Dos fallas críticas en PHP obligaron a desconectar sitios web y activaron una alerta global

Dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar páginas y aplicaciones web, provocaron este miércoles 21 de octubre una respuesta internacional de emergencia. Identificados como CVE-2026-109618 y CVE-2026-109619, los problemas recibieron una calificación de 9,2 sobre 10 y podrían permitir que un atacante ejecute código a distancia sin usuario ni contraseña. Ante el riesgo, organismos públicos y administradores privados desconectaron temporalmente sus servicios mientras revisaban los sistemas. Entre los sitios afectados estuvieron plataformas gubernamentales de Finlandia y Países Bajos, dependencias del Parlamento neerlandés, páginas del Ayuntamiento de Edimburgo y algunos servicios digitales administrados por la BBC y la Fundación Wikimedia.

El equipo responsable de PHP publicó las correcciones durante la tarde del miércoles y recomendó actualizar de inmediato a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35. El proyecto aclaró que modificar una página, actualizar WordPress o instalar una nueva versión de un complemento no resuelve por sí solo el problema, porque las fallas están en el núcleo que ejecuta PHP dentro del servidor. Para instalaciones antiguas se difundieron correcciones parciales destinadas a las ramas 7.4, 8.0 y 8.1, aunque la principal recomendación es migrar a una versión que todavía tenga respaldo. Las organizaciones que contratan alojamiento externo deben confirmar con su proveedor si la actualización ya se aplicó en la infraestructura.

Las vulnerabilidades pueden provocar filtraciones de memoria, interrupciones y ejecución remota de instrucciones con los permisos asignados al proceso web. En la práctica, un atacante podría acceder a información sensible, modificar archivos, instalar programas maliciosos o tomar el control de un servidor vulnerable. El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea advirtió que comenzaron a circular pruebas de concepto tras la publicación de los detalles técnicos, lo que aumenta la posibilidad de ataques automatizados. El Centro Nacional de Seguridad Cibernética del Reino Unido recomendó aislar o desconectar los sistemas cuando no sea posible instalar la corrección o aplicar medidas temporales de protección dentro de un plazo razonable.

OTRA CLAVELa medusa que vuelve a ser joven abre nuevas preguntas sobre el envejecimiento celular→

La gravedad del episodio también quedó expuesta por la cantidad de versiones alcanzadas. Cloudflare indicó que las fallas afectan a servidores que utilizan PHP 5.4 o versiones posteriores y confirmó que detectó tráfico de ataque dirigido contra sus clientes antes de la divulgación pública. La empresa desplegó reglas especiales en su firewall de aplicaciones web, pero remarcó que esas defensas funcionan como una barrera adicional y no reemplazan la actualización del servidor. Wiz estimó que PHP sostiene cerca del 70% de los sitios web, aunque esa cifra no implica que todos sean vulnerables ni pudo verificarse de manera independiente. La exposición concreta depende de la versión instalada, la configuración y el entorno en el que funciona cada aplicación.

Los fallos fueron descubiertos con la asistencia de modelos avanzados de inteligencia artificial. La empresa Calif detectó uno durante una iniciativa coordinada por OpenAI, mientras que investigadores de Wiz identificaron de manera independiente las dos vulnerabilidades. Según las compañías participantes, los errores permanecieron ocultos durante más de una década y fue necesario combinar numerosas condiciones técnicas para demostrar que podían aprovecharse. La inteligencia artificial permitió analizar el código y construir pruebas funcionales con mayor velocidad. PHP, OpenAI, Wiz, Calif, Quarkslab y proveedores de infraestructura trabajaron durante semanas bajo un proceso de divulgación coordinada para preparar los parches y desplegar protecciones antes de revelar los detalles al público.

Para administradores de portales, empresas, municipios y organismos de Chubut, la prioridad es identificar todos los servidores que ejecuten PHP, incluidos aquellos administrados por terceros o integrados en sistemas internos. También es necesario revisar registros en busca de comportamientos anormales, conexiones inesperadas, archivos nuevos o accesos no autorizados, ya que instalar el parche no elimina una intrusión previa. Los especialistas aconsejaron mantener respaldos verificados, limitar los permisos del servidor y monitorear los avisos de seguridad de proveedores y gestores de contenido. La crisis volvió a mostrar la doble función de la inteligencia artificial en ciberseguridad: acelera el hallazgo y la corrección de fallas, pero también reduce el tiempo disponible antes de que actores maliciosos desarrollen herramientas para explotarlas.