Una alerta mundial de ciberseguridad puso bajo presión a gobiernos, empresas y administradores de sitios web después de que se revelaran dos graves vulnerabilidades en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de páginas y aplicaciones en internet.
Los problemas fueron registrados como CVE-2026-109618 y CVE-2026-109619 y recibieron una calificación de 9,2 sobre 10 en la escala internacional de severidad CVSS.
La gravedad radica en que, bajo determinadas condiciones, un atacante podría ejecutar código malicioso de manera remota en un servidor vulnerable sin necesidad de contar previamente con usuario o contraseña.
El equipo de PHP publicó las actualizaciones de seguridad el 21 de octubre, mientras organismos especializados recomendaron instalarlas inmediatamente y priorizar todos los sistemas conectados directamente a internet.
¿Qué es PHP?
PHP, cuyo nombre actual corresponde a PHP: Hypertext Preprocessor, es un lenguaje de programación que funciona principalmente del lado del servidor.
En términos sencillos, cuando una persona ingresa a una página web, PHP puede encargarse de consultar una base de datos, procesar formularios, gestionar usuarios, preparar contenido y generar la información que finalmente aparece en el navegador.
Su presencia en internet es enorme.
Según datos de W3Techs correspondientes al 21 de octubre de 2026, PHP es utilizado por aproximadamente el 69,3% de los sitios web cuyo lenguaje de servidor puede identificarse.
También está presente detrás de plataformas ampliamente utilizadas como WordPress, Drupal, Joomla y MediaWiki, entre otras.
¿Por qué la falla genera tanta preocupación?
El problema no afecta solamente a una aplicación específica construida con PHP.
Los investigadores determinaron que las vulnerabilidades están relacionadas con componentes centrales del propio lenguaje, lo que amplía considerablemente la superficie potencial de exposición.
De acuerdo con CERT-EU, las configuraciones que utilizan PHP para atender solicitudes web pueden estar afectadas, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Una explotación exitosa podría permitir, dependiendo del sistema comprometido, tomar control del servidor, acceder a información sensible, modificar contenidos o dejar servicios fuera de funcionamiento.
Sitios gubernamentales fueron desconectados
La dimensión del riesgo llevó a diferentes organismos a optar por una medida preventiva extrema: desconectar temporalmente páginas y servicios mientras se instalaban las actualizaciones.
En Países Bajos, por ejemplo, el Gobierno confirmó que varias páginas oficiales fueron retiradas preventivamente de internet ante las vulnerabilidades detectadas en PHP. Entre los servicios afectados estuvieron sitios gubernamentales y plataformas públicas.
Situaciones similares se registraron en otros países de Europa y otras regiones mientras administradores de sistemas aceleraban el proceso de actualización.
Inteligencia artificial ayudó a descubrir las vulnerabilidades
Otro elemento que llamó la atención es el papel que desempeñó la inteligencia artificial en el descubrimiento y análisis de las fallas.
La empresa de ciberseguridad Wiz informó que utilizó herramientas como Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol durante la investigación.
Según sus investigadores, las vulnerabilidades estaban relacionadas con código existente desde hacía años, pero la IA permitió acelerar tareas complejas de análisis, desarrollo de pruebas y adaptación de exploits a diferentes configuraciones.
OpenAI también informó que la firma Calif identificó una vulnerabilidad crítica utilizando GPT-5.6 Sol y que posteriormente hubo coordinación entre investigadores, mantenedores de PHP y compañías de seguridad para desarrollar y distribuir las correcciones.
¿Qué deben hacer los propietarios de sitios web?
Las recomendaciones de las agencias de ciberseguridad son concretas: identificar inmediatamente qué servidores y aplicaciones utilizan PHP y actualizar las versiones vulnerables.
Las versiones corregidas publicadas incluyen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Sistemas antiguos que ya no reciben soporte necesitan una evaluación particular y, en muchos casos, una migración hacia versiones actualizadas.
WordPress aclaró además que el problema se encuentra en PHP y no específicamente en su plataforma, por lo que la solución pasa principalmente por actualizar la versión de PHP utilizada por el servidor o proveedor de hosting.
La recomendación internacional es que, cuando una actualización inmediata no sea posible, los administradores evalúen aislar o retirar temporalmente de internet los sistemas vulnerables hasta completar las medidas de seguridad.
Los problemas fueron registrados como CVE-2026-109618 y CVE-2026-109619 y recibieron una calificación de 9,2 sobre 10 en la escala internacional de severidad CVSS.
La gravedad radica en que, bajo determinadas condiciones, un atacante podría ejecutar código malicioso de manera remota en un servidor vulnerable sin necesidad de contar previamente con usuario o contraseña.
El equipo de PHP publicó las actualizaciones de seguridad el 21 de octubre, mientras organismos especializados recomendaron instalarlas inmediatamente y priorizar todos los sistemas conectados directamente a internet.
¿Qué es PHP?
PHP, cuyo nombre actual corresponde a PHP: Hypertext Preprocessor, es un lenguaje de programación que funciona principalmente del lado del servidor.
En términos sencillos, cuando una persona ingresa a una página web, PHP puede encargarse de consultar una base de datos, procesar formularios, gestionar usuarios, preparar contenido y generar la información que finalmente aparece en el navegador.
Su presencia en internet es enorme.
Según datos de W3Techs correspondientes al 21 de octubre de 2026, PHP es utilizado por aproximadamente el 69,3% de los sitios web cuyo lenguaje de servidor puede identificarse.
También está presente detrás de plataformas ampliamente utilizadas como WordPress, Drupal, Joomla y MediaWiki, entre otras.
¿Por qué la falla genera tanta preocupación?
El problema no afecta solamente a una aplicación específica construida con PHP.
Los investigadores determinaron que las vulnerabilidades están relacionadas con componentes centrales del propio lenguaje, lo que amplía considerablemente la superficie potencial de exposición.
De acuerdo con CERT-EU, las configuraciones que utilizan PHP para atender solicitudes web pueden estar afectadas, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Una explotación exitosa podría permitir, dependiendo del sistema comprometido, tomar control del servidor, acceder a información sensible, modificar contenidos o dejar servicios fuera de funcionamiento.
Sitios gubernamentales fueron desconectados
La dimensión del riesgo llevó a diferentes organismos a optar por una medida preventiva extrema: desconectar temporalmente páginas y servicios mientras se instalaban las actualizaciones.
En Países Bajos, por ejemplo, el Gobierno confirmó que varias páginas oficiales fueron retiradas preventivamente de internet ante las vulnerabilidades detectadas en PHP. Entre los servicios afectados estuvieron sitios gubernamentales y plataformas públicas.
Situaciones similares se registraron en otros países de Europa y otras regiones mientras administradores de sistemas aceleraban el proceso de actualización.
Inteligencia artificial ayudó a descubrir las vulnerabilidades
Otro elemento que llamó la atención es el papel que desempeñó la inteligencia artificial en el descubrimiento y análisis de las fallas.
La empresa de ciberseguridad Wiz informó que utilizó herramientas como Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol durante la investigación.
Según sus investigadores, las vulnerabilidades estaban relacionadas con código existente desde hacía años, pero la IA permitió acelerar tareas complejas de análisis, desarrollo de pruebas y adaptación de exploits a diferentes configuraciones.
OpenAI también informó que la firma Calif identificó una vulnerabilidad crítica utilizando GPT-5.6 Sol y que posteriormente hubo coordinación entre investigadores, mantenedores de PHP y compañías de seguridad para desarrollar y distribuir las correcciones.
¿Qué deben hacer los propietarios de sitios web?
Las recomendaciones de las agencias de ciberseguridad son concretas: identificar inmediatamente qué servidores y aplicaciones utilizan PHP y actualizar las versiones vulnerables.
Las versiones corregidas publicadas incluyen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Sistemas antiguos que ya no reciben soporte necesitan una evaluación particular y, en muchos casos, una migración hacia versiones actualizadas.
WordPress aclaró además que el problema se encuentra en PHP y no específicamente en su plataforma, por lo que la solución pasa principalmente por actualizar la versión de PHP utilizada por el servidor o proveedor de hosting.
La recomendación internacional es que, cuando una actualización inmediata no sea posible, los administradores evalúen aislar o retirar temporalmente de internet los sistemas vulnerables hasta completar las medidas de seguridad.