Ciudad de México,
Axel Olivares
Crédito foto: Axel Olivares (NotiPress)
Agencias gubernamentales, hospitales, universidades y empresas de distintos países desconectaron sus sitios web este miércoles 21 de octubre ante el riesgo de ciberataques derivados de dos vulnerabilidades críticas en PHP (Hypertext Preprocessor). La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó aplicar actualizaciones inmediatamente o retirar de internet los sistemas que no pudieran protegerse.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de gravedad de 9,2 sobre 10. Ambas podrían permitir la ejecución remota de código malicioso en servidores vulnerables, incluso sin disponer de credenciales de acceso.
La NSA advirtió que estas fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor". Su explotación podría facilitar el robo de información, la modificación de archivos o el control de servicios digitales.
Las vulnerabilidades fueron reportadas en agosto por la firma de seguridad Calif y OpenAI, que las identificaron de manera independiente el mismo día. Posteriormente, Wiz, empresa de seguridad en la nube propiedad de Google, descubrió otras formas de explotarlas.
Los desarrolladores de PHP recibieron inicialmente los reportes de manera confidencial para preparar las correcciones. Sin embargo, los detalles se filtraron el martes 20 de octubre, un día antes de la publicación prevista de las actualizaciones.
Las interrupciones alcanzaron a:
Entidades globales de gran envergadura como la Fundación Wikimedia (responsable de Wikipedia) y la plataforma WordPress (que hace funcionar cerca del 40% de la web global) también experimentaron pausas y cortes de mitigación obligatorios durante las horas críticas del incidente.
PHP es un lenguaje de programación utilizado para desarrollar sitios web y aplicaciones de internet. A diferencia del código que funciona directamente en el navegador del usuario, PHP se ejecuta principalmente en los servidores, donde procesa solicitudes, consulta bases de datos y prepara el contenido que aparece en pantalla.
Su uso está muy extendido en plataformas como WordPress, Joomla!, Drupal y Moodle. Está presente en cerca del 70% de los sitios web cuyo lenguaje de programación del servidor puede identificarse. Por eso, una falla de seguridad en PHP puede afectar a organizaciones de distintos países que utilizan la misma tecnología.
El problema descubierto está relacionado con dos errores en la forma en que PHP administra la memoria del servidor. Uno puede provocar que el programa utilice información que no fue inicializada correctamente. El otro permite que determinados datos sigan siendo accesibles después de que se haya liberado el espacio de memoria que ocupaban.
En determinadas condiciones, los atacantes podrían aprovechar estos errores para ejecutar instrucciones maliciosas a distancia, sin conocer las contraseñas del servidor. Esto podría permitirles acceder a información almacenada, modificar archivos o comprometer el funcionamiento de una página web.
La PHP Foundation, organización que financia a desarrolladores del lenguaje, advirtió: "Si utiliza PHP, es imperativo actualizarlo de inmediato".
Sin embargo, no todos los sitios que utilizan PHP presentan necesariamente el mismo riesgo. La exposición depende de la versión instalada, la configuración del servidor y las medidas de protección disponibles. Los administradores deben instalar las correcciones correspondientes, mientras que los usuarios que simplemente navegan por internet no necesitan modificar sus navegadores ni instalar PHP.