Una alerta internacional de ciberseguridad encendió las alarmas este miércoles, luego de que se detectaran dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en millones de páginas web. La gravedad del problema llevó a organismos de seguridad a recomendar actualizaciones urgentes y la desconexión temporal de los sistemas que no pudieran ser protegidos de inmediato.
Las fallas podrían permitir que un atacante ejecute instrucciones de manera remota en servidores vulnerables, sin necesidad de contar con una contraseña. Esto abre la posibilidad de acceder a archivos, comprometer bases de datos, sustraer información o alterar el funcionamiento de los servicios digitales.
La advertencia fue difundida por organismos de seguridad de Estados Unidos y Europa. La Agencia de Seguridad Nacional estadounidense (NSA) pidió a las organizaciones que utilizan PHP prepararse para instalar las correcciones y aislar los sistemas afectados si no podían actualizarlos rápidamente. La División Cibernética del FBI, en tanto, también emitió un alerta.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensitive data and networks. The FBI urges organizations to take the following steps now: ➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated. ➡️ Immediately update affected PHP installations following the guidance on https://t.co/rDrPSxB3zX. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP. ➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation. ➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/iqgVZIbCru. Those reports help us identify the actors involved and warn other organizations before they become victims. For the latest information, follow PHP’s announcement on https://t.co/rDrPSxB3zX, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.— FBI Cyber Division (@FBICyberDiv) October 21, 2026
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619 y recibieron una calificación de gravedad de 9,2 sobre 10. El riesgo está relacionado con la posibilidad de ejecutar código de forma remota y obtener acceso a recursos sensibles de los servidores.
La recomendación de desconectar temporalmente los sistemas que no pudieran ser actualizados provocó una serie de interrupciones preventivas en distintos países. Las autoridades aclararon que la caída de una página no significa necesariamente que haya sido atacada, sino que puede responder a una medida para reducir los riesgos mientras se aplican las soluciones de seguridad.
Medidas preventivas
En Alemania, varias páginas de la administración federal quedaron temporalmente fuera de servicio. En Francia, el Ministerio del Interior dispuso la desconexión de sitios de distintas prefecturas, mientras que Finlandia interrumpió algunos servicios digitales gubernamentales.
En Países Bajos, las medidas alcanzaron a organismos públicos, hospitales, el puerto de Róterdam y otras instituciones. También la Fundación Wikimedia, responsable de Wikipedia, informó que había desconectado algunos de sus sistemas mientras trabajaba en las actualizaciones.
Japón, por su parte, pidió a los operadores de sitios web que verificaran si utilizaban PHP y se prepararan para instalar los parches correctivos.
El papel de la inteligencia artificial
El descubrimiento de las vulnerabilidades también puso el foco en la inteligencia artificial. Según reportes de empresas de ciberseguridad, estas herramientas contribuyeron a detectar fallas que habían permanecido ocultas durante años en el código de PHP.
Las vulnerabilidades fueron comunicadas de manera coordinada a los desarrolladores para preparar las correcciones antes de divulgar los detalles. Sin embargo, la filtración anticipada de información aceleró las medidas de emergencia.
La recomendación central para los responsables de sistemas es instalar las actualizaciones correspondientes cuanto antes y, si no pueden hacerlo, aislar temporalmente los equipos vulnerables hasta mitigar el riesgo.
