Dos fallos de seguridad de gravedad crítica en PHP —uno de los lenguajes de programación más usados en el mundo para el desarrollo web— han obligado a autoridades, hospitales, escuelas y otras entidades públicas de al menos seis países europeos a desconectar temporalmente sitios y servicios en línea como medida preventiva. Las vulnerabilidades, conocidas colectivamente como PHP2Shell y rastreadas como CVE-2026-109618 y CVE-2026-109619, permiten en determinadas condiciones la ejecución remota de código (RCE) sin autenticación y la exposición de información sensible de la memoria del proceso.
PHP impulsa una proporción muy alta de sitios web (estimaciones del sector, como las de Wiz o W3Techs, sitúan la cifra en torno al 70 % de aquellos cuya tecnología de servidor es identificable), incluidos sistemas basados en WordPress, Drupal, Joomla o Magento. Los fallos afectan a instalaciones de PHP desde versiones antiguas (aproximadamente PHP 5.4 en adelante, con raíces que se remontan a PHP 5 de 2004) y residen en el motor central del lenguaje, no en el código de las aplicaciones. Esto significa que incluso un sitio “Hello World” o uno con código de aplicación bien escrito puede verse afectado si corre sobre una versión vulnerable. Los parches oficiales se publicaron el 21 de octubre (alrededor de las 14:00 UTC) para las ramas soportadas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Versiones anteriores (8.1 y anteriores) están en fin de vida y requieren actualización o parches de código fuente.
Naturaleza técnica de los fallos
Ambas vulnerabilidades tienen una puntuación CVSS v4.0 de 9.2 (crítica). Según CERT-EU y la documentación del proyecto PHP, permiten ejecución remota de código no autenticada: un atacante puede, en ciertos escenarios, enviar peticiones HTTP maliciosas que corrompen el estado interno de PHP (por ejemplo, mediante manejo de errores de memoria agotada o estado global obsoleto entre peticiones) y ejecutar comandos en el servidor sin necesidad de credenciales. También facilitan la divulgación de memoria del proceso (contraseñas, tokens, claves). El riesgo es especialmente alto en configuraciones como Apache con mod_php, aunque PHP-FPM y otros SAPI también se ven afectados. No hay evidencia de que se requiera interacción del usuario.
Los fallos habían permanecido ocultos más de una década por su complejidad. Investigadores de la firma Calif (con asistencia de modelos de OpenAI, incluido GPT-5.6 Sol, en el marco del programa “Patch the Planet”) reportaron uno el 11 de agosto de 2026. Wiz (propiedad de Google) lo encontró de forma independiente el 24 de agosto usando IA. La inteligencia artificial permitió tanto identificar los problemas en el código base como desarrollar y adaptar exploits de forma práctica en plazos mucho más cortos de lo que habría requerido un equipo humano tradicional. Wiz las calificó entre las más graves descubiertas en PHP y, potencialmente, en la historia del software. El PHP Foundation reconoció que había identificado un problema relacionado en 2024, pero el proceso de arreglo se retrasó por dificultades internas de consenso.
Respuesta y cierres en Europa
CERT-EU, el NCSC del Reino Unido, CISA/NSA/FBI de Estados Unidos, el Centro Australiano de Ciberseguridad y otros organismos urgieron a las organizaciones a aplicar los parches de inmediato o a desconectar los sistemas vulnerables si no podían parchearlos a tiempo. Cloudflare reportó intentos tempranos de explotación. Las desconexiones han sido descritas de forma consistente como preventivas; no hay confirmación pública de compromisos exitosos ni de un ataque coordinado o de atribución a actores estatales.
- Dinamarca: El Instituto Meteorológico Danés (DMI) desconectó dmi.dk y otros servicios. Kombit (el consorcio de TI municipal) cerró Aula (la plataforma nacional de comunicación escolar), el sistema de bibliotecas y otras soluciones. También se vieron afectados el sitio del municipio de Copenhague y otros servicios públicos.
- Alemania: ITZBund y autoridades federales desconectaron sitios de la Policía Federal, el Ministerio del Interior, el Instituto Robert Koch, aduanas, el hospital universitario Charité y la Universidad de Potsdam, entre otros. Las autoridades subrayaron que la medida era preventiva y que no se conocían incidentes.
- Países Bajos: El NCSC neerlandés y numerosas entidades siguieron su ejemplo: el puerto de Róterdam, portales gubernamentales (Overheid.nl, MijnOverheid), servicios judiciales, sitios de partidos políticos, varios hospitales y la Tweede Kamer (cámara baja del parlamento).
- Bélgica: El gobierno flamenco ordenó la desconexión de sitios públicos que usan PHP. También cayeron Smartschool (plataforma educativa), el hospital AZ Monica en Amberes, medios (DPG Media, Roularta) y otros servicios. El Centro de Ciberseguridad belga indicó no haber registrado ataques en ese momento.
- Finlandia: Valtori y el gobierno desconectaron servicios TIC públicos y el sitio del National Land Survey, entre otros.
- Francia: El Ministerio del Interior tomó offline temporalmente sitios de prefecturas (administraciones locales) a la espera del parche.
- Reino Unido: El NCSC emitió una alerta urgente recomendando parcheo inmediato o desconexión. El consejo de Edimburgo y algunas páginas de la BBC (programas) se desconectaron; no se confirmó de forma independiente un cierre masivo de sitios gubernamentales centrales.
- Estados Unidos y otros: Según Reuters, la Casa Blanca estaba al tanto desde el 16 de octubre. CISA, NSA y FBI urgieron a parchear o desconectar. No se reportaron cierres gubernamentales masivos confirmados. Japón y Australia también emitieron avisos. Wikimedia (incluyendo partes de Wikipedia) y otros sitios tomaron medidas preventivas.
El alcance de la respuesta ilustra la dependencia de la infraestructura digital pública de un componente de software de código abierto ampliamente adoptado. Las organizaciones deben actualizar de inmediato a las versiones parcheadas (o migrar desde ramas no soportadas), monitorizar intentos de explotación y, si no pueden parchear con rapidez, mantener los sistemas offline hasta que sea seguro. Las agencias de ciberseguridad continúan evaluando el impacto y posibles explotaciones en curso.
