Sitios web gubernamentales en Europa dejan de funcionar tras dos fallas críticas en PHP y genera una alerta de ciberseguridad
Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en millones de sitios web, provocaron que organismos públicos y otras organizaciones desconectaran temporalmente sus páginas en Europa el miércoles 21 de octubre de 2026.
El equipo de desarrollo de PHP publicó actualizaciones de seguridad para corregir las fallas, que pueden permitir la ejecución remota de código sin autenticación y comprometer los servidores afectados, imdicó Reuters.
El equipo oficial de PHP publicó cuatro versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso de seguridad identifica las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619 y recomienda actualizar de inmediato las instalaciones que procesan solicitudes web. La alerta tiene alcance internacional y afecta a administradores de servidores, proveedores de alojamiento y responsables de sitios que utilizan PHP.
¿Qué pasó con PHP y por qué dejaron de funcionar algunos sitios web?
La alerta de seguridad llevó a distintas organizaciones a suspender temporalmente el acceso público a sus páginas mientras preparaban la actualización de sus sistemas. La medida buscaba reducir el riesgo de intrusiones antes de instalar los parches.
En Países Bajos, el gobierno informó que algunos sitios públicos fueron desconectados de manera preventiva, entre ellos Overheid.nl, MijnOverheid.nl y DigiD. El aviso gubernamental también precisó que la vulnerabilidad no afectaba a las páginas que no utilizan PHP, por lo que la interrupción no abarcó a todos los portales oficiales del país.
Reuters reportó que la respuesta incluyó organizaciones de otros países europeos, con afectaciones temporales a servicios públicos y plataformas institucionales. La recomendación de las autoridades fue aplicar las correcciones tan pronto como estuvieran disponibles o evaluar la desconexión preventiva cuando no fuera posible actualizar los sistemas a tiempo.
¿Qué riesgo representan las dos vulnerabilidades?
Las fallas pueden permitir que un atacante ejecute código de forma remota en un servidor vulnerable, incluso sin contar con una sesión autenticada. Esto podría abrir una vía para comprometer el funcionamiento del sistema y acceder a recursos alojados en él.
El aviso técnico de PHP describe dos problemas diferentes:
- CVE-2026-109618: relacionada con la gestión de memoria cuando ocurre una condición de agotamiento de recursos.
- CVE-2026-109619: vinculada con el uso de información interna que permanece después de que la memoria asociada fue liberada.
El equipo de PHP clasifica ambas como vulnerabilidades críticas y advierte que no existe una mitigación completa que sustituya la instalación de las actualizaciones.
¿Qué versiones de PHP deben actualizarse?
El equipo de desarrollo publicó correcciones para las cuatro ramas de PHP que reciben mantenimiento oficial. Los administradores deben identificar qué versión ejecutan sus servidores y aplicar el paquete correspondiente.
| Versión utilizada | Actualización correctiva |
|---|---|
| PHP 8.5 | PHP 8.5.12 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.2 | PHP 8.2.35 |
Las cuatro versiones corrigen las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. Los paquetes están disponibles en el sitio oficial de PHP, que también publica las instrucciones de actualización.
Los usuarios de PHP 8.1 y versiones anteriores deben revisar las indicaciones de su proveedor, ya que esas ramas dejaron de recibir actualizaciones regulares del proyecto. Algunos distribuidores de Linux y proveedores de soporte a largo plazo pueden ofrecer correcciones adaptadas a versiones anteriores.
La versión PHP 8.2 tiene una fecha adicional que considerar: su soporte oficial termina el 31 de diciembre de 2026. Por ello, además de instalar el parche correspondiente, sus administradores deben planificar la migración a una rama con soporte vigente.
¿Los sitios de WordPress también están en riesgo?
Sí, si el servidor que aloja el sitio utiliza una instalación vulnerable de PHP. WordPress depende de este lenguaje para ejecutar parte de su funcionamiento, por lo que la actualización del sistema que lo sostiene es distinta de actualizar el propio gestor de contenidos, sus temas o sus complementos.
La firma de seguridad Wordfence advirtió que los mecanismos de actualización automática de WordPress no necesariamente aplican el parche de PHP. Por ello, los responsables de cada página deben confirmar quién administra el servidor y si la corrección ya fue instalada.
Los pasos recomendados son:
- Identificar la versión de PHP: consultar el panel del alojamiento o la configuración del servidor.
- Contactar al proveedor de hosting: si el servidor es administrado por un tercero, solicitar confirmación de que el parche está aplicado.
- Actualizar PHP: instalar la versión corregida que corresponda y verificar que los servicios funcionen correctamente.
- Revisar los registros de seguridad: buscar indicios de actividad sospechosa y seguir las recomendaciones del equipo de respuesta a incidentes si se detecta una posible intrusión.
Estas medidas son especialmente relevantes para páginas alojadas en servidores compartidos, donde el propietario del sitio puede no tener acceso directo a la configuración de PHP.
¿Qué deben hacer los administradores si no pueden actualizar de inmediato?
La recomendación principal es instalar el parche cuanto antes. Si la actualización no puede realizarse inmediatamente, el equipo de PHP publica medidas provisionales para reducir la exposición a determinadas rutas de ataque. Sin embargo, advierte que estas medidas no garantizan que el sistema sea seguro.
Cuando no sea posible aplicar la corrección, los responsables deben evaluar el riesgo de mantener el servicio disponible y considerar su desconexión temporal. En los sistemas críticos, la decisión debe coordinarse con el equipo de seguridad y el proveedor de infraestructura.
La información técnica y los paquetes oficiales pueden consultarse en estos recursos:
La prioridad operativa es verificar la versión instalada, aplicar la actualización correspondiente y comprobar que los servicios se hayan recuperado de forma segura. Si existe evidencia de una intrusión, instalar el parche no sustituye la investigación del incidente ni las acciones necesarias para determinar si hubo acceso no autorizado.
El Imparcial
