Fallos críticos en PHP provocan alerta mundial tras filtración de un video
La divulgación anticipada de un video que mostraba cómo explotar dos vulnerabilidades críticas del lenguaje de programación PHP provocó una alerta mundial de ciberseguridad, después de que la empresa Cloudflare detectara millones de intentos de ataque contra su red, según informó su director ejecutivo, Matthew Prince, el 22 de octubre de 2026.
Prince explicó que, durante las diez horas anteriores al anuncio oficial de las vulnerabilidades, se habían registrado miles de intentos de explotación. La cifra aumentó a decenas de miles en los primeros 45 minutos posteriores a la divulgación, a cientos de miles en dos horas y, posteriormente, a millones.
El incidente afectó a PHP, una tecnología utilizada por cerca del 70 % de los sitios web, según los datos citados en el reporte. Las fallas identificadas como CVE-2026-109618 y CVE-2026-109619 recibieron una puntuación de gravedad de 9,2 sobre 10, debido a que podían permitir la ejecución remota de código sin necesidad de contraseña.
Filtraciones adelantaron la publicación de los fallos
La Fundación PHP reconoció que existían indicios de uno de los errores desde 2024, aunque entonces no se habían identificado métodos concretos para explotarlo. La organización calificó posteriormente esta situación como un fracaso estructural en sus mecanismos de seguridad.
El 11 de agosto de 2026, las empresas Calif y OpenAI reportaron de manera independiente una de las vulnerabilidades. El 24 de agosto, la firma de ciberseguridad Wiz comunicó nuevos métodos de ataque.
Los detalles se mantuvieron bajo embargo para permitir que los desarrolladores prepararan las correcciones antes de divulgar públicamente el problema. Sin embargo, el proceso se vio afectado el 20 de octubre, cuando Calif publicó por error un video que mostraba cómo explotar una de las fallas.
Posteriormente, la empresa Chainguard publicó un parche seis horas antes de la fecha prevista, lo que permitió que posibles atacantes estudiaran la vulnerabilidad antes de que se completara el anuncio oficial.
Ante la exposición anticipada, los desarrolladores de PHP adelantaron la publicación de las actualizaciones de seguridad y lanzaron el 21 de octubre cuatro parches de emergencia para corregir ambos fallos.
Gobiernos desconectan portales y agencias emiten alertas
La divulgación de las vulnerabilidades provocó medidas preventivas en distintos países, incluidas actualizaciones masivas de servidores y la desconexión temporal de portales gubernamentales europeos y sistemas de otras agencias.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó el 21 de octubre desconectar los sistemas que no pudieran actualizarse inmediatamente. La institución advirtió que este tipo de vulnerabilidades puede facilitar el acceso directo al sistema de archivos de un servidor o a sus bases de datos.
El principal riesgo radica en que un atacante pueda ejecutar instrucciones de manera remota y comprometer información almacenada en los sistemas afectados, sin necesidad de contar previamente con una contraseña.
La situación ha puesto de relieve la importancia de aplicar rápidamente los parches de seguridad, revisar los servidores que utilizan PHP y evitar que los detalles técnicos de una vulnerabilidad se hagan públicos antes de que las organizaciones tengan tiempo suficiente para proteger sus sistemas.