Fallas críticas en PHP obligan a apagar webs europeas y aceleran una carrera por actualizar sistemas
Dos vulnerabilidades calificadas con 9,2 puntos sobre 10 podrían permitir a atacantes ejecutar código de forma remota. Agencias europeas de ciberseguridad pidieron actualizar inmediatamente los sistemas, mientras distintos servicios gubernamentales fueron desconectados de manera preventiva.
Gobiernos y empresas europeas aceleraron la protección de su infraestructura digital tras conocerse dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más extendidos para el funcionamiento de sitios y aplicaciones web.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, pueden permitir que un atacante sin autenticación ejecute código malicioso de manera remota sobre servidores vulnerables, con riesgos que incluyen desde robo de información e instalación de malware hasta la interrupción completa de servicios online.
Ambas vulnerabilidades recibieron una puntuación CVSS de 9,2 sobre 10, lo que generó alertas coordinadas de organismos de ciberseguridad europeos y de otros mercados.
El equipo de desarrollo de PHP publicó este miércoles las actualizaciones de seguridad para las versiones soportadas y recomendó instalarlas inmediatamente. Los nuevos lanzamientos son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
El propio proyecto advirtió que no existen mitigaciones alternativas completas y que actualizar constituye la única solución segura para las instalaciones afectadas que procesan solicitudes web.
La magnitud potencial del problema se explica por la presencia de PHP en la infraestructura de Internet. El lenguaje se utiliza para generar contenidos dinámicos, interactuar con bases de datos y procesar operaciones en el backend, y está detrás de una gran cantidad de sitios construidos sobre plataformas como WordPress, Drupal, Joomla y Magento.
Europa recomendó desconectar los sistemas que no pudieran actualizarse
El National Cyber Security Centre (NCSC) del Reino Unido pidió a las organizaciones identificar todos los sistemas que ejecuten PHP, priorizar aquellos accesibles desde Internet y aplicar las actualizaciones tan pronto como estuvieran disponibles.
Cuando no fuera posible implementar una solución inmediata, el organismo recomendó evaluar directamente la posibilidad de desconectar temporalmente los sistemas afectados.
El CERT-EU, responsable de la respuesta a incidentes informáticos de las instituciones y organismos de la Unión Europea, emitió una advertencia similar y recomendó aislar de las redes públicas aquellas aplicaciones expuestas a Internet que no pudieran actualizarse inmediatamente.
La advertencia tuvo consecuencias concretas pocas horas después.
En Países Bajos, varios servicios públicos fueron desconectados preventivamente, entre ellos MijnOverheid.nl, el portal digital del Gobierno, y DigiD, el sistema de identidad utilizado por los ciudadanos neerlandeses para acceder a servicios estatales.
El propio centro nacional de ciberseguridad de Países Bajos apagó temporalmente su sitio por utilizar tecnología potencialmente vulnerable. Distintas dependencias gubernamentales, judiciales y municipales adoptaron medidas similares.
La ciudad de Ámsterdam también confirmó la desconexión temporal de algunos de sus portales, aunque su página principal continuó funcionando porque no estaba afectada.
Los cierres exponen una decisión compleja para cualquier organización frente a una vulnerabilidad de infraestructura: mantener el servicio disponible reduce el impacto operativo inmediato, pero conservar online un servidor expuesto antes de actualizarlo puede generar un riesgo económico mucho mayor.
Cloudflare detectó tráfico de ataque
La urgencia aumentó cuando la compañía de infraestructura de Internet Cloudflare informó que ya había observado tráfico malicioso dirigido contra las vulnerabilidades.
Las fallas, denominadas conjuntamente php2shell, pueden facilitar ataques de denegación de servicio, ejecución remota de código y exposición de datos bajo determinadas configuraciones.
Cloudflare aseguró que desarrolló protecciones para su firewall de aplicaciones web antes de la divulgación pública y posteriormente observó cómo los atacantes modificaban sus cargas maliciosas intentando eludir las defensas implementadas.
La compañía indicó que las protecciones habían sido activadas por defecto para usuarios de sus servicios WAF gratuitos y pagos antes de que los detalles de las vulnerabilidades fueran plenamente públicos.
El episodio vuelve a mostrar cómo el margen de reacción frente a vulnerabilidades críticas se está reduciendo.
Mientras algunos organismos nacionales señalaban inicialmente que no habían detectado explotación confirmada dentro de sus propias redes, Cloudflare sí registró tráfico de ataque contra clientes de su infraestructura global.
El riesgo no termina en la página web corporativa
Para las empresas, identificar el problema no consiste únicamente en determinar si su sitio institucional utiliza PHP.
El lenguaje puede encontrarse integrado en aplicaciones web, plataformas de comercio electrónico, paneles de administración, dispositivos y productos de terceros, por lo que en muchos casos las organizaciones dependerán de sus proveedores para recibir versiones actualizadas.
Por ese motivo, el NCSC británico recomendó seguir de cerca los avisos de seguridad de proveedores externos incluso después de haber actualizado la infraestructura administrada directamente por cada compañía.
Las instalaciones antiguas presentan un desafío adicional.
Las autoridades europeas habían advertido que versiones pertenecientes incluso a la generación PHP 5 podían encontrarse potencialmente afectadas. Sin embargo, las correcciones oficiales fueron publicadas para ramas actualmente soportadas, por lo que las organizaciones que mantienen software obsoleto pueden verse obligadas a actualizar toda la plataforma en lugar de instalar simplemente un parche convencional.
Para grandes compañías que administran cientos o miles de aplicaciones, localizar cada dependencia vulnerable puede convertirse por sí solo en un desafío operativo.
El incidente vuelve así a poner en primer plano el costo empresarial de mantener tecnología legacy y software sin soporte. Un sistema puede seguir funcionando durante años sin inconvenientes visibles, pero convertirse rápidamente en un pasivo cuando aparece una falla crítica para la cual ya no existe una actualización sencilla.
La ciberseguridad se convierte en un problema de continuidad del negocio
La vulnerabilidad aparece en un momento de fuerte dependencia europea de las plataformas digitales para operaciones comerciales, identificación, pagos, atención al cliente y servicios públicos.
Una falla explotable de manera remota en una tecnología tan extendida puede pasar rápidamente de ser un inconveniente del departamento de IT a convertirse en un riesgo económico y de continuidad operativa.
Para las organizaciones capaces de actualizar inmediatamente, el camino es relativamente directo. El problema es mayor para aquellas que dependen de sistemas antiguos, aplicaciones altamente personalizadas o plataformas de terceros que no pueden modificarse sin pruebas previas o interrupciones.
La decisión de distintos organismos neerlandeses de apagar preventivamente servicios digitales relevantes resume esa ecuación: frente a una amenaza crítica, algunas organizaciones pueden considerar preferible una interrupción temporal antes que mantener infraestructura sensible expuesta a un potencial atacante.
Con los parches oficiales ya disponibles, las autoridades europeas buscan ahora que empresas e instituciones pasen rápidamente de las medidas de emergencia a una solución permanente.
La prioridad inmediata es técnica. Pero para las compañías europeas la conclusión es también estratégica: conocer qué tecnologías sostienen sus servicios digitales críticos y garantizar que puedan actualizarse rápidamente ya forma parte de la gestión del riesgo empresarial.
