PHP, el lenguaje detrás de millones de sitios, tuvo dos fallas que permitían tomar el control sin contraseña

Si alguna vez entraste a la web de un municipio, hiciste un trámite en línea o compraste algo en una tienda chica por internet, usaste PHP sin darte cuenta. Es un lenguaje que trabaja del lado del servidor: recibe el pedido, busca o calcula lo que corresponde y recién ahí te manda la página armada. Por eso lo llevan adentro sistemas tan usados como WordPress, Joomla!, Drupal y Moodle, que sostienen blogs, portales institucionales y plataformas educativas en todo el mundo.

Esa presencia tan extendida es lo que convirtió en alarma mundial lo que pasó el 21 de octubre: la PHP Foundation, la organización sin fines de lucro que mantiene el lenguaje, publicó un parche de emergencia para corregir dos fallas identificadas como CVE-2026-109618 y CVE-2026-109619, con una gravedad de 9,2 sobre 10. Las dos permitían que alguien tomara el control de un servidor vulnerable sin usuario ni contraseña, lo que en la jerga de ciberseguridad se conoce como ejecución remota de código: mandarle instrucciones a un sitio desde afuera y lograr que las ejecute solo.

Según explicó la PHP Foundation, ese tipo de acceso podía habilitar la lectura de información guardada, la modificación de archivos, el robo de datos o directamente la interrupción de un servicio.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) no esperó: desde su cuenta NSA Cyber pidió a las organizaciones que actualizaran de inmediato los sistemas que corren PHP, y que si no podían hacerlo rápido, sacaran esos sitios de internet hasta bajar el riesgo. El Centro Nacional de Ciberseguridad del Reino Unido fue un paso más allá y recomendó revisar si, mientras la falla estuvo abierta, algún atacante dejó una puerta trasera para volver a entrar más adelante.

El hallazgo tuvo varios capítulos previos. La empresa Calif había arrancado una auditoría de seguridad el 30 de julio dentro de un programa llamado Patch the Planet, pensado para encontrar vulnerabilidades en software muy usado antes de que las aproveche un atacante. El 11 de agosto, el investigador Ryan A. reportó una forma de controlar un servidor en forma remota y sin autenticarse, con la misma causa de fondo que un problema ya detectado en 2024. Ese mismo día, por su lado, OpenAI avisó sobre una falla con el mismo origen, y la empresa de ciberseguridad Wiz sumó otro vector de ataque el 24 de agosto. Entre los distintos reportes terminó de verse que el problema era más serio de lo que se había calculado al principio.

¿Hay que entrar en pánico si una página usa PHP? No necesariamente: la propia fundación aclaró que usarlo no implica estar comprometido, y que el riesgo real depende de la versión instalada en cada servidor y de la rapidez con que su administrador aplique la corrección. Las versiones que ya traen el arreglo son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y actualizar es, para la fundación, la única solución que elimina el riesgo por completo.

El efecto ya se notó en distintos países, según repasó Infobae: Wikimedia desconectó algunos sistemas como medida preventiva, y organismos públicos de Finlandia, los Países Bajos, Escocia y la ciudad de Edimburgo retiraron páginas o suspendieron servicios mientras instalaban los parches.

Para quien solo navega, sin manejar un servidor, no existe ninguna actualización para instalar desde el celular: esa tarea queda del lado de quienes administran los sitios. Pero sí conviene prestar atención si algún servicio avisa que fue afectado: cambiar la contraseña cuando lo pidan por un canal oficial, entrar solo desde aplicaciones o direcciones conocidas, y desconfiar de mensajes que usen la noticia como excusa para pedir datos personales con la excusa del phishing.

Las instalaciones de PHP que ya no reciben soporte deberán migrar a una versión mantenida o quedar fuera de la red pública, según la PHP Foundation. La fundación sumó un dato sobre cómo se llegó al parche: herramientas de inteligencia artificial ayudaron a analizar los reportes y reproducir los ataques, aunque la decisión final sobre las correcciones quedó en manos de especialistas humanos.