Los sitios web se desconectan mientras PHP corrige dos vulnerabilidades críticas con calificación de 9,2 sobre 10
En breve
La Fundación PHP publicó parches de seguridad hacia las 10 a. m. ET para dos vulnerabilidades críticas del lenguaje de programación PHP, cada una con una calificación de 9,2 sobre 10. Las autoridades de Estados Unidos, Europa y el Reino Unido recomendaron que los sitios que no pudieran actualizarse de inmediato se desconectaran, y varios sitios web, entre ellos partes de Wikipedia, 4chan y algunos sitios gubernamentales, lo hicieron.
Leer la noticia completa 3 min de lectura
El equipo de seguridad de PHP publicó parches hacia las 10 a. m. ET para corregir dos vulnerabilidades del lenguaje de programación PHP, según NBC News y The Verge. Cada una tiene una calificación de gravedad de 9,2 sobre 10. NBC News informó que las autoridades de Estados Unidos, Europa y el Reino Unido recomendaron que los sitios web se desconectaran temporalmente hasta que pudieran corregirse. The Verge, citando a la firma de ciberseguridad watchTowr, dijo que las fallas son exploits de ejecución remota de código que podrían permitir a los atacantes ejecutar su propio código en los servidores afectados. [ 2 , 3 ]
La Fundación PHP detalló las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619, que, según dijo, afectan a todas las instalaciones de PHP que atienden solicitudes web desde la versión 5. Wired informó que solo PHP 8.2 y las versiones más recientes siguen siendo compatibles y recibirán parches, aunque algunas distribuciones y proveedores externos siguen publicando correcciones para versiones antiguas. CNET, en cambio, dijo que las versiones antiguas retiradas también reciben una actualización de emergencia. Newsweek, citando a Google Cloud, dijo que resultan afectadas las versiones de PHP 5.4 a 8.5.11, con correcciones en 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La Fundación PHP escribió que no existen mitigaciones completas y que actualizar es la única opción segura. [ 4 , 5 , 8 ]
Varios sitios web se desconectaron. NBC News citó a Pinboard y a algunas partes de Wikipedia, así como a 4Chan y Something Awful, y dijo que los sitios japoneses también se desconectaron voluntariamente. GOG dijo a las 8 a. m. hora del Pacífico que su sitio y su lanzador estarían fuera de línea durante un par de horas, y PC Gamer informó que volvió a funcionar aproximadamente cuatro horas después de caerse. PC Gamer también informó que el gobierno de Finlandia dio de baja sitios web. Engadget, citando a Reuters, dijo que los gobiernos de Países Bajos, Dinamarca, Francia y Finlandia dieron de baja al menos algunos sitios web, y que Evan Solomon, ministro de Inteligencia Artificial e Innovación Digital de Canadá, publicó en X que se desconectaban temporalmente. [ 3 , 7 , 10 ]
La División de Ciberseguridad de la Agencia de Seguridad Nacional de Estados Unidos dijo en X que, si no es posible una actualización inmediata, las organizaciones deberían desconectar el sistema hasta que pueda mitigarse por completo. El Equipo de Respuesta a Emergencias Informáticas de la UE y el Centro Nacional de Ciberseguridad del Reino Unido publicaron avisos con recomendaciones similares. Engadget dijo que la principal respuesta del gobierno estadounidense hasta ahora fue un mensaje de la Agencia de Ciberseguridad y Seguridad de la Infraestructura que animaba a las organizaciones a actualizar. Cloudflare dijo que veía ataques incipientes, y su director de tecnología dijo que había desplegado una corrección en su cortafuegos. watchTowr dijo que observaba explotación en la naturaleza, pero que hasta ahora nadie había tenido éxito. [ 2 , 4 , 5 , 8 , 10 ]
La magnitud de la exposición no está definida. NBC News citó a W3Techs, que dice que PHP se usa en el 69 % de todos los sitios web, y a Censys, que contó casi 55 millones de propiedades web que ejecutan PHP, y dijo que no estaba claro cuántas habían aplicado la actualización. Un investigador estimó que más de 1,3 millones de hosts conectados a internet probablemente resulten afectados, según The Verge. Wordfence advirtió que la corrección no puede instalarse mediante actualizaciones automáticas. OpenAI dijo que ayudó a descubrir la vulnerabilidad, mientras que CNET informó que OpenAI dijo que el equipo de hackers Calif la encontró usando GPT-5.6 Sol y que Wiz la identificó de forma independiente. [ 2 , 3 , 5 ]
Por qué importa
PHP se utiliza en cerca del 69 % de todos los sitios web, según W3Techs citado por NBC News, por lo que las fallas podrían afectar a un número muy grande de sitios. Los medios informan que todavía no se sabe cuántos sitios han aplicado la actualización ni cuántos fueron comprometidos antes del parche.
Datos clave
- Dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, tienen cada una una calificación de gravedad CVSS v4.0 de 9,2, según informó Newsweek. [ 8 ]
- Los parches de seguridad de PHP se publicaron hacia las 10 a. m. ET. [ 2 , 3 ]
- Google Cloud dijo que resultan afectadas las versiones de PHP 5.4 a 8.5.11, con correcciones en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. [ 8 ]
- La División de Ciberseguridad de la NSA de Estados Unidos dijo que las organizaciones deberían desconectar los sistemas si no es posible una actualización inmediata. [ 8 ]
- El Equipo de Respuesta a Emergencias Informáticas de la UE y el Centro Nacional de Ciberseguridad del Reino Unido recomendaron a las empresas que no puedan parchear de inmediato aislar las aplicaciones expuestas a internet o desconectarlas. [ 2 ]
- Pinboard, algunas partes de Wikipedia, 4chan y Something Awful quedaron fuera de línea, informó NBC News. [ 3 ]
- Los gobiernos de Países Bajos, Dinamarca, Francia y Finlandia dieron de baja al menos algunos sitios web como precaución, según Engadget, que citó a Reuters. [ 10 ]
- OpenAI dijo que ayudó a descubrir la vulnerabilidad y la puso en conocimiento de PHP. [ 3 ]
Confirmado por varias fuentes
- Los parches para las dos vulnerabilidades de PHP se publicaron hacia las 10 a. m. ET. [ 2 , 3 , 5 ]
- Las dos vulnerabilidades tienen una calificación de gravedad de 9,2 sobre 10. [ 2 , 5 , 8 ]
- Las vulnerabilidades permiten a los atacantes ejecutar su propio código en los servidores web afectados. [ 2 , 5 ]
- Autoridades, entre ellas el Centro Nacional de Ciberseguridad del Reino Unido, recomendaron que los sitios web que no pudieran parchearse de inmediato se desconectaran. [ 2 , 5 ]
- Varios sitios web se desconectaron como precaución, entre ellos partes de Wikipedia, 4chan y GOG. [ 3 , 7 , 9 ]
- El gobierno de Finlandia dio de baja sitios web como precaución. [ 7 , 10 ]
- Herramientas de IA participaron en el descubrimiento de las vulnerabilidades. [ 3 , 5 , 8 , 9 , 10 ]
Aún sin aclarar
- Cuántos sitios web han aplicado la actualización y cuántos fueron hackeados antes del parche. NBC News dijo que no estaba claro cuántas propiedades habían aplicado la actualización y que podrían pasar días antes de saber cuántos sitios fueron hackeados.
- Cuántos sitios son vulnerables. Las estimaciones difieren: un investigador calculó más de 1,3 millones de hosts, Censys contó casi 55 millones de propiedades web que ejecutan PHP, y Newsweek señaló que la cuota de cerca del 70 por ciento de PHP en los sitios web no significa que el 70 por ciento sea vulnerable.
- Qué versiones de PHP recibirán correcciones. Wired informó que solo PHP 8.2 y las versiones más recientes siguen siendo compatibles y recibirán parches, mientras que CNET dijo que las versiones antiguas retiradas también reciben una actualización de emergencia.
- Quién descubrió las vulnerabilidades. OpenAI dijo que ayudó a descubrirlas (NBC News); CNET informó que OpenAI dijo que el equipo de hackers Calif las encontró con GPT-5.6 Sol y que Wiz las identificó de forma independiente; Newsweek informó que Google Cloud dijo que Wiz Research usó varios modelos de IA.
- Si los ataques han tenido éxito. watchTowr dijo que observó explotación en la naturaleza, pero que hasta ahora nadie había tenido éxito; Cloudflare dijo que veía ataques incipientes. Ninguna de estas afirmaciones está confirmada por otros documentos.
- Cuándo supo la Casa Blanca del problema. Engadget dijo que la Casa Blanca comunicó a Reuters que fue informada el viernes; ningún otro documento lo indica.
Qué dicen los medios locales
Cronología, hora local
- GOG anunció que su sitio y su lanzador estarían fuera de línea durante un par de horas (hora del Pacífico, según PC Gamer). [ 7 ]
- Se publicaron los parches de seguridad de PHP (ET). [ 2 , 3 , 5 ]
- PC Gamer informó que GOG volvió a estar en línea aproximadamente cuatro horas después de desconectarse. [ 7 ]
- Engadget informó que los sitios web gubernamentales de la UE y Canadá se habían desconectado como precaución. [ 10 ]