Dos vulnerabilidades críticas en PHP, un lenguaje utilizado por alrededor del 70 % de los sitios web cuya tecnología de servidor se conoce, llevaron a administraciones y organizaciones de Europa a desconectar temporalmente algunos servicios como medida preventiva. Los fallos podrían permitir ejecutar código a distancia sin autenticación. Los equipos de seguridad recomiendan instalar cuanto antes las actualizaciones disponibles.

(Redacción: Mundo y Europa / Tecnología y ciberseguridad)

El 21 de octubre de 2026, dos vulnerabilidades críticas en PHP, tecnología que sostiene buena parte de la web, desencadenaron una respuesta urgente de ciberseguridad. Los fallos habían pasado inadvertidos durante años; la investigación asistida por IA ayudó a convertir una debilidad teórica en una demostración de ataque funcional.

PHP funciona en segundo plano en numerosos sitios y aplicaciones, incluidos los basados en WordPress, Drupal y Joomla. Según W3Techs, en octubre de 2026 PHP se utilizaba en aproximadamente el 69,7 % de los sitios cuya tecnología de servidor podía identificarse. Su amplia presencia hace que un fallo en PHP pueda afectar a muchos servicios.

Cierres preventivos de sitios web

Administraciones y organizaciones de varios países europeos desactivaron temporalmente algunos servicios accesibles desde Internet mientras preparaban o instalaban las actualizaciones de seguridad. En los Países Bajos, la medida afectó a portales públicos y páginas de instituciones. Francia, Alemania y Finlandia también comunicaron interrupciones preventivas. Que una web se desconecte no significa, por sí solo, que haya sido pirateada.

Cómo contribuyó la IA al hallazgo

Las vulnerabilidades están registradas como CVE-2026-109618 y CVE-2026-109619 y tienen una puntuación de gravedad de 9,2 sobre 10. Afectan a la gestión de memoria y al estado interno de PHP y podrían permitir que un atacante sin autenticar ejecutara código en un servidor vulnerable. Durante una auditoría del código fuente de PHP financiada por OpenAI, la empresa de ciberseguridad Calif utilizó el modelo GPT-5.6 Sol de OpenAI para desarrollar un ataque remoto funcional basado en una de las debilidades. La IA ayuda a los investigadores a analizar código complejo, pero capacidades similares también pueden servir a los atacantes.

Una carrera por instalar los parches

El equipo de PHP publicó actualizaciones de seguridad el 21 de octubre de 2026. Entre las versiones corregidas figuran PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Conviene consultar el aviso oficial de PHP y al proveedor del sistema operativo o del alojamiento para elegir la actualización adecuada. Es posible que las versiones antiguas ya no reciban correcciones del proyecto PHP, aunque algunos proveedores ofrecen parches retroportados.

Según datos de Censys citados por medios de comunicación, alrededor de 1,5 millones de los 2,6 millones de hosts observados utilizaban versiones de PHP para las que no había una solución disponible en el momento de la medición. Cloudflare informó de tráfico de ataques dirigido a sus clientes, y las agencias advirtieron que la publicación de detalles técnicos podría aumentar los intentos de exploración y explotación.

Qué deben hacer las organizaciones

Las organizaciones deben identificar todas las aplicaciones y servicios que utilizan PHP, instalar la actualización correspondiente y comprobar que la versión corregida está activa. Si no es posible actualizar rápidamente un sistema expuesto a Internet, los organismos de ciberseguridad recomiendan considerar su aislamiento temporal de la red pública. Los clientes de alojamiento gestionado deberían pedir a su proveedor que confirme la instalación del parche.

Conclusión

El incidente de PHP recuerda que la infraestructura de Internet más extendida necesita mantenimiento continuo. El análisis asistido por IA ayudó a revelar fallos ocultos durante años y la publicación de las correcciones hace urgente actuar. La prioridad es comprobar la versión de PHP, instalar la actualización correcta y proteger los servicios accesibles desde Internet.