Sitios web de gobiernos y agencias públicas de distintos países quedaron fuera de servicio este 21 de octubre, luego de que se revelaran dos vulnerabilidades críticas en PHP, lenguaje de programación utilizado en una gran parte de las páginas de internet.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones que utilizan esta tecnología a instalar actualizaciones de emergencia y desconectar temporalmente los sistemas afectados cuando no fuera posible aplicar las correcciones de inmediato. Las fallas podrían facilitar el acceso a archivos del servidor y bases de datos, además de permitir la ejecución remota de código sin necesidad de contar con una cuenta de usuario.

Los desarrolladores de PHP publicaron cuatro parches para atender las vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619, calificadas con una gravedad de 9.2 sobre 10. Los problemas fueron detectados por investigadores de las empresas Calif y Wiz, en el marco de trabajos de investigación en ciberseguridad.

La Fundación PHP reconoció que existían indicios de uno de los problemas desde 2024, aunque entonces no se habían identificado métodos concretos para explotarlo. La organización calificó la demora en atenderlo como un fallo estructural.

Ante el riesgo, distintas instituciones europeas optaron por desconectar sus plataformas. En Países Bajos, las medidas alcanzaron portales gubernamentales, servicios vinculados al puerto de Rotterdam y otras organizaciones. En Finlandia se suspendieron temporalmente servicios de acceso público del Gobierno, mientras que en Dinamarca se cerraron plataformas municipales, incluida una herramienta nacional de comunicación escolar.

Las alertas aumentaron después de que la plataforma Patchstack reportara indicios de explotación activa y Cloudflare informara sobre la aparición de ataques. Especialistas advirtieron que la inteligencia artificial podría acelerar el análisis de los parches y facilitar la creación de herramientas para aprovechar las fallas antes de que todas las organizaciones actualicen sus sistemas.

El problema tiene un alcance considerable debido a la presencia de PHP en plataformas como WordPress, que sostiene alrededor de 43 por ciento de todos los sitios web, así como en sistemas como Drupal, Joomla y Magento. Por ello, los expertos recomendaron aplicar las actualizaciones correspondientes y no confiar únicamente en los mecanismos automáticos de protección.