Dos vulnerabilidades calificadas con una gravedad de 9.2 sobre 10 obligaron a publicar actualizaciones de emergencia. Plataformas desarrolladas con PHP, incluido WordPress, podrían quedar expuestas a ataques capaces de comprometer sus servidores si no aplican las correcciones.
Una alerta internacional de ciberseguridad provocó este miércoles el cierre preventivo de numerosos portales gubernamentales y servicios digitales tras descubrirse dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de páginas web.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir que atacantes ejecuten instrucciones maliciosas directamente en servidores vulnerables sin necesidad de contar previamente con una contraseña o una cuenta autorizada.
Ambas recibieron una calificación de 9.2 sobre 10 en el sistema CVSS 4.0, utilizado internacionalmente para medir la gravedad de vulnerabilidades informáticas.
Ante el alcance del problema, los responsables de PHP publicaron actualizaciones de emergencia el 21 de octubre e hicieron un llamado a los administradores de sistemas para instalarlas inmediatamente.
¿Qué ocurrió y por qué representa una amenaza?
PHP es un lenguaje de programación que funciona principalmente en los servidores que alojan páginas web. Permite procesar formularios, gestionar usuarios, consultar bases de datos, realizar operaciones comerciales y generar contenido dinámico.
Su utilización en plataformas como WordPress, Drupal y otros sistemas de gestión de contenido convierte cualquier falla importante en un riesgo potencial para una parte considerable de la infraestructura de internet.
Las dos vulnerabilidades descubiertas afectan componentes internos relacionados con la administración de memoria y el procesamiento de solicitudes.
La primera, CVE-2026-109618, está relacionada con errores en el manejo de situaciones en las que PHP alcanza determinados límites de memoria. Bajo condiciones específicas, el fallo puede provocar que información interna incompleta sea procesada incorrectamente.
La segunda, CVE-2026-109619, involucra información interna que permanece disponible después de haberse liberado la memoria que la contenía. Esto podría permitir que solicitudes posteriores utilicen datos que ya no deberían estar accesibles.
En ambos casos, determinadas solicitudes manipuladas podrían desencadenar una ejecución remota de código, mecanismo conocido como RCE por sus siglas en inglés.
Un ataque exitoso podría permitir la modificación de archivos, instalación de programas maliciosos, interrupción de servicios y acceso no autorizado a información almacenada en el servidor, dependiendo de los permisos y las protecciones del sistema comprometido.
Países europeos desconectan servicios gubernamentales
La situación provocó respuestas preventivas de organismos públicos europeos antes de que las correcciones estuvieran disponibles.
En Países Bajos, el Centro Nacional de Ciberseguridad confirmó la identificación de las vulnerabilidades y decidió desconectar temporalmente su propio portal.
El Gobierno neerlandés también informó de suspensiones preventivas de servicios como Overheid.nl, MijnOverheid.nl y DigiD, utilizados por ciudadanos para acceder a información y realizar trámites oficiales.
Las autoridades aclararon que las interrupciones respondían a medidas de seguridad y que no existían, al momento de sus comunicaciones iniciales, indicios confirmados de explotación activa en sus sistemas.
Finlandia adoptó medidas similares. El centro gubernamental responsable de servicios tecnológicos, Valtori, comenzó a desconectar plataformas públicas durante la jornada. Entre los servicios afectados se encontraba el portal de la agencia nacional de información territorial.
El Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea, CERT-EU, recomendó identificar los sistemas afectados y considerar su aislamiento temporal cuando no fuera posible aplicar inmediatamente las correcciones.
WordPress también está expuesto: ¿qué significa para sus usuarios?
Una de las principales preocupaciones está relacionada con WordPress, plataforma utilizada por millones de páginas informativas, comercios electrónicos, blogs y portales empresariales.
La vulnerabilidad no se encuentra específicamente en WordPress, sino en el lenguaje PHP que utilizan sus servidores.
Esta distinción resulta importante porque mantener WordPress, sus temas y sus complementos actualizados no garantiza por sí solo que el servidor esté protegido frente a estas dos fallas.
El propio proyecto WordPress publicó un aviso de seguridad en el que pidió a los propietarios de sitios comprobar qué versión de PHP utilizan y contactar a sus proveedores de alojamiento para confirmar la instalación de las correcciones.
También aclaró que no se requiere una actualización especial del núcleo de WordPress para resolver este incidente.
Los sitios alojados en servicios administrados podrían recibir las actualizaciones directamente de sus proveedores. Sin embargo, esto depende de la infraestructura y las políticas de mantenimiento de cada empresa.
Para instalaciones administradas de forma independiente, la responsabilidad de actualizar PHP podría recaer directamente en sus propietarios o técnicos.
La existencia de estas vulnerabilidades no significa que todas las páginas construidas con WordPress hayan sido atacadas. El riesgo depende de la versión instalada, la configuración del servidor, su exposición a internet y las medidas de seguridad aplicadas.
PHP publica cuatro versiones para corregir las vulnerabilidades
El equipo responsable de PHP confirmó la disponibilidad de cuatro actualizaciones destinadas a corregir ambos problemas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las correcciones cubren las ramas correspondientes de PHP que todavía reciben mantenimiento de seguridad por parte del proyecto.
Las instalaciones que utilizan PHP 8.1 o versiones anteriores requieren especial atención porque esas ramas ya no reciben actualizaciones ordinarias del equipo oficial. Algunos proveedores de sistemas operativos y servicios de soporte extendido pueden distribuir sus propias correcciones.
El aviso de seguridad también señala que los entornos que ejecutan PHP como módulo de Apache, conocido como mod_php, presentan un riesgo particularmente elevado debido a que se ha demostrado una vía de explotación capaz de activarse antes de que comience a ejecutarse el código de la aplicación web.
Los desarrolladores advirtieron que las medidas temporales de protección pueden reducir determinadas posibilidades de ataque, pero no sustituyen la instalación de una versión corregida.
Empresas de ciberseguridad detectan intentos de ataque
La empresa Cloudflare informó que había desplegado medidas de protección mediante su sistema de firewall para aplicaciones web y que detectó tráfico malicioso dirigido contra las vulnerabilidades.
Según la compañía, los atacantes modificaron características de sus solicitudes para intentar evadir los mecanismos de defensa.
Esta actividad demuestra que el problema ha pasado de representar un riesgo teórico a convertirse en un objetivo de intentos reales de explotación.
No obstante, detectar tráfico malicioso no significa necesariamente que todos esos intentos hayan tenido éxito. Tampoco permite concluir que exista una cifra determinada de servidores comprometidos a escala mundial.
Los especialistas consideran prioritario reducir el tiempo durante el cual los sistemas permanecen expuestos, particularmente ahora que los detalles técnicos de las fallas son públicos.
¿Qué deben hacer los administradores de páginas web?
Para quienes administran sitios mediante WordPress, el primer paso es identificar la versión de PHP utilizada por el servidor.
La información puede consultarse desde el panel de administración de WordPress siguiendo la ruta Herramientas → Salud del sitio → Información → Servidor.
Si la instalación utiliza una versión vulnerable, corresponde verificar con el proveedor de alojamiento cuándo se aplicará la actualización de seguridad.
Antes de realizar cambios importantes, también es recomendable mantener copias de seguridad, comprobar la compatibilidad de las aplicaciones y revisar los registros del servidor en busca de actividad anormal.
En plataformas con funciones de comercio electrónico, registro de usuarios o procesamiento de información personal, la revisión adquiere especial importancia por las posibles consecuencias de una intrusión.
Los organismos internacionales de ciberseguridad han señalado que, cuando no sea posible corregir inmediatamente una instalación vulnerable, debe evaluarse su aislamiento o desconexión temporal de internet.
La decisión debe considerar la importancia del servicio, el nivel de exposición y los riesgos de mantenerlo accesible sin protección.
Una advertencia sobre la dependencia tecnológica de internet
El incidente evidencia cómo dos vulnerabilidades en un componente ampliamente utilizado pueden generar interrupciones simultáneas en servicios públicos, portales comerciales y plataformas informativas de distintos países.
A diferencia de una falla localizada en una página o aplicación específica, este problema afecta una tecnología compartida por numerosos sistemas que operan de forma independiente.
La respuesta coordinada entre desarrolladores, proveedores de infraestructura y organismos de ciberseguridad permitió distribuir correcciones de emergencia, aunque su efectividad depende ahora de la rapidez con que sean instaladas.
La principal prioridad es actualizar PHP en los servidores vulnerables. Las herramientas de seguridad adicionales pueden ofrecer protección complementaria, pero no eliminan por completo el riesgo asociado con estas fallas.
El episodio constituye una advertencia para gobiernos, empresas y administradores de páginas web sobre la importancia de mantener actualizada no solamente la aplicación visible para el usuario, sino también la infraestructura tecnológica que permite su funcionamiento.
Fuentes consultadas: Equipo de Seguridad de PHP, WordPress.org, CERT-EU, Centro Nacional de Ciberseguridad de Países Bajos, Centro Nacional de Ciberseguridad del Reino Unido, Cloudflare y Yle News.
Información verificada al 21 de octubre de 2026.