Una alerta mundial de ciberseguridad provocó este miércoles 21 de octubre la interrupción de cientos de sitios web de gobiernos, empresas e instituciones de distintos países. El problema se originó tras el descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de páginas y servicios de Internet. Los fallos permiten que atacantes puedan ejecutar código malicioso en determinados servidores sin necesidad de contar con una contraseña o credenciales de acceso.

Ante la gravedad de la amenaza, organismos de seguridad informática recomendaron desconectar temporalmente los sitios afectados hasta que pudieran instalar las actualizaciones correspondientes. La situación tuvo especial impacto en Europa, donde quedaron fuera de servicio portales gubernamentales, instituciones educativas, hospitales y otros servicios digitales. Las interrupciones respondieron principalmente a medidas preventivas para evitar posibles ataques, y no a una caída generalizada de Internet.

Qué pasó con PHP y por qué dejaron de funcionar cientos de páginas web La emergencia comenzó después de que los responsables de PHP alertaran sobre dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de gravedad de 9,2 sobre 10, considerada crítica según el sistema internacional de evaluación de fallas de seguridad. El principal riesgo de esta brecha es que ciberdelincuentes puedan aprovechar estos errores para ejecutar instrucciones de manera remota en servidores vulnerables, y acceder a información almacenada, modificar archivos, sustraer datos o comprometer el funcionamiento de servicios.

La gravedad del descubrimiento llevó al Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea (CERT-EU) a recomendar que las organizaciones y empresas que no pudieran aplicar las correcciones de inmediato aislaran sus sistemas de las redes públicas. Y por la recomendación se desencadenó una serie de desconexiones preventivas en centenares de servidores mundiales. La Agencia Nacional de Seguridad de Estados Unidos (NSA), a través de un comunicado publicado en X, también aconsejó desconectar sistemas que no pudieran ser actualizados: “Con efecto inmediato, se recomienda a todas las organizaciones que utilicen PHP en sus sistemas que se preparen para una actualización que solucione dos vulnerabilidades críticas.

PHP se utiliza ampliamente en aplicaciones web. Estas vulnerabilidades suelen proporcionar un acceso directo al sistema de archivos o a la base de datos del servidor. Si no es posible realizar una actualización inmediata, se recomienda a las organizaciones que desconecten el sistema hasta que la vulnerabilidad pueda mitigarse por completo.

La NSA proporcionará en breve más orientación específica al respecto”. Por su parte, la primera ministra de Japón, Sanae Takaichi solicitó también desde su cuenta en X: “Les ruego que atiendan esta petición urgente esta misma noche. En relación con PHP, que se utiliza en numerosas páginas web, el equipo de seguridad de PHP ha emitido una alerta sobre dos vulnerabilidades graves.

Comprueben si utilizan PHP en sus páginas web y preparen todo lo necesario para poder aplicar lo antes posible el parche correctivo que se publicará esta noche, 21 de octubre, a las 23:00 horas (hora de Japón). Si les resulta difícil aplicar el parche de corrección con rapidez, una medida eficaz para reducir el riesgo podría ser, por ejemplo, suspender temporalmente el sitio web. La cuenta de X de la Oficina Nacional de Coordinación Cibernética también está publicando información al respecto, por lo que les recomendamos que la consulten.” En Alemania, las autoridades suspendieron temporalmente el acceso a varios sitios de la administración federal.

En Francia, el Ministerio del Interior desconectó las páginas de distintas prefecturas, mientras que Finlandia interrumpió servicios digitales gubernamentales como medida de precaución. En los Países Bajos, las restricciones alcanzaron a organismos públicos, hospitales, el puerto de Róterdam y otras instituciones. La Fundación Wikimedia, responsable de Wikipedia, también informó que había desconectado algunos de sus sistemas mientras trabajaba en las actualizaciones de seguridad.

Las autoridades de varios países aclararon que las interrupciones no implicaban necesariamente que los sitios hubieran sido atacados. En muchos casos, la decisión buscó reducir el riesgo mientras los equipos técnicos aplicaban las correcciones. Qué es PHP y por qué una vulnerabilidad puede afectar a tantos sitios PHP es un lenguaje de programación de código abierto que se utiliza para desarrollar sitios web y aplicaciones que funcionan a través de Internet.

A diferencia de JavaScript, que puede ejecutarse directamente en el navegador del usuario, PHP funciona principalmente en los servidores que procesan las solicitudes y preparan el contenido de las páginas. Su utilización está muy extendida y está presente en cerca del 70% de los sitios web cuyo lenguaje de programación del servidor puede identificarse: el lenguaje sustenta desde blogs y portales de noticias hasta variadas tiendas en línea y sistemas de gestión de contenidos (CMS) como WordPress, Joomla!, Drupal, Moodle y Typo3. Se estiman que, solo en el caso de WordPress, existen entre 400 y 500 millones de sitios web activos a nivel global.

Por esa gran adopción, la preocupación de una posible brecha es internacional: una vulnerabilidad en un componente tan utilizado puede comprometer simultáneamente una enorme cantidad de servicios, incluso cuando pertenecen a organizaciones completamente diferentes. Sin embargo, utilizar PHP no significa que una página haya sido atacada ni que necesariamente deba dejar de funcionar. El riesgo depende de la versión instalada, la configuración del servidor y las medidas de protección disponibles.

Cuáles son los riesgos y cómo afecta alos usuarios Las vulnerabilidades afectan a componentes internos de PHP relacionados con la administración de memoria y el procesamiento de solicitudes. Uno de los errores puede provocar que el sistema utilice información que no terminó de inicializarse correctamente. El otro permite que determinados datos internos permanezcan disponibles después de que la memoria que ocupaban haya sido liberada.

En determinadas circunstancias, estos comportamientos pueden ser aprovechados para ejecutar código no autorizado. Luego del descubrimiento de la falla, los desarrolladores de PHP publicaron versiones que corrigen ambos problemas. La recomendación principal para quienes administran sitios y aplicaciones es actualizar cuanto antes a una versión corregida.

En los servicios que utilizan versiones antiguas, sin soporte oficial, puede ser necesario migrar a una edición más reciente o consultar al proveedor de infraestructura por actualizaciones de seguridad específicas. Si una página aparece temporalmente fuera de servicio, puede tratarse de una interrupción preventiva mientras sus administradores actualizan los sistemas. Para los usuarios que simplemente navegan por Internet, la situación es diferente.

No necesitan instalar PHP ni modificar la configuración de sus navegadores.