Alerta internacional: falla grave en PHP golpea a servidores

Una vulnerabilidad crítica recién detectada en PHP está poniendo en jaque a millones de sitios y servicios en línea a escala global. El fallo afecta al lenguaje que sustenta desde blogs y portales de noticias hasta tiendas electrónicas y sistemas de gestión de contenidos como WordPress, Joomla!, Drupal, Moodle y Typo3. Solo en el caso de WordPress, los expertos calculan que hay entre 400 y 500 millones de sitios activos en todo el mundo.

Además de la firma de ciberseguridad Huntress y el propio equipo de seguridad de PHP, la Oficina Federal para la Seguridad de la Información (BSI) ha emitido una alerta oficial —referencia BITS‑H n.º 2026‑297981‑1032— en la que califica el riesgo como "3 / Naranja", es decir, extraordinariamente alto y que exige contramedidas inmediatas. La BSI advierte que, si no es posible aplicar los parches con rapidez, debe considerarse la desconexión temporal del servidor web de Internet para evitar que el sistema resulte comprometido.

Las brechas, bautizadas como "PHP2Shel" y registradas con los identificadores CVE‑2026‑109618 y CVE‑2026‑109619, permiten la ejecución remota de código sin autenticación. En la práctica, un atacante puede tomar el control total de un sitio, acceder a bases de datos sensibles y usar la infraestructura para lanzar otros ciberataques. La información técnica se filtró de forma prematura, lo que ha generado una enorme presión temporal: se teme que los delincuentes desplieguen scripts automatizados para escanear y secuestrar servidores desprotegidos a gran velocidad.

Ya se observan consecuencias en la vida pública. Varios municipios y organismos públicos han seguido la recomendación de la BSI y han desactivado temporalmente sus servicios en línea. Un caso concreto es la ciudad de Maguncia (Mainz), que apagó su portal municipal (mainz.de) mientras mantiene oficinas y atención al ciudadano por teléfono y correo electrónico. Universidades y hospitales han adoptado medidas similares.

En Japón, las autoridades han declarado que podrían apagar servidores críticos. En Francia, algunas municipalidades ya tomaron esa drástica medida mientras se normaliza la situación.

Para administradores de sitios web, tiendas en línea y plataformas empresariales basadas en PHP, la situación es de máxima urgencia. Se recomienda contactar sin demora a los administradores de sistemas, proveedores de servicios informáticos o de hosting y aplicar los parches y actualizaciones de seguridad tanto del entorno PHP como de los CMS utilizados. Las versiones antiguas de PHP sin soporte oficial representan un riesgo incalculable y deben aislarse o actualizarse de inmediato.

Los desarrolladores de PHP anunciaron la publicación de un parche de seguridad el miércoles a las 16:00 h, contenido en la versión 8.5.12, y recomendaron con urgencia instalar dicha actualización.

Para los usuarios habituales de Internet no es necesario tomar medidas directas, ya que la vulnerabilidad reside en los servidores y no en los dispositivos de los usuarios. Sin embargo, pueden verse afectados indirectamente por interrupciones de servicios o filtraciones de datos en sitios que no se hayan protegido a tiempo.

Los desarrolladores del lenguaje PHP y los proveedores de alojamiento web están trabajando 24 horas al día para cerrar estas brechas y mitigar el impacto global.