¡Alerta en internet! Una falla en PHP tiene a medio mundo apagando páginas web
Dos fallas críticas en PHP, el "motor" de 3 de cada 4 páginas web, pusieron a gobiernos y empresas a desconectar sitios. Ya hay parche. Te explicamos qué pasó.
Si hoy entraste a una página y te salió error, puede que no sea tu internet, fren. Este miércoles 21 de octubre el mundo tech amaneció en alerta por dos fallas gravísimas en PHP, y varios gobiernos y empresas prefirieron apagar sus sitios antes que arriesgarse.
¿Y qué rayos es PHP?
PHP es el lenguaje con el que funcionan por dentro muchísimas páginas web. Es como el motor del carro: tú no lo ves, pero sin él no camina nada.
Según W3Techs, citado por La Jornada, PHP está detrás de cerca del 75% de las páginas cuyo lenguaje se puede identificar. Ahí entran WordPress, Drupal, Joomla, Magento y un montón de tiendas en línea.
¿Qué fue lo que pasó?
Se descubrieron dos huecos de seguridad (con los códigos CVE-2026-109618 y CVE-2026-109619) que permiten a un hacker tomar control de un servidor sin necesitar contraseña. Ya les pusieron apodo: "PHP2Shell".
Según el centro de ciberseguridad del Reino Unido (NCSC), el truco es forzar al servidor a quedarse sin memoria, lo que puede dañar datos internos y abrirle la puerta al atacante.
Lo más loco: estos errores llevaban más de una década escondidos en el código. La empresa de seguridad Wiz contó que los encontró usando herramientas de inteligencia artificial, y que las firmas Calif y OpenAI los habían reportado en agosto, cada una por su lado, según La Jornada.
Datos que te van a volar la cabeza
- 54.9 millones de sitios web y unos 2.58 millones de servidores expuestos a internet usan PHP, según el conteo de Censys que publicó Krebs on Security.
- Wiz asegura que toda versión de PHP de la última década tiene al menos una de las dos fallas.
- Las dos fallas tienen una nota de gravedad de 9.2 sobre 10.
- Ya hay ataques reales: la firma watchTowr vio intentos en vivo, aunque hasta el momento ninguno había funcionado. "No esperamos que eso dure mucho", advirtió Jake Knott, de watchTowr, a The Register.
- Expertos lo comparan con Log4Shell, aquel desastre de 2021 que tuvo a las empresas parchando por meses.
¿Quién apagó sus páginas?
En Europa se pusieron serios. En Países Bajos desconectaron DigiD (su identidad digital), la web de la Cámara de Representantes y hasta la del propio centro de ciberseguridad. En Francia cayeron sitios de gobiernos locales, incluida la Prefectura de Policía de París. Finlandia también bajó servicios del gobierno.
Hasta Wikipedia desconectó algunos sistemas mientras los actualiza. Y la Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió parchar ya o desconectar.
¿Y en Panamá? Hasta el cierre de esta nota no encontramos reportes de sitios panameños caídos por esta falla.
¿Ya lo arreglaron?
Sí. Este miércoles los voluntarios de PHP sacaron un parche de emergencia: las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Empresas como Cloudflare también activaron bloqueos para frenar el tráfico de ataque.
El problema es que no todo el mundo actualiza rápido. Las páginas pequeñas en hosting compartido son las más expuestas, porque muchas veces el dueño ni controla el servidor.
¿Y yo qué hago?
Si solo navegas, tranqui: no tienes que instalar nada en tu celular. Lo que sí puede pasar es que algunas páginas estén caídas o lentas unos días.
Si tienes una página web, tienda en línea o blog en WordPress, llama hoy a tu proveedor de hosting y pregúntale si ya actualizó PHP. Si no puede hacerlo rápido, las autoridades recomiendan sacar el sitio de línea mientras tanto.
Y como siempre, ojo con correos o mensajes raros que se aprovechen del tema. Más vale prevenir que andar con la página hackeada, ¿oíste?
Imagen ilustrativa generada con IA.