Redacción (RT.com).- Sitios web de gobiernos y de agencias gubernamentales en todo el mundo quedaron inactivos este 21 de octubre tras la revelación de dos vulnerabilidades críticas en PHP, el lenguaje de programación que sostiene aproximadamente el 70 % de los sitios de internet.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones que utilizan PHP a prepararse para actualizaciones de emergencia y a desconectar los sistemas afectados si no podían instalar las correcciones de inmediato, y advirtió que las fallas «a menudo proporcionan una ruta directa al sistema de archivos del servidor o a la base de datos».
Los desarrolladores de PHP publicaron cuatro parches para abordar dos vulnerabilidades críticas calificadas con 9,2 sobre 10 en la escala de severidad CVSS v4.0, identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas fallas afectan a la forma en que PHP maneja la memoria del servidor y podrían permitir a los atacantes ejecutar código de forma remota sin necesidad de contraseña o cuenta de usuario.
Las vulnerabilidades fueron descubiertas por la firma de seguridad Calif usando el modelo GPT-5.6 Sol de OpenAI, y de manera independiente por la empresa Wiz, como parte de la iniciativa ‘Patch the Planet’.
La Fundación PHP reconoció en un comunicado que un investigador había encontrado las primeras señales de uno de los fallos en 2024, pero que el problema quedó en teoría y no se encontraron «vectores concretos». Calificó la demora en abordarlo como «un fracaso estructural», recoge Reuters.
Mientras tanto, páginas web gubernamentales de varios países europeos fueron desconectados de forma preventiva antes de que las correcciones estuvieran disponibles.
En Países Bajos, el Centro Nacional de Seguridad Cibernética y varias agencias —entre ellas el Puerto de Rotterdam, el portal gubernamental Overheid.nl, la asociación nacional de fútbol KNVB y hospitales— desactivaron sus portales.
En Finlandia, el proveedor estatal de servicios Valtori desconectó los servicios de red pública del Gobierno «como medida de precaución». La empresa danesa de tecnonología municipal Kombit cerró varios servicios, incluida la plataforma nacional de comunicación escolar.
CERT-EU, el organismo de asesoramiento técnico de ciberseguridad de la Unión Europea, declaró: «Las organizaciones deberían considerar aislar las aplicaciones orientadas a internet de las redes públicas hasta que haya una solución disponible».
«Se desatará el infierno»
La plataforma de ciberseguridad Patchstack informó que había recibido «informes de explotación activa», mientras que Cloudflare, proveedor de infraestructura y servicios de seguridad en internet, también informó de señales de ataques.
«Estamos viendo ataques tempranos emergiendo y estamos actualizando mitigaciones a medida que aparecen nuevos vectores», escribió en X el director de tecnología de Cloudfare, Dane Knecht.
En este contexto, expertos en seguridad advirtieron que los atacantes podrían usar inteligencia artificial para analizar rápidamente las actualizaciones y crear scripts de explotación. «Algún tipo en Twitter podría tomar los parches y ejecutar IA contra ellos y publicar algún script de explotación. Se desatará el infierno«, sostuvo Thai Duong, director ejecutivo de Calif, en declaraciones a The Wall Street Journal.
PHP es el motor detrás de WordPress, que sustenta alrededor del 43 % de todos los sitios web, y también de plataformas como Drupal, Joomla y Magento. Wordfence, un plugin de seguridad para WordPress, advirtió que las actualizaciones automáticas habituales no aplicarían esta corrección.
