Si administras una web construida sobre WordPress, Drupal o cualquier otro sistema basado en PHP, es probable que esta semana hayas tenido que actuar con urgencia. Dos vulnerabilidades críticas descubiertas en este lenguaje, usado según algunas estimaciones por hasta el 70 % de los sitios de internet, forzaron la desconexión de servicios en distintos países tras hacerse públicas el miércoles 22 de octubre.
Las fallas, registradas como CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código malicioso de forma remota en servidores vulnerables. Los propios desarrolladores de PHP les asignaron una puntuación de gravedad de 9,2 sobre 10. El parche de seguridad se publicó a las 10:00, hora del este de Estados Unidos.
Un fallo de dos décadas que la inteligencia artificial hizo explotable
El problema técnico no es reciente. Según la firma de ciberseguridad Wiz, el error existe en PHP desde hace unos 20 años, pero aprovecharlo exigía hasta ahora una cadena de pasos tan compleja que estaba casi fuera del alcance de los investigadores humanos.
Esa barrera cambió con la llegada de modelos de inteligencia artificial más avanzados. OpenAI sostiene que un investigador utilizó GPT-5.6 Sol para identificar las vulnerabilidades antes de que lo hicieran posibles atacantes, y la compañía ha publicado una herramienta para que los desarrolladores comprueben si su versión de PHP necesita el parche.
Ami Luttwak, cofundador de Wiz —empresa que también participó en la identificación del fallo—, declaró al Wall Street Journal que se trata de la vulnerabilidad relacionada con IA más grave jamás encontrada. Wiz la describe como una de las más graves en la historia del software.
Ataques antes de que existiera parche
Los intentos de explotación no esperaron al anuncio oficial. CJ Moses, director de seguridad de Amazon, explicó que el equipo de inteligencia de amenazas de la compañía detectó un intento de ataque, bautizado PHP2Shell, el 17 de octubre, varios días antes de que hubiera una corrección disponible. La actividad fue captada por un sistema de monitorización diseñado como señuelo para atacantes.
Cloudflare aportó una idea de la magnitud del fenómeno. Su consejero delegado, Matthew Prince, señaló que la red de la compañía registró miles de intentos de explotación en las diez horas previas al anuncio público. Esa cifra escaló a cientos de miles en las dos horas siguientes y llegó a millones a última hora del mismo día.
Wikipedia, 4chan y el Internet Archive, entre los afectados
El impacto se notó en servicios muy conocidos. Wikipedia, 4chan y DeviantArt sufrieron problemas de funcionamiento. Algunas agencias gubernamentales de Países Bajos y Finlandia optaron por retirar sus webs de forma preventiva mientras aplicaban las correcciones.
Según recogió el medio Kotaku, los videojuegos Pokémon Home y Pokémon Champions también quedaron fuera de línea durante el episodio.
El Internet Archive estuvo brevemente caído, aunque su equipo de operaciones logró aplicar el parche y restablecer el servicio con rapidez. Su fundador, Brewster Kahle, agradeció en Mastodon el trabajo de quienes resolvieron la crisis en numerosas organizaciones y advirtió sobre lo que podría haber ocurrido si el fallo hubiera afectado a infraestructuras como el suministro eléctrico o los semáforos.
La Agencia de Seguridad Nacional de Estados Unidos (NSA), a través de su cuenta de ciberseguridad, y el Centro Nacional de Ciberseguridad del Reino Unido recomendaron a las organizaciones desconectar sus sistemas si no podían aplicar la actualización de inmediato.
¿Hubo ataques exitosos?
La firma de seguridad watchTowr detalla que se trata de fallos de ejecución remota de código que afectan a todas las versiones de PHP desde la versión 5. En la práctica, un atacante podría ejecutar su propio código en un servidor vulnerable, modificar sitios web o sustraer información.
Elizabeth Barron, directora ejecutiva de la PHP Foundation, declaró al medio The Verge que, hasta donde se sabe, no se ha confirmado ningún intento exitoso de ejecución remota de código. Aun así, insistió en que actualizar los sistemas afectados es imperativo. Es un matiz relevante: existen intentos masivos documentados, pero no hay compromisos confirmados de servidores.
Webs y servicios que no pueden actualizarse
El problema va más allá de instalar un parche. Al afectar a casi veinte años de versiones de PHP, muchas de ellas ya sin soporte técnico, los sitios que dependen de tecnología antigua o que ya no cuentan con mantenimiento activo quedan en una posición complicada.
Es el caso de dos videojuegos móviles japoneses con más de una década de antigüedad, World Quest y Save My Demonic World, cuyos responsables han anunciado su cierre al no poder actualizarlos. Kotaku advierte de que este tipo de episodios puede dejar fuera de la vista pública partes enteras de la historia de internet.
Qué revisar si gestionas una web o un servidor con PHP
A partir de las recomendaciones de las fuentes citadas, conviene tener en cuenta varios puntos:
Comprobar la versión de PHP instalada. OpenAI ha publicado una herramienta para verificar si se utiliza una versión potencialmente vulnerable. Si esa versión ya no recibe soporte, es posible que el parche no esté disponible.
Aplicar cuanto antes la actualización publicada el miércoles. La PHP Foundation la califica de imperativa.
Si no es posible actualizar de inmediato, valorar desconectar el sitio, tal como recomendaron la NSA y el NCSC británico, siguiendo el ejemplo de las agencias de Países Bajos y Finlandia.
Revisar si algún servicio depende de código sin mantenimiento activo, la situación que ha llevado al cierre de los dos videojuegos japoneses mencionados.
Qué significa esto para usuarios y administradores
Para quienes administran una web basada en PHP, actualizar dejó de ser una tarea rutinaria de mantenimiento para convertirse en una prioridad urgente. Verificar qué versión del lenguaje se está utilizando y quién se encarga de mantenerla es el primer paso.
Para los usuarios, el episodio deja una lección distinta: algunos servicios antiguos podrían no volver a estar disponibles. El cierre de World Quest y Save My Demonic World muestra que los proyectos sin un equipo activo detrás son los más vulnerables ante este tipo de crisis de seguridad.
Preguntas frecuentes
¿Qué son las vulnerabilidades CVE-2026-109618 y CVE-2026-109619?
Son dos fallos críticos descubiertos en el lenguaje PHP que permiten ejecutar código malicioso de forma remota en servidores vulnerables. Recibieron una puntuación de gravedad de 9,2 sobre 10.
¿Por qué estos fallos existían desde hace tanto tiempo sin ser explotados?
Según la firma Wiz, aprovechar el fallo requería una secuencia de pasos extremadamente compleja, casi al límite de lo que los investigadores humanos podían lograr en la práctica, hasta que modelos de inteligencia artificial avanzados facilitaron su identificación.
¿Qué sitios se vieron afectados por este problema?
Wikipedia, 4chan y DeviantArt registraron problemas de funcionamiento. El Internet Archive estuvo brevemente caído. Agencias gubernamentales de Países Bajos y Finlandia retiraron sus webs de forma preventiva, y Pokémon Home y Pokémon Champions quedaron fuera de línea temporalmente.
¿Se confirmaron ataques exitosos que comprometieran servidores?
Según Elizabeth Barron, directora ejecutiva de la PHP Foundation, hasta donde se sabe no se ha confirmado ningún intento exitoso de ejecución remota de código, aunque se detectaron millones de intentos de explotación.
¿Qué debo hacer si gestiono una web con PHP?
Comprobar la versión de PHP que utiliza el servidor, aplicar la actualización publicada, y si no es posible hacerlo de inmediato, valorar desconectar el sitio temporalmente, siguiendo las recomendaciones de la NSA y el Centro Nacional de Ciberseguridad del Reino Unido.
¿Qué pasó con los servicios que no pudieron actualizarse?
Algunos proyectos sin mantenimiento activo, como los videojuegos japoneses World Quest y Save My Demonic World, anunciaron su cierre definitivo al no poder aplicar el parche necesario.
Samuel Gil es especialista en infraestructura tecnológica, administración de servidores y desarrollo de servicios digitales. Con una sólida trayectoria en entornos web de alta exigencia, optimización de servidores y gestión de arquitecturas de red, Samuel dedica su labor en faq-box.com a desglosar cuestiones técnicas complejas para convertirlas en guías prácticas, transparentes y de alto valor técnico.
Su enfoque editorial prioriza el rigor, la seguridad en los sistemas y la resolución eficiente de problemas técnicos cotidianos y avanzados. A través de sus análisis, busca ofrecer respuestas directas y contrastadas para profesionales y entusiastas del sector tecnológico.
Cuenta con una sólida formación en el área tecnológica, destacando su especialización a través del Máster en Inteligencia Artificial Aplicada a la Gestión Empresarial y el MBA in Digital Transformation & Artificial Intelligence de ISEEN.EU, lo que aporta un rigor técnico avanzado a cada análisis de desarrollo y arquitectura digital.
