Dos vulnerabilidades críticas en PHP encendieron las alarmas de ciberseguridad y llevaron a organismos públicos de Europa a desconectar sus portales ante el riesgo de ataques informáticos. Los sitios web de gobiernos y organismos públicos de distintos países quedaron fuera de servicio este miércoles 21 de octubre por dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en aproximadamente el 70 % de las páginas de internet. La gravedad de las fallas llevó a las autoridades a tomar medidas preventivas mientras los desarrolladores preparaban las correcciones.

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9,2 sobre 10 en la escala de severidad CVSS v4.0. Los errores afectan la gestión de la memoria del servidor y podrían permitir que un atacante ejecute código de manera remota, sin necesidad de una contraseña ni una cuenta de usuario. Los desarrolladores de PHP publicaron cuatro parches para corregir los problemas.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a prepararse para instalar las actualizaciones de emergencia y recomendó desconectar los sistemas afectados si no podían aplicar las correcciones de inmediato. En Europa, varios organismos actuaron de forma preventiva: en Países Bajos apagaron portales gubernamentales y servicios de hospitales, mientras que Finlandia y Dinamarca también interrumpieron plataformas públicas. CERT-EU, el organismo de ciberseguridad de la Unión Europea, recomendó aislar las aplicaciones expuestas a internet hasta contar con una solución.

La preocupación aumentó después de que Patchstack reportara indicios de explotación activa y Cloudflare advirtiera sobre señales de ataques. Los especialistas temen que la inteligencia artificial acelere la creación de herramientas para aprovechar las vulnerabilidades. “Algún tipo en Twitter podría tomar los parches y ejecutar IA contra ellos y publicar algún script de explotación. Se desatará el infierno”, advirtió Thai Duong, director ejecutivo de Calif, en declaraciones a The Wall Street Journal.

Las fallas fueron detectadas por Calif, mediante el modelo GPT-5.6 Sol de OpenAI, y de manera independiente por la firma Wiz, en el marco de la iniciativa Patch the Planet. La Fundación PHP reconoció que había señales de uno de los problemas desde 2024, aunque entonces no se habían identificado formas concretas de explotarlo, y calificó la demora como “un fracaso estructural”, según Reuters. El alcance potencial es amplio porque PHP sostiene plataformas como WordPress, Drupal, Joomla y Magento.

WordPress, en particular, está presente en alrededor del 43 % de todos los sitios web. Además, Wordfence, un complemento de seguridad para WordPress, advirtió que las actualizaciones automáticas habituales no aplicarían esta corrección, por lo que los administradores deberán comprobar que sus sistemas estén protegidos e instalar los parches correspondientes.