Alerta mundial por fallas críticas en PHP: cientos de portales web fueron desconectados

Los fallos podrían permitir que ciberdelincuentes ejecuten código malicioso de forma remota en servidores vulnerables, sin necesidad de contar con contraseñas o credenciales de acceso. La alerta tuvo especial impacto en Europa, donde se interrumpieron servicios digitales de organismos públicos, hospitales e instituciones educativas. Las medidas no implican necesariamente que los sitios afectados hayan sufrido ataques.

Las vulnerabilidades fueron identificadas como "CVE-2026-109618" y "CVE-2026-109619", y recibieron una calificación de gravedad de 9,2 sobre 10, considerada crítica según el sistema internacional de evaluación de fallas de seguridad. El riesgo radica en que una explotación exitosa podría permitir el acceso a información almacenada, la modificación de archivos, el robo de datos o la alteración del funcionamiento de los servicios.

Ante la amenaza, el Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea (CERT-EU) recomendó aislar de las redes públicas los sistemas que no pudieran recibir las actualizaciones correspondientes de inmediato. La advertencia impulsó desconexiones preventivas en numerosos servidores para limitar la exposición mientras los equipos técnicos trabajaban en las soluciones.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) también aconsejó desconectar los sistemas que no pudieran actualizarse. En un comunicado publicado en X, advirtió que las vulnerabilidades podían facilitar el acceso al sistema de archivos o a las bases de datos de los servidores y señaló que brindaría nuevas indicaciones para mitigar el riesgo.

Las medidas de precaución alcanzaron a distintos países europeos. En Alemania, las autoridades suspendieron temporalmente el acceso a varios sitios de la administración federal; en Francia, el Ministerio del Interior desconectó páginas de distintas prefecturas, mientras que Finlandia interrumpió algunos servicios digitales gubernamentales.

En los Países Bajos, las restricciones afectaron a organismos públicos, hospitales, el puerto de Róterdam y otras instituciones. La Fundación Wikimedia, responsable de Wikipedia, también informó que había desconectado algunos de sus sistemas mientras trabajaba en la instalación de las actualizaciones de seguridad.

ADEMÁS: El regreso de los juegos de cartas clásicos en la era de las apps

Las interrupciones no significan que se haya producido una caída generalizada de Internet ni que todos los sitios desconectados hayan sido vulnerados. En muchos casos, las organizaciones optaron por suspender temporalmente sus servicios para evitar posibles intrusiones hasta completar las medidas de protección recomendadas por los organismos especializados.

¿Qué es el PHP y porqué afecta a los sitios web en todo el mundo?

PHP es un lenguaje de programación de código abierto utilizado principalmente en los servidores que procesan solicitudes y generan el contenido de las páginas web. Su presencia está extendida en portales de noticias, blogs, tiendas en línea y sistemas de gestión de contenidos como WordPress, Joomla!, Drupal, Moodle y Typo3. Se estima que está presente en cerca del 70% de los sitios cuyo lenguaje de programación del servidor puede identificarse.

La amplia adopción de PHP explica el alcance potencial de una vulnerabilidad en su funcionamiento: un fallo que afecta a esta tecnología puede comprometer sistemas de organizaciones muy diferentes. WordPress, uno de los gestores de contenidos que utilizan PHP, cuenta con cientos de millones de sitios web activos en todo el mundo. Por eso, las recomendaciones de seguridad apuntaron a actualizar los sistemas vulnerables o mantenerlos aislados hasta que pudieran corregirse las fallas.