Dos brechas críticas descubiertas en el lenguaje de programación PHP, utilizadas por alrededor del 75% de los sitios web cuyo idioma se puede identificar, han provocado una crisis global de ciberseguridad. Los Países Bajos, Francia, Finlandia, Dinamarca y Alemania han cerrado preventivamente portales gubernamentales y Cloudflare advierte que los ataques ya han comenzado. En Rumania, las autoridades están en alerta, pero no se han reportado cierres masivos.

(Personal: Europa / Tecnología y Ciberseguridad)

---

El miércoles 21 de octubre de 2026, Internet volvió a tener un día oscuro. Apenas unos días después de un aguacero de Google Cloud dejó a millones de usuarios de Revolut sin acceso a dinero, una nueva crisis ha afectado la infraestructura digital global. Esta vez, el problema no vino de un proveedor de la nube, sino de uno de los lenguajes de programación más antiguos y extendidos del mundo: PHP.

El martes, los desarrolladores de PHP anunciaron la identificación de dos vulnerabilidades críticas e instaron a los usuarios a actualizar sus sitios de inmediato. El miércoles, alrededor de la 1:45 p. m. GMT, se lanzó una versión fija. Pero para entonces, las agencias de ciberseguridad de todo el mundo ya habían estado en alerta máxima. Y en algunos países, la medida era radical: los sitios estaban completamente desconectados.

¿Qué es PHP y por qué importa?

PHP es un lenguaje de programación de código abierto que se utiliza para desarrollar aplicaciones de servidores del lado web. Cuando un visitante accede a una página, el servidor ejecuta PHP, ensambla el contenido y lo envía al navegador. Es gratuito, mantenido por voluntarios y es la base de aproximadamente 75% de los sitios web cuyo lenguaje de programación puede ser identificado, según W3Techs. Es el motor detrás de WordPress, una plataforma utilizada por aproximadamente el 43% de todos los sitios web, desde blogs personales hasta portales gubernamentales y tiendas en línea.

Esta propagación masiva explica por qué una vulnerabilidad en PHP no es un problema técnico menor sino una amenaza sistémica. La empresa de ciberseguridad Huntress resumió la situación en una publicación de blog: “PHP está en todas partes. Discretamente potencia los sitios de WordPress, Drupal, Joomla y Magento, plataformas de alojamiento compartido, paneles de control y muchos programas que al menos no mencionan que Usa PHP detrás de escena”.

La reacción en cadena de los gobiernos europeos

Ante una amenaza tan amplia, los gobiernos europeos no esperaron. El miércoles, varios estados decidieron sacar sus sitios de operación de manera preventiva, prefiriendo el tiempo de inactividad al riesgo de una brecha de seguridad.

En Países Bajos, el Centro Nacional de Seguridad Cibernética interrumpió su propia actividad en línea, y varias organizaciones siguieron su ejemplo: Puerto de Rotterdam, Portal del Gobierno de Overheid.nl, Federación Nacional de Fútbol de KNVB, los sitios de los cinco partidos más grandes políticos y varios hospitales han sido desconectados.

En Francia, el Ministerio del Interior anunció que ha sacado de servicio temporalmente los sitios administrativos de las autoridades locales, “esperando una solución de seguridad”. Según la publicación Le Figaro, se vio afectada la página web de la Administración Fiscal, la de la Prefectura de Policía y las prefecturas de los departamentos.

En Finlandia, el proveedor de servicios de TI del estado, Valtori, anunció que los servicios públicos en la red gubernamental han sido puestos fuera de servicio “como medida de precaución”. En Dinamarca, la empresa municipal de TI Kombit ha cerrado varios servicios, incluida la Plataforma de Comunicación Escolar Nacional. y en Alemania y Austria, algunas universidades y autoridades locales han tomado medidas similares.

Advertencias globales y ataques ya en curso

Las agencias de ciberseguridad en la Unión Europea, Australia, Japón y el Reino Unido han instado a los usuarios de PHP a instalar actualizaciones de inmediato o sacar sus sitios fuera de servicio hasta que se apliquen las correcciones. Dane Knecht, director técnico de Cloudflare, dijo que los ataques ya han comenzado: “Vemos que comienzan a ocurrir ataques y estamos actualizando las medidas de mitigación de riesgos a medida que aparecen nuevos vectores de ataque. Esta es solo una medida temporal. Instale la actualización tan pronto como PHP la lance”.

Los expertos advierten que la extensión podría ser enorme. Lukasz Olejnik, un investigador de King’s College London, dijo que la amenaza podría amplificarse mediante campañas de piratería asistida por inteligencia artificial que se han multiplicado en las últimas semanas. “La extensión es enorme. Y con la ayuda de la inteligencia artificial, la explotación de las vulnerabilidades podría ocurrir instantáneamente y en gran escala”, advirtió. El riesgo es particularmente alto para los sitios pequeños gestionados por individuos u organizaciones con recursos técnicos limitados que no gestionan directamente sus servidores.

La situación en Rumania

Según la información disponible, no se han reportado cierres masivos de sitios gubernamentales en Rumania, de forma similar a lo que sucedió en los Países Bajos o Francia. Sin embargo, las autoridades están en alerta y se ha instado a los administradores del sistema a aplicar con urgencia el parche publicado por los desarrolladores de PHP. Dado que Rumanía alberga numerosos sitios institucionales basados en WordPress y otras plataformas que ejecutan PHP, el riesgo sigue siendo significativo.

Conclusión

Una vulnerabilidad en un lenguaje de programación gratuito, mantenido por voluntarios, ha logrado tomar sitios gubernamentales fuera de línea de la mitad occidental de Europa y desencadenar una movilización global de agencias de ciberseguridad. No fue un ataque coordinado, sino una brecha técnica en un software utilizado por las tres cuartas partes de Internet global. Y la reacción de los gobiernos, para adelantarse a los sitios, muestra cuán frágil es la infraestructura digital en la que confiamos todos los días.

El parche fue lanzado el miércoles por la tarde. Pero para muchos sitios, la actualización no será instantánea. Y los atacantes lo saben. Queda por verse si el incumplimiento se explotará a gran escala y cuántas instituciones pagarán el precio de un retraso de varias horas.