Una falla en PHP puso en alerta a miles de sitios web: qué pasó y qué debes hacer
Dos errores de seguridad en PHP, una tecnología que utilizan millones de páginas web, obligaron a publicar actualizaciones de emergencia. Algunas instituciones incluso desconectaron sus sitios para protegerlos. La inteligencia artificial ayudó a descubrir el peligro.
El 21 de octubre de 2026 ocurrió algo poco habitual: organismos de ciberseguridad de Europa y Estados Unidos recomendaron actualizar urgentemente un programa que la mayoría de las personas probablemente nunca ha visto, aunque lo utiliza indirectamente casi todos los días.
Se llama PHP. Y dos errores en su funcionamiento podrían permitir que alguien entre a determinados servidores de internet sin conocer ninguna contraseña.
La gravedad de la alerta llevó a algunas instituciones públicas a desconectar temporalmente sus páginas web. Mientras tanto, equipos de seguridad de distintos países comenzaron a instalar las correcciones.
La historia tiene otro ingrediente: la inteligencia artificial participó en el descubrimiento de los errores. Y uno de ellos ya había despertado sospechas en 2024, pero seguía sin resolverse.
Primero, ¿qué es PHP y por qué debería importarte?
Cuando entras a una página web, tu navegador recibe información de una computadora que puede estar a miles de kilómetros. Esa computadora se llama servidor.
Muchas páginas necesitan hacer algo más que mostrar textos y fotografías. Deben comprobar contraseñas, consultar bases de datos, procesar formularios, recuperar artículos o preparar información personalizada.
PHP es uno de los lenguajes de programación que permiten realizar esas tareas.
Por ejemplo, cuando entras a un blog construido con WordPress, PHP puede intervenir para buscar el artículo solicitado, recuperar su contenido y preparar la página que finalmente aparece en tu pantalla.
Lo interesante es que normalmente nunca ves ese trabajo. PHP funciona en el servidor, antes de que recibas la página.
También se utiliza en tiendas digitales, aplicaciones empresariales y servicios de instituciones públicas.
Según los datos recogidos por Reuters, PHP está presente en cerca del 70 % de los sitios web cuyo lenguaje de servidor puede identificarse. Eso no significa que el 70 % de internet haya sido atacado ni que todos esos sitios tengan exactamente la misma exposición al problema.
Significa que estamos hablando de una tecnología muy extendida. Y cuando aparece un error grave en una tecnología tan utilizada, el número de sistemas que deben revisarse puede ser enorme.
¿Qué encontraron exactamente?
El equipo responsable de PHP publicó el 21 de octubre cuatro actualizaciones para corregir dos vulnerabilidades de seguridad.
Una vulnerabilidad es un error que puede aprovecharse para conseguir algo que el programa no debería permitir.
En este caso, las dos fallas afectan a mecanismos internos relacionados con la memoria de los servidores.
Para entenderlo, piensa en la memoria como una mesa de trabajo. Un programa coloca temporalmente información sobre esa mesa, la utiliza y después libera el espacio para otras tareas.
Los errores encontrados pueden provocar que PHP interprete como válida información que quedó incompleta o que intente utilizar un espacio de memoria que ya había liberado.
Esos fallos pueden aprovecharse para conseguir algo mucho más peligroso que bloquear una página: ejecutar instrucciones en el servidor.
En seguridad informática esto se conoce como ejecución remota de código. Significa que una persona atacante puede conseguir que una computadora ejecute instrucciones enviadas desde otro lugar.
En determinadas configuraciones vulnerables, el ataque puede comenzar sin iniciar sesión y antes de que se ejecute el código de la aplicación que normalmente procesa las solicitudes.
Las vulnerabilidades recibieron los identificadores CVE-2026-109618 y CVE-2026-109619. Cada una obtuvo una calificación de gravedad de 9,2 sobre 10 en la escala CVSS 4.0, utilizada para evaluar problemas de seguridad informática.
Es una calificación crítica.
¿Qué podría hacer alguien que aproveche estas fallas?
Depende de cómo esté configurado el servidor, de sus permisos y de las demás protecciones que tenga instaladas.
En el peor escenario, una persona atacante podría ejecutar programas maliciosos, acceder a información que el servidor tenga permiso para consultar, modificar archivos o intentar comprometer otros sistemas conectados.
Si una aplicación almacena datos personales, credenciales o información comercial, esos contenidos podrían quedar expuestos en determinadas circunstancias.
Pero hay una diferencia que conviene mantener presente: que una vulnerabilidad permita un ataque no significa que ese ataque ya haya ocurrido.
La existencia de las dos fallas está confirmada. También existen demostraciones técnicas de que pueden explotarse. Eso no equivale a afirmar que todas las páginas vulnerables hayan sido comprometidas o que se haya producido una filtración masiva de datos.
¿Por qué algunas páginas dejaron de funcionar?
Las alertas provocaron una respuesta preventiva.
Reuters informó que sitios de instituciones gubernamentales europeas y de otras regiones quedaron temporalmente fuera de servicio mientras se tomaban medidas de protección.
La Agencia de la Unión Europea para la Ciberseguridad, ENISA, publicó una recomendación conjunta con instituciones europeas, Europol y equipos nacionales de respuesta a incidentes informáticos.
La instrucción principal fue identificar los sistemas que utilizan PHP, coordinarse con sus proveedores de alojamiento e instalar las actualizaciones. La prioridad debía estar en los servidores accesibles directamente desde internet.
Cuando una organización no puede corregir inmediatamente una vulnerabilidad de esta gravedad, desconectar temporalmente el sistema puede ser una medida prudente.
Es parecido a cerrar una tienda mientras se repara una puerta que podría permitir el acceso a una zona restringida.
La tienda deja de atender durante un tiempo, pero eso no significa que alguien haya entrado a robar.
Por eso sería incorrecto interpretar todas las interrupciones como pruebas de ataques informáticos.
La inteligencia artificial ayudó a descubrir el problema
Una de las partes más interesantes de esta historia es cómo se descubrieron las vulnerabilidades.
La empresa de seguridad Calif utilizó GPT-5.6 Sol, un modelo de inteligencia artificial de OpenAI, durante su investigación del código de PHP.
La firma Wiz también identificó y reportó las dos vulnerabilidades de manera independiente.
La investigación contó con la participación de equipos humanos que analizaron los resultados, comprobaron los problemas y colaboraron en la preparación de las correcciones.
La inteligencia artificial puede ayudar a examinar grandes cantidades de código, encontrar comportamientos inesperados y explorar combinaciones que sería costoso comprobar manualmente.
En este caso, esa capacidad contribuyó a demostrar que ciertos errores internos podían convertirse en ataques reales.
OpenAI presentó el trabajo como parte de su iniciativa Patch the Planet, dedicada a coordinar el descubrimiento y la corrección de vulnerabilidades en programas utilizados ampliamente.
También participaron empresas de infraestructura y seguridad que ayudaron a preparar medidas de protección antes de la publicación oficial.
Pero hay una pregunta inevitable: si una inteligencia artificial puede ayudar a encontrar errores que permiten entrar a un servidor, ¿qué impide que alguien utilice herramientas similares para buscar esos mismos errores con intenciones maliciosas?
No existe una garantía de que eso no ocurra.
Precisamente por esa razón, el descubrimiento de una vulnerabilidad debe acompañarse de un proceso que permita corregirla antes de divulgar instrucciones que faciliten su explotación.
Lo más inquietante: uno de los errores ya había sido detectado en 2024
La PHP Foundation, organización que contribuye al desarrollo y mantenimiento de PHP, publicó una explicación sobre lo ocurrido.
En 2024, durante trabajos relacionados con una auditoría de seguridad, se encontraron indicios del problema de memoria que posteriormente se identificaría como CVE-2026-109618.
En ese momento se sospechaba que podía existir una forma de aprovecharlo, pero no se había demostrado una vía concreta para ejecutar instrucciones maliciosas de manera remota.
El equipo de seguridad estudió diferentes soluciones. Algunas podían romper la compatibilidad con programas existentes. Otras introducían nuevos riesgos o exigían modificar numerosas extensiones utilizadas por aplicaciones de terceros.
Las decisiones se retrasaron.
La fundación reconoció que el problema estuvo relacionado con sus procesos internos y con la escasez de personal especializado disponible para resolver errores tan complejos.
En agosto de 2026, las investigaciones de Calif, OpenAI y Wiz permitieron demostrar el verdadero alcance de la vulnerabilidad. A partir de entonces, su corrección recibió máxima prioridad.
La PHP Foundation calificó la demora como una falla estructural y anunció cambios en sus procedimientos para resolver futuros problemas de seguridad con mayor rapidez.
Esta parte de la historia muestra una dificultad poco visible de internet: una enorme cantidad de servicios depende de programas abiertos que necesitan mantenimiento permanente, mientras los equipos responsables de protegerlos pueden tener recursos limitados.
¿Por qué las actualizaciones llegaron precisamente el 21 de octubre?
El equipo de PHP había organizado una publicación coordinada de las correcciones.
La idea era que las empresas de alojamiento, distribuciones de software y organizaciones responsables de servidores tuvieran tiempo para preparar sus actualizaciones.
Pero el 20 de octubre comenzaron a circular en internet los identificadores de las vulnerabilidades y algunos datos incorrectos sobre su gravedad.
La PHP Foundation explicó que una empresa investigadora publicó accidentalmente un video con una demostración técnica. Aunque el video fue retirado, comenzaron a circular copias.
También hubo una publicación anticipada de componentes corregidos antes de que las actualizaciones estuvieran disponibles para todo el mundo.
Ante esta situación, el equipo adelantó un día la publicación oficial, que inicialmente estaba prevista para el 22 de octubre.
El 21 de octubre llegaron las correcciones para las versiones de PHP que todavía reciben mantenimiento de seguridad.
¿Qué pasa con WordPress?
WordPress es uno de los sistemas más conocidos para publicar páginas web y blogs. Utiliza PHP para ejecutar buena parte de sus funciones.
Por eso, el proyecto WordPress publicó una advertencia específica sobre estas vulnerabilidades.
Pero el problema no está en una función particular de WordPress, ni en un tema visual, ni en un plugin.
Está en PHP, que funciona por debajo de WordPress.
Eso significa que actualizar únicamente WordPress no resuelve estas dos vulnerabilidades.
Es necesario que el servidor utilice una versión corregida de PHP.
Y lo mismo aplica a otras aplicaciones construidas con este lenguaje.
¿Cómo saber si una página está protegida?
Si solamente visitas páginas web, no necesitas instalar PHP ni buscar una actualización en tu teléfono o computadora.
Las correcciones corresponden a quienes administran los servidores.
Si tienes un blog, una tienda digital o una página empresarial, conviene comprobar qué versión de PHP utiliza tu alojamiento web.
Las versiones corregidas publicadas el 21 de octubre son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si utilizas WordPress, puedes consultar la versión instalada desde el panel de administración. Entra a Herramientas, después a Salud del sitio, selecciona Información y busca el apartado Servidor.
Si utilizas un proveedor de alojamiento, también puedes revisar su panel de control o preguntarle directamente si ya aplicó las correcciones de seguridad publicadas el 21 de octubre de 2026.
Si tu servidor utiliza PHP 8.1 o una versión anterior, debes tener especial cuidado: esas versiones ya no reciben actualizaciones de seguridad del proyecto PHP.
Antes de modificar manualmente la versión, conviene hacer una copia de seguridad y comprobar que la aplicación sea compatible con la actualización.
En servicios administrados, el proveedor puede encargarse de ese proceso.
Los equipos responsables de PHP advierten que las protecciones temporales no sustituyen la actualización. Instalar una versión corregida es la solución recomendada.
¿Debes cambiar tus contraseñas?
La publicación de estas vulnerabilidades no significa que todas las contraseñas de internet hayan quedado expuestas.
Tampoco existe una razón para cambiar automáticamente todas tus contraseñas únicamente porque utilizas páginas construidas con PHP.
Si una empresa confirma que sufrió una intrusión y que tus datos pudieron verse afectados, entonces sí debes seguir sus instrucciones, cambiar las credenciales comprometidas y revisar la seguridad de tus cuentas.
Mientras tanto, utilizar contraseñas diferentes para cada servicio y activar la autenticación de dos factores continúa siendo una buena medida de protección.
Esas precauciones no reparan los servidores vulnerables, pero pueden limitar algunos daños cuando se produce una filtración de credenciales.
Lo que esto significa
Esta noticia no significa que internet haya dejado de ser seguro de un día para otro.
Significa que se descubrieron dos errores graves en una tecnología que lleva décadas funcionando dentro de una enorme cantidad de servicios digitales.
Las actualizaciones ya existen. Ahora el trabajo consiste en instalarlas y comprobar que los sistemas afectados estén protegidos.
La inteligencia artificial permitió acelerar una investigación que había encontrado dificultades durante años. Pero descubrir errores más rápido también obliga a corregirlos más rápido.
Y ahí aparece una pregunta que seguirá siendo relevante después de esta emergencia: ¿tienen los proyectos de software de los que depende internet suficientes recursos para protegerlos?
La PHP Foundation reconoce que necesita ampliar su capacidad de respuesta. Su experiencia demuestra que encontrar una falla es apenas una parte del trabajo. Corregirla sin romper los programas que dependen de ella puede ser mucho más complicado.
Para la mayoría de las personas, la consecuencia inmediata será probablemente invisible: páginas que continúan funcionando porque alguien actualizó a tiempo sus servidores.
Y para quienes administran una web, la recomendación es concreta: comprobar hoy mismo la versión de PHP y confirmar que la corrección esté instalada.
Bibliografía
- PHP: anuncios oficiales y actualizaciones de seguridad del 21 de octubre de 2026.
- PHP Foundation: explicación de las vulnerabilidades, antecedentes desde 2024 y cambios en los procedimientos de seguridad.
- ENISA: comunicado conjunto europeo sobre las vulnerabilidades críticas de PHP.
- WordPress: recomendaciones oficiales para propietarios de sitios web.
- OpenAI: Patch the Planet y el descubrimiento de vulnerabilidades mediante inteligencia artificial.
- Reuters: qué es PHP y por qué algunas páginas gubernamentales dejaron de funcionar.
- Reuters: publicación de las correcciones y antecedentes de las vulnerabilidades.
Comentarios
Publicar un comentario