Detectan dos vulnerabilidades críticas en PHP que desatan alerta cibernética mundial

BERLÍN / PARÍS — Una emergencia de ciberseguridad a escala global obligó a entidades gubernamentales, partidos políticos, puertos y organizaciones de diversos países a suspender temporalmente la operación de sus sitios web tras la detección de dos fallas críticas en el lenguaje de programación PHP. Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, alcanzaron una calificación de gravedad de 9,2 sobre 10 en la escala CVSS v4.0 debido a que permiten la ejecución remota de código sin necesidad de autenticación, dejando a los servidores expuestos a accesos no autorizados, robo de información confidencial y alteración de plataformas. La alerta adquiere un impacto masivo en la infraestructura digital internacional debido a que PHP impulsa casi el 70 % de los portales web con lenguajes visibles y es el motor principal del sistema de gestión de contenidos WordPress, que soporta cerca del 40 % de los blogs, medios de comunicación y sitios institucionales del mundo.

Las fallas fueron descubiertas de manera independiente por la firma de seguridad Calif en colaboración con OpenAI y por la empresa de ciberseguridad Wiz (perteneciente a Google), la cual advirtió que los fallos subyacentes permanecieron ocultos en el código fuente durante décadas hasta que el análisis asistido superó las capacidades de revisión humana tradicional. Ante el hallazgo, agencias internacionales de ciberseguridad como el Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) y el FBI instaron a los administradores de redes a aplicar los parches de actualización publicados por el equipo de desarrollo de PHP o, en su defecto, a retirar inmediatamente de línea los sistemas expuestos a internet para prevenir intrusiones sistemáticas.

La recomendación preventiva desencadenó la desconexión temporal de múltiples portales estatales e institucionales en Europa, incluyendo servicios informáticos federales de Alemania, páginas administrativas locales del Ministerio del Interior de Francia, plataformas del Ministerio de Asuntos Exteriores de Bélgica y sitios web de la federación de fútbol, hospitales, formaciones políticas y el Puerto de Rotterdam en los Países Bajos. Mientras los desarrolladores globales avanzan en la implementación de las soluciones técnicas, las autoridades de ciberseguridad mantienen un monitoreo intensivo sobre los servidores para identificar posibles ejecuciones anómalas de comandos e instruyeron el aislamiento inmediato de cualquier infraestructura comprometida.