Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Un fallo en PHP bastó para que gobiernos y empresas de todo el mundo bajaran la persiana digital el jueves 24 de octubre de 2026.
No hablamos de una pieza marginal de internet. PHP nació a principios de la década de 1990 y sigue sosteniendo cerca del 70% de los sitios web, incluidos servicios montados sobre WordPress, Drupal o PrestaShop.
La alarma creció porque el agujero daba acceso al corazón del servidor
La Agencia de Seguridad Nacional de Estados Unidos advirtió de que estas vulnerabilidades abrían una puerta directa al sistema de archivos o a la base de datos del servidor. Cuando el problema afecta a una capa tan extendida, cerrar una web durante unas horas puede resultar menos costoso que dejar abierta la puerta de atrás.
En el Reino Unido, 32 servicios gubernamentales quedaron fuera de servicio por pura precaución.
Ahí aparece una de las paradojas de este episodio. Una página caída sugiere un ataque consumado, pero Dimitrios Salampasis, profesor de la Universidad Tecnológica de Swinburne en Australia, recordó que dejar una web fuera de línea también puede ser una decisión responsable mientras entran las actualizaciones de seguridad.
"Que las páginas web estén fuera de línea no significa necesariamente que hayan sido pirateadas. Puede tratarse de una medida responsable para proteger los sistemas mientras se aplican las actualizaciones de seguridad". - Dimitrios Salampasis, profesor de la Universidad Tecnológica de Swinburne
La inteligencia artificial encontró en agosto lo que llevaba años escondido
Wiz Research y Calif detectaron en agosto los puntos débiles con ayuda de modelos de inteligencia artificial de OpenAI y Google. La escena resulta incómoda porque la misma automatización que acelera la búsqueda defensiva también acorta el camino hacia un posible abuso, algo que encaja con pruebas de explotación en PHP vistas estos días.
Steve Kerrison, profesor de ciberseguridad en el campus de Singapur de la Universidad James Cook, puso el foco en esa velocidad.
"El problema con herramientas como la IA es que, en el momento en que toda la información se hace pública, la gente puede convertirla en un arma con extrema rapidez". - Steve Kerrison, profesor de ciberseguridad en el campus de Singapur de la Universidad James Cook
Kerrison añadió que esa es la razón de la urgencia general. Primero hay que entender el fallo, luego parchearlo y además hacerlo antes de que alguien convierta una debilidad técnica en un atajo hacia miles de servidores expuestos.
La prisa no implicaba pánico, pero sí una carrera contra el reloj
Ryan Austin, investigador de la empresa de ciberseguridad Calif, rebajó una parte de la alarma al afirmar que, por el momento, no parecía que la explotación de la vulnerabilidad se hubiera generalizado ni extendido. Aun así, Amazon Threat Intelligence detectó un intento de aprovechar los fallos antes de la fecha de divulgación oficial.
Nada de eso garantiza tranquilidad completa.
Rahat Masood, profesor de ciberseguridad en la Universidad de Nueva Gales del Sur en Sídney, llamó la atención sobre un punto menos visible. Si servicios o interfaces de terceros siguen dependiendo de PHP, la corrección local no elimina por sí sola toda la exposición, un riesgo parecido al de cambiar la cerradura de casa mientras una ventana del edificio sigue abierta, como ya muestran ataques con IA agéntica sobre sistemas conectados.
Ese contraste explica el alcance de la reacción del 24 de octubre de 2026. Aunque no hubiera señales de una explotación masiva, bastaba con que un fallo en una tecnología presente en el 70% de la web ofreciera acceso al sistema de archivos o a la base de datos para que 32 servicios públicos británicos, y muchas otras páginas en distintos países, prefirieran apagarse antes que quedar expuestos.