Alerta mundial por ciberataques: descubren fallas de seguridad en millones de páginas web
Las vulnerabilidades de un ciberataque afectan a un lenguaje utilizado por cerca del 70% de los sitios web; empresas y gobiernos desconectaron servicios por precaución mientras se aplicaban las correcciones.
Millones de intentos de explotación informática se registraron en pocas horas después de que se hicieran públicas dos vulnerabilidades críticas en PHP, una tecnología presente en gran parte de la infraestructura de internet. Los fallos, detectados con ayuda de inteligencia artificial, encendieron las alertas de ciberseguridad y llevaron a empresas y organismos públicos de distintos países a suspender temporalmente algunos servicios digitales para reducir el riesgo.
La magnitud de la alerta se reflejó en los registros de Cloudflare, compañía especializada en infraestructura y protección de sitios web. Su director ejecutivo, Matthew Prince, informó que antes de divulgarse las vulnerabilidades se habían detectado miles de intentos de explotación en la red de la empresa. Después del anuncio, el volumen escaló a decenas de miles en 45 minutos, cientos de miles en dos horas y millones posteriormente.
Las cifras corresponden a intentos de aprovechar los fallos, no a millones de ataques exitosos ni a sitios cuya vulneración haya sido confirmada. Sin embargo, la rapidez con la que aumentó la actividad obligó a acelerar las medidas de protección.
Una falla en la tecnología que sostiene millones de sitios
Las vulnerabilidades, agrupadas bajo el nombre PHP2Shell, afectan al núcleo de PHP, un lenguaje de programación que permite a los servidores procesar solicitudes, generar contenido dinámico y ejecutar funciones de páginas y aplicaciones web.
Su uso se extiende a plataformas como WordPress, Drupal y Joomla, así como a otros servicios que forman parte de la infraestructura digital. La estimación de que PHP está presente en cerca del 70% de los sitios web se refiere a su amplia adopción, no a que todos esos portales hayan sido comprometidos.
Los fallos quedaron registrados con los identificadores CVE-2026-109618 y CVE-2026-109619, y recibieron una calificación crítica de 9.2 sobre 10 en la escala CVSS versión 4.0.
El riesgo principal es que, bajo determinadas condiciones, un atacante pueda ejecutar código de forma remota en un servidor afectado sin necesidad de autenticarse. Esto podría facilitar el acceso a información sensible, la modificación de contenidos, la interrupción de servicios o la toma de control del sistema comprometido.
Una de las vulnerabilidades está relacionada con el manejo de errores cuando el sistema se queda sin memoria durante el procesamiento de una solicitud. La otra involucra información interna que puede permanecer referenciada después de que la memoria correspondiente ha sido liberada. En ambos casos, el manejo incorrecto de la memoria puede abrir una vía para ejecutar instrucciones no autorizadas.
La inteligencia artificial ayudó a descubrir vulnerabilidades ocultas durante años
La investigación fue resultado del trabajo de especialistas en seguridad y herramientas avanzadas de inteligencia artificial. OpenAI informó que Calif identificó una falla crítica con ayuda de GPT-5.6 Sol, mientras que Wiz Research descubrió y reportó de forma independiente las dos vulnerabilidades.
Google también informó que sus equipos utilizaron modelos de inteligencia artificial en la investigación y corrección de los fallos, y destacó la contribución de Gemini 4 Argon en tareas de detección, desarrollo de pruebas de explotación y validación de las correcciones.
Japón, Finlandia y Francia aplicaron medidas preventivas
La respuesta no se limitó a actualizar programas. Algunas organizaciones optaron por desconectar temporalmente servicios digitales mientras sus equipos técnicos instalaban las correcciones y verificaban que los sistemas fueran seguros.
En Japón, empresas de los sectores financiero, asegurador, aeronáutico y ferroviario anunciaron suspensiones temporales de determinados servicios en línea. En Francia, el grupo de telecomunicaciones Orange restringió temporalmente el acceso a algunos sitios y aplicaciones basados en PHP en varias de sus filiales.
En Finlandia, el proveedor estatal de servicios informáticos instaló actualizaciones durante la noche y comenzó a restablecer gradualmente servicios públicos que habían sido bloqueados como medida preventiva. Las autoridades finlandesas aclararon que esas interrupciones no se debieron a una intrusión confirmada mediante las vulnerabilidades, sino a la decisión de reducir la exposición mientras se aplicaban las correcciones.
Corea del Sur también elevó su nivel de alerta de ciberseguridad para el sector privado. Las medidas adoptadas muestran que el riesgo potencial alcanzó sistemas de uso cotidiano, aunque no todas las interrupciones reportadas implicaron que los atacantes hubieran logrado acceder a ellos.
PHP publicó parches para corregir los fallos
El proyecto PHP liberó actualizaciones de seguridad el 21 de octubre para corregir las vulnerabilidades. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Las versiones anteriores de esas ramas están afectadas. Las versiones 8.1 y anteriores también presentan riesgos, pero ya no reciben actualizaciones oficiales del proyecto PHP, por lo que las organizaciones que las utilizan deben consultar las opciones de soporte disponibles o migrar a una versión compatible y corregida.
La recomendación para administradores de sitios web y aplicaciones es identificar qué versión de PHP utilizan sus servidores, instalar la actualización correspondiente y revisar los registros para detectar actividad sospechosa. Cuando un sistema expuesto no pueda actualizarse de inmediato, las autoridades de ciberseguridad recomiendan aislarlo de las redes públicas hasta reducir el riesgo.
