Organismos públicos y compañías de distintos países retiraron de internet sus sitios web el miércoles, luego de que se conocieran dos vulnerabilidades clasificadas como críticas en PHP, el lenguaje de programación sobre el que funciona una parte considerable de la red. La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió a las organizaciones instalar las actualizaciones sin demora o desconectar los sistemas expuestos.
Ese mismo miércoles, los voluntarios del proyecto PHP publicaron una corrección para resolver el problema. La PHP Foundation, entidad que financia a los desarrolladores del lenguaje, advirtió en su blog que quienes lo utilicen deben actualizarlo de forma inmediata.
¿Qué riesgos representan las vulnerabilidades de PHP para los servidores web?
En un mensaje publicado en X, la NSA explicó que estas fallas suelen abrir un acceso directo al sistema de archivos o a la base de datos del servidor. Mediante ellas, un atacante podría asumir el control de un servidor web sin requerir una contraseña.
Debido a que diversas plataformas de diseño web están construidas sobre PHP, el alcance de las fallas abarca desde tiendas en línea y medios de comunicación hasta servicios gubernamentales.
El descubrimiento ocurre en un periodo en el que han aumentado los reportes de fallas de software, impulsados por modelos de inteligencia artificial (IA). Si se mantiene el ritmo actual, la cantidad de vulnerabilidades identificadas en 2026 podría ser el doble del récord registrado el año anterior.
¿Cómo se descubrieron y filtraron las fallas de PHP?
La firma de seguridad Calif y OpenAI, empresa desarrolladora de ChatGPT, reportaron las fallas en agosto, de manera independiente y el mismo día. Más adelante, Wiz, compañía de seguridad en la nube perteneciente a Google, dio a conocer otras formas de aprovecharlas.
En ese momento, la información se entregó de forma reservada a los desarrolladores de PHP y se mantuvo en confidencialidad mientras se elaboraba la solución. Sin embargo, los detalles se divulgaron en internet el martes, un día antes de la fecha prevista para publicar la corrección, lo que llevó a numerosas organizaciones a desconectar sus sitios con urgencia.
En Francia, el Ministerio del Interior informó que páginas de administraciones locales, entre ellas la de la Prefectura de Policía de París, permanecen fuera de servicio desde la tarde del miércoles. La medida se adoptó a solicitud de la Agencia Nacional de Ciberseguridad francesa, tras identificar una vulnerabilidad de seguridad catalogada como crítica.
En Países Bajos, según la radiodifusora pública NOS, se desconectaron de manera preventiva el servicio nacional de identidad digital DigiD, el portal de la Cámara de Representantes y el del centro nacional de ciberseguridad.