Alerta mundial ante las vulnerabilidades que ponen en grave riesgo los servidores web

Varios países lanzaron ya alertas ante las vulnerabilidades que se detectaron en un lenguaje de programación (el PHP) muy utilizado para crear páginas web y aplicaciones y que pueden acarrear importantes riesgos para esos servidores.

Entre los países que ya lanzaron esas alertas están Estados Unidos, España, Alemania, Países Bajos y el Reino Unido, que advirtieron que todas las organizaciones que utilicen ese lenguaje en sus sistemas deben prepararse para instalar una actualización que corrija las dos vulnerabilidades «críticas» que se detectaron.

Es noticia: Presupuesto 2027: qué pasó en el Congreso, por qué será por decreto y qué viene ahora

La Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) advirtió este miércoles de esas vulnerabilidades, y de que esos fallos pueden proporcionar una vía directa al sistema de archivos o a la base de datos del servidor, por lo que recomendó desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato.

Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensitive data and networks. The FBI urges organizations to take the following steps now: ➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated. ➡️ Immediately update affected PHP installations following the guidance on https://t.co/rDrPSxB3zX. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP. ➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation. ➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/iqgVZIbCru. Those reports help us identify the actors involved and warn other organizations before they become victims. For the latest information, follow PHP’s announcement on https://t.co/rDrPSxB3zX, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.

— FBI Cyber Division (@FBICyberDiv) October 21, 2026

En España, el Instituto Nacional de Ciberseguridad (Incibe) emitió una alerta ante estas vulnerabilidades, calificó la importancia del aviso en su nivel máximo («importancia crítica») y avisó de que atacantes remotos no autenticados podrían ejecutar códigos y tomar el control de un servidor web sin tener los privilegios para ello.

Las vulnerabilidades que se detectaron están clasificadas con una puntuación de severidad crítica, de 9,2 en una escala que abarca del 0 al 10, informó el Incibe.

Otras noticias: La ONU alerta de un episodio de El Niño «sin precedentes», con temperaturas hasta 3,8 grados superiores

PHP es un lenguaje de programación que se utiliza principalmente para crear páginas web dinámicas y aplicaciones que funcionan en internet, en las que esos sitios no se limitan a mostrar información estática, sino que pueden responder e interactuar con el usuario.

Entre las soluciones a este grave problema que afecta a uno de los lenguajes de programación más utilizados del mundo, las agencias de seguridad apuntaron la de aplicar las versiones corregidas, y comunicaron que ya están disponibles las actualizaciones que solucionan esas vulnerabilidades.

Por ello, aconsejaron actualizar «de inmediato» esa herramienta e hicieron una serie de recomendaciones para adoptar medidas temporales en caso de que no se pueda actualizar de forma inmediata.

Esas medidas temporales reducen la exposición a algunas «rutas» concretas, pero el Incibe español advirtió que la actualización es la única solución completa, y alertó de que, si no se puede actualizar un sistema que está expuesto a internet, se debe aislar de las redes públicas hasta que se consiga aplicar la versión corregida.

Las vulnerabilidades que se diagnosticaron se refieren a un fallo en la gestión de la memoria que puede provocar que PHP maneje datos internos en un estado incorrecto, lo que podría ser utilizado por un atacante; y que el lenguaje conserve información interna de una petición anterior y la use incorrectamente al procesar otra.

Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server’s file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.

— NSA Cyber (@NSACyber) October 21, 2026

En Alemania, la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) alertó ante el riesgo de ciberataques, después de que se descubrieran esas vulnerabilidades graves en este lenguaje, y aseguró que «en estos momentos, unas vulnerabilidades críticas en el lenguaje de programación PHP suponen una amenaza para las aplicaciones web de todo el mundo».

En Países Bajos, numerosas instituciones públicas, empresas y medios de comunicación desconectaron sus páginas web como medida preventiva ante el riesgo de ciberataques por la misma razón, y Japón emitió también una alerta en el mismo sentido.

Por su parte, numerosas webs de instituciones públicas, medios de comunicación, hospitales y empresas de Bélgica quedaron desconectadas como medida preventiva.

El primer gran apagón institucional llegó desde Flandes, cuyo ministro-presidente, Matthias Diependaele, anunció en la red social X que había ordenado retirar de forma temporal todas las webs oficiales del Gobierno regional que funcionan con ese lenguaje.

«La continuidad y la seguridad de los servicios digitales para nuestros ciudadanos son nuestra prioridad absoluta», justificó Diependaele, que prometió publicar cuanto antes la lista de sitios y servicios afectados, entre los que figura ya el portal del Parlamento flamenco.

Las advertencias de estos países se suman a las emitidas por el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea (CERT-EU) y por otros organismos nacionales, como el Centro Nacional de Ciberseguridad del Reino Unido, que aconsejaron igualmente identificar los sistemas vulnerables e instalar las actualizaciones.

Según la empresa de ciberseguridad Wiz, las vulnerabilidades pueden permitir que un atacante ejecute código de forma remota sin autenticarse previamente y, en uno de los casos, lea información sensible almacenada en la memoria de los servidores.