Alerta mundial por dos fallas críticas en PHP: gobiernos y empresas desconectaron cientos de sitios web

Una alerta mundial de ciberseguridad provocó este miércoles la interrupción de cientos de sitios web de gobiernos, empresas e instituciones de distintos países. El problema se originó en el descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más usados para el funcionamiento de páginas y servicios de Internet.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de gravedad de 9,2 sobre 10. Permiten que un atacante ejecute código malicioso en ciertos servidores sin necesidad de contraseña ni credenciales, lo que podría usarse para acceder a información, modificar archivos, robar datos o afectar el funcionamiento de los servicios. «Estas vulnerabilidades suelen proporcionar una vía directa al sistema de archivos o a la base de datos del servidor», advirtió un informe.

Los errores pasaron inadvertidos durante más de diez años y fueron detectados por inteligencia artificial. La empresa de ciberseguridad Wiz afirmó que se trata de las «vulnerabilidades más graves jamás descubiertas» por esta tecnología.

Ante la gravedad, varias agencias recomendaron desconectar temporalmente los sitios que no pudieran actualizarse a tiempo. El gobierno de Finlandia cerró sus servicios web públicos, la agencia de ciberseguridad de los Países Bajos dio de baja su propio sitio, y también desconectaron páginas el ayuntamiento de Edimburgo, la BBC y la Fundación Wikimedia. La Agencia de Seguridad Nacional de Estados Unidos emitió una recomendación similar y la Casa Blanca informó que trabaja con los principales laboratorios de IA para acelerar la solución.

El impacto fue mayor en Europa, donde quedaron fuera de servicio portales gubernamentales, instituciones educativas y hospitales. Las interrupciones respondieron sobre todo a medidas preventivas y no a una caída generalizada de Internet.