Una alerta de ciberseguridad puso en riesgo a millones de páginas web en todo el mundo. Este miércoles 21 de octubre, la detección de dos graves vulnerabilidades en el lenguaje de programación PHP obligó a instituciones públicas y privadas a suspender temporalmente sus servicios digitales para prevenir posibles ciberataques. La emergencia afectó principalmente a países europeos y motivó advertencias internacionales por la posibilidad de que piratas informáticos tomaran el control de servidores vulnerables.
¿Qué es PHP y por qué sus fallas representan una amenaza mundial?
PHP es un lenguaje de programación gratuito y de código abierto que permite el funcionamiento de numerosas páginas web y aplicaciones. Su importancia radica en que es utilizado por plataformas como WordPress, Drupal y Joomla, presentes en medios de comunicación, empresas y organismos gubernamentales. Según especialistas, cerca del 70 % de los sitios web cuyo lenguaje de programación puede identificarse utilizan PHP, por lo que cualquier vulnerabilidad en su estructura podría tener consecuencias a escala global.
La segunda clave está en la gravedad de las fallas descubiertas, identificadas como CVE-2026-109618 y CVE-2026-109619, ambas calificadas con 9,2 puntos sobre 10 en la escala internacional CVSS. Estas debilidades podrían permitir que ciberdelincuentes ejecuten códigos maliciosos de manera remota, sin ingresar contraseñas ni contar con autorización. Entre los principales peligros figuran el robo de datos confidenciales, la alteración de páginas web y el acceso no autorizado a sistemas informáticos.
¿Quiénes descubrieron las vulnerabilidades y qué países están afectados?
La tercera clave involucra a la inteligencia artificial. Investigadores de la empresa de seguridad Calif, en colaboración con OpenAI, identificaron una de las vulnerabilidades el 11 de agosto, mientras que especialistas de Wiz, compañía perteneciente a Google, detectaron de forma independiente las fallas y reportaron sus hallazgos. Los investigadores advirtieron que estos errores habían permanecido ocultos durante años y que su descubrimiento representa uno de los episodios más importantes en la historia de la seguridad de PHP.
La cuarta clave corresponde a las instituciones afectadas por las medidas preventivas. En Alemania, organismos federales suspendieron distintos portales digitales, mientras que Francia desconectó temporalmente páginas administrativas. Bélgica también registró interrupciones en servicios institucionales. En Países Bajos, organizaciones deportivas, partidos políticos, hospitales y el Puerto de Rotterdam adoptaron medidas similares para reducir el riesgo de intrusiones informáticas. Estas desconexiones no significan necesariamente que los sistemas hayan sido atacados, sino que respondieron a decisiones de prevención.
La quinta clave está en las medidas para enfrentar la emergencia. La Fundación PHP publicó el 21 de octubre actualizaciones de seguridad para corregir las vulnerabilidades, mientras que las autoridades de ciberseguridad de la Unión Europea recomendaron instalarlas inmediatamente. Para las organizaciones que no puedan aplicar los parches, la indicación es aislar temporalmente los servidores expuestos a internet. Los especialistas también aconsejan revisar las versiones utilizadas y verificar que los sistemas cuenten con las correcciones necesarias para evitar posibles accesos no autorizados.
