Gobiernos y empresas desconectan sitios web por fallas críticas en PHP

Gobiernos, agencias de ciberseguridad y empresas de varios países desconectaron sitios web el miércoles tras la divulgación de dos vulnerabilidades críticas en PHP, el lenguaje de programación sobre el que funciona buena parte de internet. PHP es el motor de WordPress, Drupal, Joomla y Magento. Según la consultora W3Techs, sostiene cerca del 70% de los sitios cuyo programa de servidor puede identificarse.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código de forma remota: un atacante podría tomar el control de un servidor sin contraseña. Según el aviso oficial de PHP, tienen una puntuación de 9,2 sobre 10 en la escala CVSS 4.0. La empresa watchTowr, que las conoce como PHP2shell, dijo que afectan a todas las versiones desde PHP 5 en adelante, aunque hasta ese momento no se había reportado ninguna explotación.

Las fallas fueron reportadas en agosto por la firma Calif y por OpenAI, y se comunicaron en privado a los desarrolladores mientras se preparaba una corrección. Los detalles se filtraron el martes, un día antes de lo previsto. La actualización de seguridad estaba programada para las 14:00 UTC de este miércoles.

La Casa Blanca informó en un comunicado que el Gobierno de Estados Unidos ya evalúa el impacto de las vulnerabilidades en sus sistemas informáticos e infraestructura crítica. La Agencia de Seguridad Nacional (NSA) recomendó actualizar con efecto inmediato y, si no es posible, desconectar los sistemas. Según la agencia, las fallas “a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor”.

En Japón, la primera ministra Sanae Takaichi pidió a los responsables de sitios verificar si usan PHP y prepararse para aplicar el parche: “Verifiquen si están utilizando PHP en sus sitios web públicos y prepárense para aplicar lo antes posible el parche de corrección que se publicará esta noche”. La Oficina Nacional de Coordinación de Ciberseguridad pidió suspender temporalmente los sitios que no puedan aplicar la corrección.

En Alemania, Thomas Caspers, vicepresidente de la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI), dijo: “Consideramos probable que se produzca un aprovechamiento a gran escala y a corto plazo, en las pocas horas siguientes a la publicación de las actualizaciones de seguridad”. El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) recomendó que las organizaciones sin parche inmediato “deberían considerar aislar las aplicaciones orientadas a internet de las redes públicas hasta que haya una solución disponible”.

En Francia, el Ministerio del Interior informó que desconectó temporalmente sitios de agencias gubernamentales locales, entre ellos el de la Prefectura de Policía de París, a pedido de la Agencia Nacional de Ciberseguridad. En Países Bajos se desconectaron el servicio de identidad digital DigiD, el sitio de la Cámara de Representantes y el del centro nacional de ciberseguridad.

Dane Knecht, director tecnológico de Cloudflare, escribió en X que la empresa ya registraba “ataques tempranos” contra sitios PHP de sus clientes. Luego agregó: “Esto es solo un parche temporal. Actualicen apenas PHP libere la solución”.

El parche alcanza solo a las versiones que PHP mantiene activas, de la 8.2 a la 8.5. Las versiones 5, 7 y las primeras ramas de la 8 no reciben soporte de seguridad, por lo que sus usuarios no tendrán una solución oficial. La firma Mallory calculó, a partir de un relevamiento del buscador Shodan, unos 884.000 servidores expuestos a internet que corren versiones sin parche. Según la empresa Censys, solo el 14% de los sitios públicos de WordPress tenía instalada la última actualización disponible.

Todavía no se conocen las partes del lenguaje afectadas, las versiones exactas en riesgo ni los números de las versiones corregidas. PHP anunció que dará esa información junto con el lanzamiento, programado para este miércoles.