Una grave vulnerabilidad de seguridad recién descubierta está sacudiendo miles de sitios web y servicios en línea en todo el mundo. El problema afecta al lenguaje de programación PHP, que sustenta desde blogs y portales de noticias hasta complejas tiendas en línea y sistemas de gestión de contenidos (CMS) como WordPress, Joomla!, Drupal, Moodle y Typo3.
Los expertos estiman que, solo en el caso de WordPress, existen entre 400 y 500 millones de sitios web activos a nivel global. Además de la empresa de ciberseguridad Huntress y el equipo de seguridad de PHP, la Oficina Federal para la Seguridad de la Información (BSI) ha emitido una alerta oficial (referencia BITS‑H n.º 2026‑297981‑1032) calificando el riesgo como «3 / Naranja», es decir, extraordinariamente alto y que exige contramedidas inmediatas. La BSI advierte que, si no es posible aplicar los parches de forma rápida, se debe considerar la desconexión temporal del servidor web de Internet para evitar que el sistema resulte comprometido.
Las vulnerabilidades, denominadas «PHP2Shel» y registradas con los identificadores CVE‑2026‑109618 y CVE‑2026‑109619, permiten la ejecución remota de código sin autenticación. En la práctica, un atacante puede tomar el control total de un sitio, acceder a bases de datos sensibles y usar la infraestructura para lanzar otros ciberataques. La información detallada se filtró prematuramente, lo que ha generado una presión temporal enorme: se teme que los delincuentes desplieguen scripts automatizados para escanear y secuestrar servidores desprotegidos a gran velocidad.
Ya se observan consecuencias en la vida pública. Varios municipios y organismos públicos han seguido la recomendación de la BSI y han desactivado temporalmente sus servicios en línea. Un caso concreto es la ciudad de Maguncia (Mainz), que apagó su portal municipal (mainz.de) mientras mantiene oficinas y atención al ciudadano por teléfono y correo electrónico. Universidades y hospitales han adoptado medidas similares.
Alerta internacional de ciberseguridad
En Japón, autoridades han declarado que podrían apagar servidores críticos. En Francia, algunas municipalidades ya tomaron esa drástica medida, mientras se normaliza la situación.
Para administradores de sitios web, tiendas en línea y plataformas empresariales basadas en PHP, la situación es de máxima urgencia. Se recomienda contactar sin demora a los administradores de sistemas, proveedores de servicios informáticos o de hosting y aplicar los parches y actualizaciones de seguridad tanto del entorno PHP como de los CMS utilizados. Las versiones antiguas de PHP sin soporte oficial representan un riesgo incalculable y deben aislarse o actualizarse de inmediato.
Los desarrolladores de PHP anunciaron la publicación de un parche de seguridad el miércoles a las 16:00 h, contenido en la versión 8.5.12 y recomendaron con urgencia instalar dicha actualización.
¿Qué deben hacer los usuarios?
Para los usuarios habituales de Internet, no es necesario tomar medidas directas, ya que la vulnerabilidad reside en los servidores y no en los dispositivos de los usuarios. Sin embargo, pueden verse afectados indirectamente por interrupciones de servicios o filtraciones de datos en sitios que no se hayan protegido a tiempo.
Los desarrolladores del lenguaje PHP y los proveedores de alojamiento web están trabajando 24 horas al día para cerrar estas brechas y mitigar el impacto global.
NotiVeraz