. Numerosos productos comerciales y proyectos de código abierto incorporan componentes PHP en segundo plano, por lo que algunas organizaciones podrían estar utilizando esta tecnología sin ser plenamente conscientes de ello.
Recreación editorial de ENISA, CERT-EU y otras instituciones europeas han recomendado aplicar inmediatamente las actualizaciones de seguridad disponibles.
Varias páginas gubernamentales fueron desconectadas
La preocupación no ha quedado limitada a recomendaciones técnicas.
Varias páginas web gubernamentales y servicios públicos de Europa fueron retirados temporalmente de Internet mientras sus responsables analizaban la vulnerabilidad e instalaban las correcciones necesarias.
Reuters informó de interrupciones y medidas preventivas en países como Países Bajos, Francia, Dinamarca y Finlandia.
En Países Bajos se desconectaron páginas públicas asociadas, entre otros servicios, al portal gubernamental Overheid.nl y al Puerto de Róterdam, además de otros organismos y organizaciones.
En Dinamarca también se produjeron suspensiones preventivas de determinados servicios digitales públicos.
La estrategia de desconectar temporalmente una página vulnerable responde precisamente a una de las recomendaciones planteadas por los organismos europeos: cuando no sea posible corregir inmediatamente un servidor expuesto a Internet, limitar su acceso puede impedir que sea alcanzado mientras se completa la actualización.
España también declara crítica la alerta
El Centro Criptológico Nacional, dependiente del Centro Nacional de Inteligencia, publicó el 21 de octubre una alerta específica para España.
El CCN-CERT estableció el nivel de peligrosidad como “crítico” y recomendó actualizar inmediatamente todas las aplicaciones basadas en PHP.
El organismo español aconseja identificar los sistemas afectados, aplicar los parches disponibles y, cuando no resulte posible realizar la actualización inmediatamente, aislar aquellas aplicaciones conectadas a Internet cuyo funcionamiento no sea imprescindible.
La recomendación coincide con la emitida por CERT-EU y otras instituciones europeas y demuestra que el episodio no está siendo considerado simplemente un fallo convencional de software, sino una vulnerabilidad que requiere una actuación rápida por parte de administradores y proveedores tecnológicos.
Por qué el fallo puede afectar a tantas páginas web
La importancia de PHP radica en su enorme presencia dentro de Internet.
Es un lenguaje de programación de código abierto especialmente orientado al desarrollo web y constituye la base tecnológica de una enorme cantidad de páginas, aplicaciones y sistemas de gestión de contenidos.
Entre las plataformas que dependen de PHP para buena parte de su funcionamiento se encuentra WordPress, además de otros gestores de contenidos ampliamente utilizados.
Esto no significa automáticamente que todas las páginas creadas con WordPress hayan sido comprometidas ni que la existencia de WordPress implique por sí sola que un sitio sea vulnerable.
El riesgo depende, entre otros factores, de la versión de PHP instalada, la configuración del servidor, el proveedor de alojamiento y la rapidez con la que hayan sido aplicadas las actualizaciones de seguridad.
Precisamente por esa dependencia tecnológica, el incidente puede afectar no solo a grandes administraciones y empresas, sino también a pequeños comercios, medios digitales, asociaciones y particulares que mantienen páginas web mediante proveedores de alojamiento compartido.
La inteligencia artificial ayudó a localizar los fallos
Uno de los elementos más llamativos de esta crisis de seguridad es la forma en la que fueron localizadas las vulnerabilidades.
Según Reuters, herramientas de inteligencia artificial fueron utilizadas durante investigaciones que terminaron identificando los fallos que habían permanecido ocultos durante años.
Este hecho refleja una nueva dimensión de la carrera mundial de ciberseguridad.
Los modelos de IA pueden ayudar a investigadores a revisar enormes cantidades de código en busca de errores que podrían pasar desapercibidos durante auditorías tradicionales. Sin embargo, esa misma capacidad puede ser aprovechada por atacantes para analizar rápidamente vulnerabilidades públicas y desarrollar intentos automatizados de explotación.
El resultado es una reducción progresiva del tiempo disponible entre la publicación de una vulnerabilidad y los primeros ataques contra sistemas que todavía no han sido actualizados.
Por eso las autoridades están insistiendo cada vez más en que las actualizaciones críticas se instalen inmediatamente después de su publicación.
Los ataques comenzaron rápidamente
La advertencia ha adquirido todavía más relevancia después de detectarse actividad dirigida contra sistemas vulnerables.
Cloudflare registró millones de intentos de explotación tras hacerse pública la información sobre las vulnerabilidades, según declaraciones de su consejero delegado recogidas por Reuters.
La aparición prácticamente inmediata de estos intentos demuestra uno de los principales riesgos actuales de Internet: una vez que se conoce públicamente un fallo crítico, herramientas automatizadas pueden comenzar a buscar servidores sin actualizar a escala mundial.
Esto convierte las primeras horas posteriores a la publicación de un parche en un periodo especialmente delicado.
El objetivo para empresas, administraciones y proveedores de alojamiento es reducir al máximo esa ventana de exposición.
Qué versiones de PHP están recibiendo correcciones
El proyecto PHP publicó nuevas versiones de seguridad para varias de las principales ramas que siguen instaladas actualmente.
Entre ellas aparecen PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 y PHP 8.2.35.
El equipo de PHP ha insistido en que se trata de actualizaciones de seguridad y anima expresamente a los usuarios a migrar a las versiones corregidas.
PHP 8.2 se encuentra además cerca del final de su ciclo de soporte: está previsto que alcance el final de su vida útil el 31 de diciembre de 2026, después de lo cual dejará de recibir nuevas correcciones de seguridad.
Las organizaciones que todavía dependen de versiones antiguas deberán, por tanto, valorar no solo la instalación inmediata del parche sino también una migración hacia versiones con soporte prolongado.