Alerta mundial por fallos críticos en Internet: gobiernos, hospitales y medios desconectan sus webs

Gobiernos, hospitales, medios de comunicación y empresas de todo el mundo desconectaron sus sitios web de forma preventiva tras el hallazgo de dos vulnerabilidades críticas en PHP, el lenguaje de programación que, según estimaciones, hace funcionar cerca del 70% de las páginas de internet. Las fallas, descubiertas con ayuda de inteligencia artificial, podrían permitir a un atacante tomar el control de un servidor sin necesidad de contraseña.

La alarma saltó el miércoles, cuando numerosos países emitieron alertas y pidieron instalar de inmediato una actualización ya disponible. Los voluntarios del proyecto PHP publicaron ese día la corrección.

Qué dicen las agencias de seguridad

La Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtió que los fallos “a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor” y recomendó aplicar los parches o desconectar temporalmente los sistemas que no puedan actualizarse. Alertas similares emitieron organismos de España, Alemania, Países Bajos, Reino Unido y Japón, además del equipo de respuesta a incidentes informáticos de la Unión Europea (CERT-EU).

El Instituto Nacional de Ciberseguridad de España (Incibe) otorgó a la alerta su nivel máximo, de importancia crítica, y clasificó las vulnerabilidades con una severidad de 9,2 sobre 10. Advirtió que atacantes remotos sin autenticación podrían ejecutar código y controlar un servidor web. Según el organismo, las medidas temporales solo reducen la exposición: la actualización es la única solución completa, y todo sistema expuesto a internet que no pueda actualizarse debe aislarse de las redes públicas.

Apagones preventivos en Europa

En Países Bajos se desconectaron el servicio nacional de identidad digital DigiD, el sitio de la Cámara de Representantes y el del centro nacional de ciberseguridad, además de numerosas instituciones públicas, empresas y medios. En Bélgica quedaron fuera de línea webs de instituciones, medios, hospitales y empresas. El primer gran apagón institucional llegó desde Flandes, cuyo ministro-presidente, Matthias Diependaele, ordenó retirar temporalmente todas las webs oficiales del Gobierno regional que usan PHP, entre ellas el portal del Parlamento flamenco. “La continuidad y la seguridad de los servicios digitales para nuestros ciudadanos son nuestra prioridad absoluta”, justificó.

En Francia, sitios de administraciones locales, incluida la Prefectura de Policía de París, dejaron de estar accesibles a pedido de la agencia nacional de ciberseguridad.

Que un sitio esté fuera de línea no significa que haya sido pirateado. Según los especialistas consultados, se trata de una medida responsable mientras se aplican las actualizaciones, y hasta ahora no se han detectado ataques activos.

Qué es PHP y por qué importa

Creado a principios de la década de 1990, PHP es un lenguaje que permite construir sitios dinámicos, que consultan bases de datos, reconocen al usuario o muestran contenido personalizado. Sostiene plataformas como WordPress, Drupal o PrestaShop, por lo que el alcance potencial abarca desde tiendas en línea y medios de noticias hasta servicios públicos. La firma Wiz lo define como “la columna vertebral de la web”.

Las vulnerabilidades se refieren a un fallo en la gestión de la memoria, que puede hacer que PHP maneje datos internos en un estado incorrecto, y a un error por el cual el lenguaje conserva información de una petición anterior y la usa mal al procesar otra. Según Wiz, permiten ejecutar código de forma remota sin autenticación y, en uno de los casos, leer información sensible en la memoria de los servidores.

Un hallazgo hecho por la IA

Los errores fueron reportados en agosto, de forma independiente, por la firma Calif y por OpenAI, y se mantuvieron en reserva mientras se preparaba la corrección. Wiz, empresa de seguridad en la nube propiedad de Google, aportó después más formas de explotarlos. OpenAI sostuvo que el hallazgo “marca una nueva fase en la que la IA puede encontrar errores de seguridad con impacto a escala de internet”.

La situación se aceleró cuando los detalles técnicos se filtraron en línea el martes, un día antes del lanzamiento previsto del parche, y se desató una carrera para desconectar sitios. Volker Dusch, ingeniero de seguridad de la PHP Foundation, llegó a calificarlas como el problema más serio para PHP en más de una década y las comparó con Heartbleed, el fallo de 2014 que provocó una carrera mundial por aplicar parches. “Si utiliza PHP, es imperativo actualizarlo de inmediato”, indicó la fundación.

El riesgo de los sitios olvidados

Los expertos advierten que las grandes instituciones podrán corregir sus webs con relativa rapidez, pero otras seguirán expuestas. “Algunos sitios web, sistemas y personas no tendrán ni la más mínima idea de lo que pasa y permanecerán en la ignorancia durante días, semanas o incluso meses”, alertó Steve Kerrison, profesor de ciberseguridad de la Universidad James Cook. Blogs o sitios personales vulnerables podrían usarse para propagar virus o spam. Además, si interfaces de terceros usan PHP, un sistema puede seguir expuesto aun después de actualizarse.

Sergey Lozhkin, de Kaspersky, anticipó que podría ser una de las vulnerabilidades más importantes de 2026 y pidió una respuesta “inmediata y contundente”. Gabriela Zornoza, de Check Point, advirtió que es una “puerta abierta” para cualquier acción maliciosa, incluso planificar un ataque ahora para ejecutarlo más tarde. Gunnar Hellekson, de Lightwell, recordó que el código abierto está “profundamente arraigado” en los sistemas que sostienen la actividad empresarial global.

Con la tendencia actual, el número de vulnerabilidades detectadas por modelos de IA en 2026 podría duplicar el récord del año pasado.

Más información: