El miércoles 21 de octubre se desató una alerta mundial de ciberseguridad que provocó la caída de cientos de sitios pertenecientes a dependencias gubernamentales, firmas privadas e instituciones de distintos países. El origen fue la detección de dos fallas críticas en PHP, uno de los lenguajes más utilizados para operar páginas y servicios en la web.

Las vulnerabilidades permiten que atacantes ejecuten código malicioso en servidores afectados sin necesidad de credenciales, lo que abre la puerta a posibles accesos no autorizados, modificación de archivos, robo de datos o desestabilización de servicios. Dada la magnitud del riesgo, autoridades y entidades de seguridad recomendaron desconectar temporalmente los sitios afectados hasta que pudieran aplicarse las actualizaciones.

El impacto fue especialmente notable en Europa, donde quedaron fuera de línea portales gubernamentales, instituciones educativas, hospitales y otros servicios digitales. Las desconexiones respondieron, en gran medida, a medidas preventivas para evitar ataques futuros y no a una caída generalizada de Internet.

La alerta se activó luego de que los responsables de PHP advirtieran sobre dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619, ambas evaluadas con una gravedad de 9,2 sobre 10 en el sistema de puntuación CVSS, es decir, clasificaciones críticas.

El principal riesgo asociado a estas debilidades es que delincuentes cibernéticos podrían explotar las fallas para ejecutar instrucciones de forma remota en servidores vulnerables, obtener acceso a información, modificar archivos o interrumpir servicios.

Con la magnitud de la amenaza, el CERT-EU (Equipo de Respuesta a Emergencias Informáticas de la Unión Europea) recomendó que las organizaciones que no pudieran aplicar las correcciones de inmediato aíslen sus sistemas de las redes públicas. Esa directiva provocó una oleada de desconexiones preventivas en miles de servidores a nivel mundial.

La Agencia Nacional de Seguridad de Estados Unidos (NSA) comunicó, mediante X, que se deben desconectar sistemas que no puedan actualizarse de inmediato: “Con efecto inmediato, se recomienda a todas las organizaciones que utilicen PHP en sus sistemas que se preparen para una actualización que solucione dos vulnerabilidades críticas. PHP se utiliza ampliamente en aplicaciones web. Si no es posible realizar la actualización de inmediato, se recomienda desconectar el sistema hasta que la vulnerabilidad esté mitigada por completo. La NSA proporcionará más orientación específica próximamente”.

La noticia también tuvo eco en la escena internacional: la primera ministra de Japón, Sanae Takaichi, publicó desde su cuenta en X una intervención al respecto, solicitando acciones ante la situación.