Fallo crítico PHP 2026: webs gubernamentales caen

Una vulnerabilidad crítica en PHP revelada el 21 de octubre de 2026 obligó a agencias gubernamentales de Europa a retirar webs mientras aplican parches de emergencia. PHP, lenguaje de código abierto que impulsa cerca del 70% de los sitios, incluidos WordPress, Wikipedia y Slack, contiene dos fallas que permiten ejecución remota de código sin autenticación. La gravedad provocó cierres preventivos en Bélgica, Países Bajos, Finlandia, Francia y Alemania; el servicio neerlandés de identidad digital y el Puerto de Róterdam estuvieron entre los sistemas suspendidos.

¿Qué es la vulnerabilidad PHP y cómo se encontró?

Las dos fallas, CVE-2026-109618 y CVE-2026-109619, tienen una puntuación CVSS de 9.2 y afectan a PHP 5.4 hasta 8.5.11. Investigadores ayudados por inteligencia artificial hallaron estas vulnerabilidades de una década; la PHP Foundation las calificó como las más importantes jamás encontradas por IA. El 21 de octubre se publicaron las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Apache con mod_php está especialmente expuesto, aunque PHP-FPM, php-cgi, FrankenPHP y LiteSpeed también podrían verse afectados. El incidente resalta los riesgos de los fallos de seguridad de código abierto que pueden permanecer ocultos durante años.

¿Qué webs gubernamentales se retiraron?

Los cierres preventivos se extendieron por Europa el 21 de octubre. En Países Bajos cayeron Overheid.nl, MijnOverheid.nl, DigiD, el Puerto de Róterdam, la KNVB, webs de partidos y hospitales. Finlandia suspendió servicios de Valtori; Francia retiró la prefectura de policía de París; Bélgica y Alemania siguieron con sistemas públicos. Dinamarca cerró Kombit, mientras consejos británicos de Edimburgo, Bristol y Oxford y la Dirección de Señales de Australia también se vieron afectados. La NSA y el NCSC británico instaron a retirar sistemas si no se podían parchear de inmediato. Esta ola subraya la fragilidad de los servicios digitales gubernamentales europeos.

Cómo parchear y proteger sistemas PHP

Las agencias recomiendan una respuesta estructurada para reducir la exposición:

1. Inventariar todas las instalaciones PHP, incluido hosting compartido y aplicaciones heredadas.
2. Priorizar sistemas expuestos a internet que aceptan entradas no confiables.
3. Aplicar parches 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o usar backports del proveedor.
4. Verificar actualizaciones de cargas de trabajo en la nube e imágenes de contenedores.
5. Revisar registros del servidor en busca de actividad sospechosa o intentos de explotación.
6. Restaurar servicios suspendidos solo tras confirmar la corrección.

Dane Knecht, de Cloudflare, calificó las actualizaciones de reglas de firewall como una 'medida provisional' y enfatizó la necesidad de una gestión de parches de emergencia. Las organizaciones también deben usar herramientas de escaneo de vulnerabilidades para confirmar la remediación.

Impacto global y opiniones expertas

Amazon informó de un intento de explotación en un honeypot cuatro días antes de la divulgación pública, lo que sugiere que ya probaban las fallas. Como PHP sostiene WordPress y muchos gestores de contenido, los expertos advierten de una larga cola de sitios sin parchear en hosting compartido. 'Las actualizaciones de reglas de firewall son solo una medida provisional', dijo Dane Knecht, de Cloudflare, urgiendo a parchear de inmediato. Agencias de Europa, Australia, Japón y Reino Unido emitieron alertas, y los ataques asistidos por IA podrían amplificar la amenaza. Este evento pone a prueba la coordinación global de respuesta a incidentes de ciberseguridad.

FAQ

¿Qué es la vulnerabilidad PHP?

Son dos fallas críticas, CVE-2026-109618 y CVE-2026-109619, que permiten ejecución remota de código sin autenticación.

¿Qué versiones de PHP están afectadas?

PHP 5.4 a 8.5.11. Parches: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

¿Por qué se retiraron webs gubernamentales?

Como precaución, porque las fallas podían dar acceso directo al sistema de archivos antes de parchear.

¿WordPress está afectado?

Sí, WordPress funciona sobre PHP; cualquier sitio sin parchear está en riesgo hasta actualizar el servidor.

¿Cómo protejo mi web?

Aplique la versión PHP parcheada, priorice sistemas expuestos, revise registros y use un firewall de aplicaciones web como medida temporal.

Conclusión

La vulnerabilidad crítica de PHP de octubre de 2026 recuerda que el software fundacional de código abierto puede tener riesgos ocultos. Gobiernos y empresas deben parchear ahora y vigilar ataques secundarios, pues la larga cola de sistemas sin parchear probablemente persista durante meses.