Las fallas en PHP detectadas esta semana pasaron de una advertencia técnica a una alerta de seguridad con ataques en curso, después de que Cloudflare confirmara intentos reales de explotar de forma remota dos vulnerabilidades críticas identificadas como CVE-2026-109618 y CVE-2026-109619. La situación importa porque PHP está detrás de una parte enorme de la web y porque los parches urgentes ya fueron liberados para versiones usadas en millones de sitios, incluidos los que funcionan con WordPress.
Los desarrolladores del lenguaje publicaron correcciones de seguridad para las ramas 8.2, 8.3, 8.4 y 8.5, y pidieron a los administradores actualizar de inmediato sus servidores. También recomendaron revisar los sistemas que no puedan ser actualizados a tiempo y aplicar medidas adicionales para reducir el riesgo. Según W3Techs, PHP está presente en el 69,3 % de los sitios web cuyo lenguaje del lado del servidor puede identificarse.
WordPress, entre los servicios más expuestos
La relevancia del caso aumenta por la dependencia de WordPress respecto de PHP. De acuerdo con la misma fuente, WordPress está presente en el 39,6 % de todas las páginas web, lo que amplía el alcance potencial de los fallos. Las vulnerabilidades afectan la manera en que PHP maneja ciertos errores de memoria y, en condiciones específicas, podrían permitir que un atacante ejecute instrucciones no autorizadas en un servidor vulnerable.
Cloudflare advirtió además que los atacantes ya ajustaron sus intentos para evadir las defensas instaladas en servidores expuestos. Eso no implica que todos los sitios afectados hayan sido penetrados, pero sí confirma que el riesgo dejó de ser hipotético y ya está siendo probado en entornos reales.
Entre los países europeos que tomaron medidas figuran Países Bajos, Finlandia, Dinamarca y Francia, donde organismos y servicios públicos retiraron temporalmente algunas páginas de Internet. Durante esas interrupciones, algunos portales mostraron avisos de mantenimiento y otros presentaron errores de conexión. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) contempla desconectar temporalmente servicios cuando no sea posible aplicar correcciones o protecciones a tiempo.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) también aparece entre las entidades que han recomendado actuar frente a este tipo de amenazas. En la práctica, la primera tarea para los administradores es identificar qué versión de PHP usan sus servidores y aplicar la actualización correspondiente. Además, se aconseja revisar los registros de actividad para detectar accesos o cambios sospechosos.
El proceso puede ser más complejo en sistemas antiguos que dependen de soporte a largo plazo o de migraciones a versiones compatibles. En esos casos, el mantenimiento suele estar en manos de administradores de servidores o de empresas de alojamiento web, no necesariamente de los propietarios de las páginas. Cuando no es posible corregir el problema de inmediato, las organizaciones deben valorar medidas temporales para bajar la exposición y, si no alcanzan, desconectar el servicio como acción preventiva.
Los parches ya están disponibles para PHP 8.2 a 8.5, y la prioridad inmediata sigue siendo aplicar las correcciones y verificar la seguridad de los sistemas afectados.
Con información de El Tiempo.