¿Qué es el Código PHP? La Vulnerabilidad que Desató Millones de Ciberataques en el Mundo
Hoy dos fallas críticas en el lenguaje de programación llevaron a empresas y gobiernos a reforzar sus sistemas
Publicidad
Publicidad
Hoy dos fallas críticas en el lenguaje de programación llevaron a empresas y gobiernos a reforzar sus sistemas
Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en millones de sitios web y aplicaciones, desataron millones de intentos de ciberataques en distintas partes del mundo. Las fallas podrían permitir a los atacantes ejecutar instrucciones en servidores vulnerables sin necesidad de iniciar sesión, por lo que empresas y organismos públicos aceleraron las actualizaciones de seguridad.
De acuerdo con un reporte de Reuters publicado este jueves 22 de octubre de 2026, Cloudflare, la empresa de infraestructura y seguridad web, detectó un aumento acelerado de intentos de explotación después de que se divulgaron las vulnerabilidades.
Matthew Prince, director ejecutivo de la compañía, señaló que los registros pasaron de miles de intentos a decenas de miles en los primeros 45 minutos, cientos de miles en dos horas y, posteriormente, millones.
PHP, son las siglas de 'PHP: Hypertext Preprocessor', el cual es un lenguaje de programación de código abierto que funciona principalmente del lado del servidor. Se utiliza para crear páginas web dinámicas, procesar formularios, administrar sesiones y conectar sitios con bases de datos.
Su presencia en plataformas de gestión de contenidos y otros servicios digitales hace que una falla en este componente pueda afectar a numerosas organizaciones. El problema no es que PHP sea un virus, sino que ciertos errores en su funcionamiento pueden permitir que terceros intenten ejecutar instrucciones maliciosas en servidores que todavía utilizan versiones vulnerables.
Las fallas fueron identificadas con los códigos 'CVE-2026-109618' y 'CVE-2026-109619', y se conocen conjuntamente como 'PHP2Shell'. Ambas recibieron una puntuación de 9.2 en la escala CVSS 4.0, correspondiente a una gravedad crítica.
Una de las vulnerabilidades está relacionada con el manejo de errores por falta de memoria; la otra, con información interna que puede seguir referenciada después de que la memoria correspondiente ha sido liberada.
En determinadas condiciones, estos errores pueden permitir la ejecución remota de código sin autenticación. Esto significa que un atacante podría enviar una solicitud especialmente preparada para intentar ejecutar instrucciones en un servidor vulnerable, sin necesitar previamente una cuenta o contraseña.
Si la explotación tiene éxito, las consecuencias pueden incluir el robo de información, la modificación de páginas web, la interrupción de servicios o el uso del servidor comprometido para realizar otras actividades maliciosas.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtió el 21 de octubre sobre la necesidad de atender las fallas de inmediato. Entre las medidas recomendadas están identificar los sistemas afectados, instalar las correcciones disponibles y considerar la desconexión temporal de los equipos que no puedan protegerse a tiempo.
Cargando contenido de X...pic.twitter.com/arrqKykA9P
— NMás (@nmas) Cargando...
La alerta también provocó medidas preventivas en distintos países. Se reportó que empresas japonesas y organismos públicos suspendieron temporalmente algunos servicios en línea, mientras que la compañía francesa Orange restringió el acceso a determinados sitios y aplicaciones basados en PHP.
En Finlandia, el proveedor de servicios informáticos del Estado informó que aplicaba actualizaciones de seguridad y comenzaba a restablecer gradualmente algunos servicios públicos que habían sido bloqueados como precaución.
PT
