Una vulnerabilidad obliga a desconectar webs en todo el mundo
Agencias gubernamentales y empresas de todo el mundo cerraron sus sitios web este miércoles (21.10.2026) después de que salieran a la luz dosfallas críticas relacionadas con PHP, un lenguaje de programación que sirve de base para una gran parte de internet. La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a aplicar parches de inmediato o desconectar los sistemas vulnerables.
Las fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor", señaló la NSA en un comunicado en X. Los atacantes podrían utilizarlas para tomar control de servidores web sin necesidad de una contraseña. PHP sirve de base para populares plataformas de diseño web, por lo que las debilidades potencialmente afectan a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales.
En Alemania, la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) alertó también del riesgo de ciberataques e instó en un comunicado "a los responsables de seguridad informática y a los operadores a que las instalen de inmediato" las actualizaciones correspondientes. "Consideramos probable que se produzca un aprovechamiento a gran escala y a corto plazo, en las pocas horas siguientes a la publicación de las actualizaciones de seguridad", dijo Thomas Caspers, vicepresidente de la BSI.
"Si utiliza PHP, es imperativo actualizarlo"
Llamamientos similares han hecho las administraciones de países como Japón o Países Bajos, así como la propia fundación que promueve este lenguaje de programación. "Si utiliza PHP, es imperativo actualizarlo de inmediato", señaló en una entrada de blog la PHP Foundation, que financia a los desarrolladores que trabajan en el lenguaje. El hallazgo se produjo en medio de un auge de divulgaciones sobre seguridad de software impulsado por modelos de inteligencia artificial (IA) cada vez más potentes. De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord alcanzado el año pasado.
Las fallas fueron reportadas en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que las señaló de forma independiente el mismo día. Posteriormente, Wiz, una empresa de seguridad en la nube propiedad de Google, informó de más formas de explotarlas. En ese momento, las fallas se comunicaron en privado a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una corrección. Los detalles se filtraron en línea el martes, un día antes del lanzamiento previsto, lo que provocó una carrera contrarreloj para desconectar sitios.
En Alemania, por ejemplo, según informó el diario Bild, el Hospital Universitario Charité de Berlín, entre otras instituciones, desconectó su página web como medida preventiva. "Numerosas administraciones públicas, universidades y hospitales retiraron el miércoles sus páginas web de la red como medida de precaución", señaló el diario más leído de Alemania en su edición digital. El país está especialmente amenazado por el cibercrimen con IA. DW