Alerta mundial en PHP: dos vulnerabilidades críticas de 9.2 amenazan a millones de webs

Dos vulnerabilidades críticas en PHP detectadas el miércoles 21 de octubre activaron una alerta mundial de ciberseguridad: permiten a un atacante ejecutar código a distancia en el servidor sin necesidad de contraseña, con una severidad de 9.2 sobre 10.

Estados Unidos, España, Alemania, Países Bajos, el Reino Unido y Japón ya emitieron alertas urgentes, y varios apagaron webs por precaución. Los parches están disponibles desde el mismo día: actualizar es la única salida, como también lo demostró la actualización de octubre de Windows, que corrigió más de 1.400 fallos.

Qué pasó: dos fallos de PHP con severidad 9.2 sobre 10

Las dos vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, están relacionadas con la forma en que PHP gestiona la memoria temporal del servidor. El error permite que un atacante envíe una petición preparada para que el servidor ejecute instrucciones maliciosas sin cuenta ni contraseña.

En la práctica, según los expertos consultados por EFE, esto abre la puerta a instalar programas maliciosos conocidos como web shells y tomar el control del servidor, con acceso directo a su sistema de archivos y a la base de datos.

PHP es uno de los lenguajes más usados del mundo para crear páginas web dinámicas: procesa formularios, gestiona sesiones de usuarios y consulta bases de datos. Se estima que está presente en cerca del 70 % de los sitios cuya tecnología de servidor se conoce, incluidos millones de páginas hechas con WordPress.

Qué países actuaron y qué servicios se apagaron

Arrancaron las alertas Estados Unidos —con la Agencia de Seguridad Nacional (NSA) y la división de ciberseguridad del FBI—, España, Alemania, Países Bajos, el Reino Unido y Japón, a los que se sumó el equipo de respuesta de la Unión Europea, CERT-EU. El Instituto Nacional de Ciberseguridad de España (Incibe) calificó el aviso en su nivel máximo: «importancia crítica».

Bélgica fue uno de los países más afectados: se desconectaron la página del Parlamento flamenco, servicios públicos federales, la radiotelevisión pública VRT, medios del grupo DPG Media, la plataforma escolar Smartschool y hasta las webs de dos hospitales de Amberes. El gobierno flamenco ordenó retirar temporalmente las páginas oficiales que funcionan con PHP.

En Países Bajos cayeron temporalmente portales como Overheid.nl, MijnOverheid y DigiD, el sistema de identificación que los ciudadanos usan para trámites tributarios y sanitarios. Alemania retiró páginas de su proveedor federal de informática, Francia desactivó webs de prefecturas del Ministerio del Interior y Finlandia suspendió servicios web públicos. La Universidad de Ginebra también quedó fuera de servicio por recomendación de CERT-EU, y en Japón la empresa Sakura Internet suspendió algunas funciones de su nube.

Cloudflare confirmó además que detectó tráfico de ataque dirigido contra sus clientes, en algunos casos con modificaciones para evadir sus protecciones. Es la señal de que ya hay intentos reales de explotación, aunque no todos hayan tenido éxito.

Cómo proteger tu página de las vulnerabilidades críticas en PHP

El equipo de PHP publicó las versiones corregidas el 21 de octubre: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Hay que comprobar qué versión corre en el servidor y actualizar a la correspondiente. Ojo con un detalle clave: actualizar WordPress o sus complementos no actualiza PHP; son componentes distintos y se revisan por separado.

Las versiones PHP 8.1 y anteriores están fuera del soporte oficial, aunque algunos proveedores de Linux y servicios de soporte extendido ofrecen sus propias actualizaciones de seguridad. Si tu página está en un hosting externo, pregúntale a la empresa si ya aplicó el parche.

Si no puedes actualizar de inmediato, las agencias recomiendan cuatro pasos: inventariar dónde se usa PHP (dando prioridad a lo expuesto a internet), instalar la versión corregida cuanto antes, desconectar temporalmente los sistemas que no se puedan actualizar y vigilar los registros del servidor buscando señales de intrusión, como procesos de PHP que abran terminales o descarguen archivos.

Y una precisión importante: desconectar una página por precaución no significa que haya sido hackeada. En la mayoría de los casos fue una medida preventiva mientras se aplicaban los parches.

La IA acelera el problema… y también la defensa

Los expertos consultados este jueves coinciden en que esta alerta muestra cómo la inteligencia artificial está cambiando el juego. Sergey Lozhkin, de Kaspersky, advirtió a EFE que podría convertirse en «una de las vulnerabilidades más importantes de 2026», mientras que Gabriela Zornoza, de Check Point, la describió como una «puerta abierta» para cualquier acción maliciosa, incluso para planear hoy un ataque futuro.

Gunnar Hellekson, de la plataforma Lightwell (una iniciativa de IBM y Red Hat), recordó que PHP sostiene buena parte de la actividad empresarial global. Y dejó el dato incómodo: el código que «simplemente funcionaba» ahora está en riesgo porque la IA permite descubrir vulnerabilidades a una velocidad y un volumen inéditos. La misma tecnología, señalaron, también entrena sistemas capaces de detectar las vulnerabilidades críticas en PHP y frenar los ataques.

Si administras una web, revisa hoy mismo tu versión de PHP y aplica el parche, o exige a tu proveedor que lo haga. Con una severidad de 9.2, alertas de la NSA, el FBI y el Incibe, y ataques ya en circulación, esta es de esas vulnerabilidades que no se pueden dejar para después: es la misma urgencia que llevó a Microsoft a desmantelar una red de estafas la semana pasada.