Una falla crítica en PHP desató este miércoles una emergencia digital a escala mundial. Gobiernos, organismos internacionales y empresas recibieron la misma instrucción de las agencias de ciberseguridad: aplicar de inmediato el parche publicado esta tarde o, si eso no es posible, apagar sus sitios web hasta resolver el problema. El gobierno de Finlandia cerró temporalmente sus servicios web públicos, la agencia de ciberseguridad de Países Bajos anunció que desconectaría su propia página y hasta la BBC y Wikipedia quedaron parcialmente fuera de servicio.
Las dos vulnerabilidades se detectaron en PHP —siglas de Hypertext Preprocessor—, el lenguaje de programación que corre detrás de una enorme parte de internet, incluidos sistemas tan extendidos como WordPress, Drupal y Joomla. Investigadores de las empresas Calif y Wiz las descubrieron con ayuda de inteligencia artificial de última generación desarrollada por OpenAI. La firma Wiz las calificó como las más graves jamás descubiertas por esta tecnología, y OpenAI afirmó que se trata de «uno de los problemas de seguridad con mayor impacto de los últimos tiempos». Según los especialistas, los fallos llevaban más de una década pasando desapercibidos.
Falla crítica en PHP: por qué la orden fue apagar los sitios
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) advirtió que las puntuaciones de riesgo de las vulnerabilidades apuntan a la posibilidad de ejecución remota de código sin autenticación: en la práctica, un atacante podría entrar al sistema de archivos o a la base de datos de un servidor, instalar software malicioso y sabotear el sitio. CERT-EU señaló además que podrían estar afectadas todas las versiones del lenguaje desde PHP 5, lanzado en 2004, mientras que la Fundación PHP solo publicó la actualización para las versiones más recientes en su página oficial de descargas y pidió a quienes usan PHP 8.1 o anteriores que se actualicen. Para los administradores, corregir esta falla crítica en PHP es ahora la tarea prioritaria del día.
La reacción fue en cadena. En Estados Unidos, la Agencia de Seguridad Nacional (NSA) difundió en X el mismo consejo de desconectar los sistemas que no pudieran actualizarse, y la Casa Blanca aseguró que las agencias federales trabajan con los principales laboratorios de inteligencia artificial para acelerar la solución. La primera ministra de Japón, Sanae Takaichi, pidió públicamente comprobar si los sitios oficiales funcionan con PHP. El Centro Nacional de Ciberseguridad de Reino Unido (NCSC) y sus homólogos de la Unión Europea y Australia instaron a aplicar las correcciones cuanto antes.
Wikipedia, la BBC y Edimburgo, entre los afectados
La Fundación Wikimedia confirmó que trabaja en las vulnerabilidades y que desactivó otros sistemas como precaución, lo que dejó inaccesibles algunas partes de Wikipedia durante el miércoles. También cayeron el sitio del ayuntamiento de Edimburgo y las plataformas en línea de programas de la BBC como Doctor Who y The Traitors.
La lista siguió creciendo durante la jornada: el instituto nacional de salud pública de Países Bajos y la página de la cámara baja del Parlamento neerlandés quedaron inaccesibles. En Bélgica, el grupo de medios Roularta desactivó su acceso, y la plataforma de arte DeviantArt se declaró «temporalmente fuera de servicio por mantenimiento».
Las estimaciones que maneja la BBC sitúan en torno al 70 % la proporción de internet potencialmente afectada, una cifra que el propio medio dice no haber podido verificar, pero que ilustra la magnitud del problema: como recordó la firma Huntress, «PHP está en todas partes», a veces dentro de productos de terceros sin que la organización que los usa lo sepa. Dane Knecht, director de tecnología de Cloudflare, afirmó que ya se observan ataques tempranos que intentan aprovechar la brecha. No es la primera sacudida digital de la semana para los usuarios: días atrás, una caída de Google Cloud en Londres dejó sin servicio a Revolut y a varios bancos británicos, y el sector tecnológico también siguió de cerca la caída de las acciones de Netflix en Wall Street.
Lo que se sabe hasta ahora
La solución oficial se publicó este miércoles por la tarde y las agencias piden instalarla de inmediato; donde no sea factible, la recomendación oficial es desconectar el sistema hasta completar la corrección. Los expertos insisten en que el reto que deja esta falla crítica en PHP no es solo parchear, sino localizar todas las instancias donde corre PHP —sitios públicos, gestores de contenido, alojamientos compartidos y software de terceros— y vigilar señales de que un atacante ya haya podido entrar antes del cierre. La emergencia sigue en desarrollo y se espera que más organismos anuncien cierres preventivos o actualizaciones en las próximas horas.
