Una alerta mundial de ciberseguridad encendió las alarmas entre empresas, organismos públicos y administradores de sitios web. El motivo fue la detección de dos graves fallas en PHP, uno de los lenguajes de programación más utilizados en internet, que podían permitir a delincuentes informáticos acceder a servidores y controlar sus contenidos sin necesidad de contraseñas. La situación llevó a los responsables de esta tecnología a publicar actualizaciones de emergencia, mientras distintos gobiernos y compañías comenzaron a revisar sus sistemas para evitar posibles ataques. La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó aplicar las correcciones de inmediato y advirtió que los servicios que no pudieran actualizarse debían ser desconectados temporalmente de internet. La preocupación responde al enorme alcance de PHP, una herramienta presente en millones de sitios web, desde portales de noticias y tiendas virtuales hasta plataformas educativas y servicios gubernamentales. PHP es un lenguaje de programación de código abierto que funciona en los servidores y permite generar páginas web dinámicas, cuyo contenido cambia según las acciones de cada usuario. Esta tecnología permite procesar búsquedas, verificar contraseñas, consultar bases de datos, registrar compras y mostrar contenidos personalizados. Forma parte de sistemas ampliamente utilizados como WordPress, Joomla!, Drupal y Moodle, que permiten administrar sitios web sin necesidad de programar cada página desde cero. Por eso, una vulnerabilidad en sus componentes centrales puede afectar a organizaciones de distintos países y sectores. Sin embargo, utilizar PHP no significa automáticamente que un sitio haya sido comprometido: el riesgo depende de la versión instalada y la configuración del servidor. Las dos fallas que encendieron las alarmas Las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619 fueron calificadas con una gravedad de 9,2 puntos sobre 10, según la PHP Foundation, organización que sostiene el desarrollo de esta tecnología. Ambos errores permiten, en determinadas condiciones, la ejecución remota de código. Esto significa que un atacante podría enviar instrucciones a un servidor vulnerable y conseguir que las ejecute sin necesidad de iniciar sesión. Las consecuencias potenciales incluyen el acceso a información confidencial, el robo de datos, la modificación de archivos y la interrupción de servicios digitales. Una de las fallas está relacionada con problemas en la administración de memoria cuando el sistema se queda sin recursos. La otra se vincula con información interna obsoleta que puede permanecer activa entre distintas operaciones. Cómo se descubrieron las vulnerabilidades La investigación comenzó a partir de una auditoría de seguridad iniciada el 30 de julio por la empresa Calif, en el marco del programa Patch the Planet, destinado a identificar problemas en programas de uso masivo. El 11 de agosto, un investigador informó sobre una forma de tomar el control de servidores sin autenticación. Ese mismo día, OpenAI comunicó de manera independiente una vulnerabilidad relacionada con la misma causa. Posteriormente, empresas especializadas como Wiz y Trail of Bits aportaron nuevos hallazgos que permitieron dimensionar la gravedad del problema. El equipo de seguridad de PHP concentró entonces sus esfuerzos en desarrollar las correcciones necesarias, utilizando incluso herramientas de inteligencia artificial para analizar posibles ataques. Gobiernos y empresas suspendieron servicios La alarma tuvo consecuencias concretas en distintos países. Wikimedia desconectó preventivamente algunos de sus sistemas, mientras organismos públicos de Finlandia, Países Bajos y Escocia, además de autoridades de Edimburgo, suspendieron servicios o retiraron temporalmente páginas de internet. En Estados Unidos, la NSA instó a las agencias gubernamentales a actuar con urgencia. Por su parte, el Centro Nacional de Ciberseguridad del Reino Unido recomendó revisar los servidores para detectar posibles accesos no autorizados. El episodio también generó un fuerte incremento de las búsquedas relacionadas con PHP en Google, especialmente entre el 21 y el 22 de octubre. Qué deben hacer los sitios web y los usuarios La PHP Foundation informó que las vulnerabilidades fueron corregidas mediante nuevas versiones del lenguaje: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La organización recomendó instalar estas actualizaciones de inmediato y advirtió que constituyen la única solución completa para eliminar los riesgos asociados con los errores detectados. Los servidores que no puedan actualizarse rápidamente deberían ser retirados de internet hasta contar con las correcciones correspondientes. Para quienes navegan habitualmente por internet, la situación no requiere descargar programas ni instalar actualizaciones específicas en teléfonos o computadoras, ya que PHP funciona en los servidores. Sin embargo, los especialistas recomiendan mantenerse atentos a las comunicaciones oficiales de los servicios utilizados, especialmente si informan sobre filtraciones de datos o solicitan cambios de contraseña. También aconsejan desconfiar de mensajes que aprovechen la noticia para ofrecer supuestas verificaciones de seguridad mediante enlaces desconocidos. Estas maniobras pueden formar parte de campañas de phishing, una modalidad de fraude destinada a obtener contraseñas e información bancaria. El episodio volvió a poner en evidencia la importancia de mantener actualizados los sistemas que sostienen el funcionamiento cotidiano de internet.