La alerta ha saltado simultáneamente en todo el mundo. Agencias de ciberseguridad y diferentes plataformas de internet han tenido que actuar con rapidez ante el hallazgo de dos graves vulnerabilidades en PHP. Estos fallos, calificados como graves, ponen en riesgo a millones de servidores y suponen un peligro real de exposición de datos confidenciales.
¿Su principal peligro? Pueden permitir la ejecución remota de código. Esto significa que los ciberdelincuentes pueden tomar el control del servidor a distancia y ejecutar programas maliciosos. Para lograrlo, envían peticiones maliciosas que fuerzan al sistema a fallar mediante la saturación de su memoria o la reutilización de datos obsoletos.
¿Qué es PHP?
Hypertext Preprocessor, comúnmente conocido como PHP, es un lenguaje de programación de código abierto diseñado para crear páginas web y desarrollar aplicaciones en internet. Grandes plataformas como WordPress o Wikipedia se crearon con este lenguaje y, a día de hoy, siguen funcionando sobre su tecnología.
A diferencia de otros lenguajes que funcionan directamente en el navegador, PHP se ejecuta en el servidor web. Esto significa que el servidor ejecuta las instrucciones PHP y envía el resultado al navegador, normalmente en HTML. De esta manera, el usuario puede interactuar con la página, pero no puede acceder directamente al código fuente original.
El problema radica en que las vulnerabilidades graves pueden exponer todo el sistema y dar acceso a datos confidenciales. Esto se debe a que PHP es el sistema que gestiona la lógica interna de las webs y su presencia masiva en la red lo convierte en el objetivo principal de los ciberdelincuentes.
Alerta global por fallos críticos en el núcleo de PHP
El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado sobre varias vulnerabilidades graves de ejecución remota de código que afectan al núcleo de PHP. Identificadas como CVE-2026-109618 y CVE-2026-109619, ambas se han reportado como críticas con una puntuación de 9.2 sobre 10 en la escala de gravedad. Estos fallos de seguridad permiten a los ciberdelincuentes enviar peticiones maliciosas a una web para forzar al servidor a ejecutar sus propios programas a través de un fallo de memoria, al saturar el servidor o mediante la reutilización de datos obsoletos en el mismo.
Dado que el lenguaje PHP es utilizado por casi el 70 % de los sitios web, el impacto es a gran escala y obliga a que millones de sitios web sean reparados. De hecho, esta alerta se ha reportado a nivel mundial, afectando a plataformas de diferente índole, desde portales de juegos hasta gubernamentales. Como medida preventiva, instituciones como Wikimedia, la entidad que hay detrás de la enciclopedia en línea más utilizada (Wikipedia), o la agencia de ciberseguridad de los Países Bajos han desactivado sus portales temporalmente. No obstante, los expertos no descartan que puedan producirse más intentos de burlar estas vulnerabilidades de nuevo.
Esta alerta se produjo gracias a que los modelos de IA de OpenAI descubrieron las vulnerabilidades durante su iniciativa Patch the Planet. De esta manera, se pudo organizar una respuesta global coordinada y evitar que los ciberdelincuentes se aprovechasen de estos fallos.
Millones de ataques en horas
Durante las nueve horas anteriores al anuncio, instituciones de ciberseguridad como Cloudflare detectaron filtraciones de los exploits (código malicioso diseñado para aprovechar las brechas de seguridad) y miles de ciberataques dirigidos a su red global.
Tal como confirmó Matthew Prince, director ejecutivo de Cloudflare, en su cuenta de X, la cifra de ciberataques se disparó progresivamente tras el aviso oficial: pasó de decenas de miles en los primeros 45 minutos a cientos de miles en solo dos horas, llegando a superar el millón.
Ante esta situación, Cloudflare recuerda que el cortafuegos actúa como una capa adicional de defensa que debe seguir activa, pero advierte de que no sustituye la corrección de PHP. Recomiendan que los clientes actualicen de forma inmediata sus instalaciones a las versiones oficiales corregidas.