Fugas críticas de PHP: por qué los sitios web están en riesgo en todo el mundo
The Strategic Newb Editorial Team
Actualizado el:
Traducido del original; se han conservado las cifras y las fuentes. Leer el original →
Actualizado el 21 de octubre de 2026. Este artículo describe la situación según las fuentes que se enumeran a continuación en esa fecha.
Un sitio web puede desaparecer temporalmente mientras el administrador intenta evitar un ciberataque. Esto está sucediendo ahora después del descubrimiento de dos agujeros de seguridad críticos en PHP. El software es utilizado por sitios web y aplicaciones en línea en diferentes países. Como resultado, el problema tiene un alcance internacional.
Las actualizaciones de seguridad ya están disponibles. Por lo tanto, la pregunta más importante para los administradores de sitios web es si su proveedor de hosting o su equipo técnico han implementado realmente la solución. Proyecto PHP
¿Qué está pasando con PHP?
PHP es un software que permite a los servidores ejecutar código de sitios web. Los visitantes normalmente sólo ven el resultado: una página, formulario o tienda online. La misma tecnología subyacente puede funcionar detrás de esas partes visibles.
Las vulnerabilidades están registradas como CVE-2026-109618 y CVE-2026-109619. Ambos tienen una puntuación de gravedad de 9,2 sobre 10. Según CERT-EU, bajo determinadas circunstancias pueden permitir a los atacantes ejecutar código sin iniciar sesión primero. Esto se llama ejecución remota de código. CERT-EU
Esto hace que la seguridad del servidor sea importante, incluso cuando el sitio web en sí esté bien mantenido.
¿El problema de PHP es global?
Sí, el riesgo técnico es global. Está relacionado con el software y las configuraciones utilizadas, no con las fronteras nacionales. Una instalación vulnerable puede estar ubicada en una pequeña empresa, en una organización internacional o en una plataforma de alojamiento compartido.
Las advertencias también son internacionales. CERT-EU publicó consejos de seguridad para organizaciones. El Centro Australiano de Seguridad Cibernética también publicó una advertencia crítica sobre PHP. Esto subraya que no se trata de un incidente exclusivamente holandés. CERT-EUCentro Australiano de Seguridad Cibernética
Sin embargo, el riesgo global no significa que se producirá la misma perturbación en todos los países. Tampoco significa que todos los sitios web que utilizan PHP hayan sido pirateados. Las consecuencias reales dependen, entre otras cosas, de la vulnerabilidad de una instalación y de las medidas adoptadas.
¿Por qué las organizaciones desconectan sus sitios web?
Un sitio web temporalmente inaccesible puede ser el resultado de una medida de precaución. CERT-EU recomienda actualizar inmediatamente. Cuando eso no sea posible, las organizaciones deberían considerar aislar temporalmente de las redes públicas las aplicaciones a las que se puede acceder desde Internet. CERT-EU
Un ejemplo concreto proviene de los Países Bajos. El Centro Nacional de Seguridad Cibernética informó que había desconectado su propio sitio web como medida de precaución debido a las vulnerabilidades de PHP. Ese informe confirma una medida de protección, no un robo exitoso. NCSC Países Bajos
La diferencia puede ser invisible para los usuarios: ven un mensaje de error o una página de mantenimiento. La diferencia es fundamental para la valoración del incidente.
¿Los atacantes ya están activos?
CERT-EU informa que los detalles técnicos se están discutiendo públicamente y que están circulando las primeras manifestaciones de abuso. Esto aumenta las posibilidades de explotación real. Esto confirma la urgencia, pero no proporciona un total global de sitios web pirateados. CERT-EU
Por tanto, es necesario distinguir tres situaciones:
| Situación | Significado |
|---|---|
| Vulnerable | Un sistema contiene un agujero de seguridad. |
| Desconectado por precaución | El administrador limita temporalmente la accesibilidad. |
| Comprometido confirmado | La investigación muestra acceso no autorizado o uso indebido. |
Un mensaje de error por sí solo no prueba el robo de datos.
¿Qué actualizaciones de PHP resuelven el problema?
El Proyecto PHP publicó estas versiones de seguridad el 21 de octubre de 2026: Proyecto PHP
| serie PHP | Lanzamiento con las correcciones de seguridad. |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Los proveedores de sistemas operativos también pueden incorporar las soluciones en sus propios paquetes. Por lo tanto, deje que el proveedor o administrador confirme qué paquete es seguro. PHP 8.1 y versiones anteriores ya no reciben actualizaciones periódicas del proyecto PHP; El soporte de otros proveedores puede variar. Proyecto PHP
¿Qué significa esto para los sitios web de WordPress?
WordPress utiliza PHP. La simple actualización de WordPress, un tema o un complemento no reemplaza la instalación de PHP en el servidor. Por lo tanto, Wordfence enfatiza que los propietarios deben determinar quién es responsable de la actualización de PHP: el proveedor de alojamiento o su propio equipo técnico. Wordfence
Solicite a esa parte una confirmación concreta de la solución de seguridad instalada. En caso de interrupción, preguntar también cuándo se podrá reanudar el servicio de forma controlada.
Preguntas frecuentes sobre las filtraciones de PHP
¿Está todo Internet caído?
Las fuentes consultadas no corroboran esta afirmación. Existe un riesgo técnico amplio, mientras que las consecuencias difieren según el servicio.
¿Ha sido pirateado un sitio web fuera de línea?
Esto no se deriva de la inaccesibilidad. Un administrador puede deshabilitar deliberadamente y temporalmente un sitio web.
¿Es suficiente una actualización de WordPress?
La instalación de PHP debe ser actualizada por separado por la parte que administra el servidor. Wordfence
¿Son suficientes las medidas de protección temporales?
Según el Proyecto PHP, sólo la actualización proporciona una solución completa para estas vulnerabilidades. Las medidas temporales pueden reducir la exposición a rutas de ataque específicas. Proyecto PHP
Fuentes
Proyecto PHP - Aviso de seguridad oficial y comunicados a partir del 21 de octubre de 2026
CERT-EU — Vulnerabilidades críticas en PHP, Dictamen 2026-018
Wordfence — PSA: Próxima versión crítica de seguridad de PHP
Otras lecturas
Ciberincidentes en supermercados: riesgos digitales en el mundo físico