Washington. Agencias gubernamentales y empresas de todo el mundo cerraron sitios web este miércoles después de que salieran a la luz dos fallas críticas relacionadas con PHP, un lenguaje de programación que sirve de base para una gran parte de internet.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a aplicar parches de inmediato o desconectar los sistemas vulnerables.
Las fallas «a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor», señaló la NSA en un comunicado en X.
Los atacantes podrían utilizarlas para tomar control de servidores web sin necesidad de una contraseña.
PHP sirve de base para populares plataformas de diseño web, por lo que las debilidades potencialmente afectan a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales.
El hallazgo se produjo en medio de un auge de divulgaciones sobre seguridad de software impulsado por modelos de inteligencia artificial (IA) cada vez más potentes. De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord alcanzado el año pasado.
Voluntarios del proyecto PHP publicaron una corrección este miércoles para subsanar el problema.
«Si utiliza PHP, es imperativo actualizarlo de inmediato», señaló en una entrada de blog la PHP Foundation, que financia a los desarrolladores que trabajan en el lenguaje.
Las fallas fueron reportadas en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que las señaló de forma independiente el mismo día.
Posteriormente, Wiz, una empresa de seguridad en la nube propiedad de Google, informó de más formas de explotarlas.
En ese momento, las fallas se comunicaron en privado a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una corrección.
«Personal Home Page»
PHP, un lenguaje que se remonta a principios de la década de 1990 y que significa «Personal Home Page», sustenta gran parte de Internet, lo que suscita la preocupación de que un número significativo de sitios web pueda ser vulnerable a los ataques.
«Todos los servidores que utilicen cualquier versión de PHP lanzada en los últimos 20 años serán vulnerables», dijo Tiffany Farriss, directora ejecutiva interina de la Asociación Drupal. «Este problema afecta a la mayor parte de Internet».
Las agencias de ciberseguridad de Europa, Australia, Japón y el Reino Unido han instado a los usuarios de PHP a actualizar el software de inmediato o a desconectar sus sitios web.
La propia agencia de ciberseguridad neerlandesa se desconectó de la red, alegando que lo había hecho como medida de precaución debido a las vulnerabilidades.
El administrador de la enciclopedia en línea Wikipedia también anunció que había desconectado un número no específico de sistemas hasta que puedan parcharse de forma segura.
En Francia, sitios web de administraciones locales, incluida la Prefectura de Policía de París, son inaccesibles desde la tarde de este miércoles a petición de la Agencia Nacional de Ciberseguridad francesa, tras la «detección de una vulnerabilidad crítica de seguridad», según informó el Ministerio del Interior.
En Países Bajos, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el del centro nacional de ciberseguridad se desconectaron como medida de precaución, de acuerdo con la radiodifusora pública neerlandesa NOS.
Fallo detectado con IA
El fallo en PHP se descubrió usando inteligencia artificial, según explicó en una entrada de blog la empresa de ciberseguridad Wiz, de GOOGL.O, propiedad de Alphabet.
Las vulnerabilidades permanecieron ocultas en el código fuente de PHP durante más de una década y habría sido extraordinariamente complicado para un hacker humano aprovecharlas, según la entrada.
«Antes de la IA, este trabajo manual habría sido difícil de llevar a cabo y aún más difícil ampliarlo», señaló. «Con la IA, esto ya no supone un obstáculo».
Wiz explicó que su investigación se basó en Wiz Atlas, su herramienta autónoma de investigación de vulnerabilidades basada en IA, así como en Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI.
Wiz señaló que coordinó con el equipo de PHP, OpenAI y la empresa de ciberseguridad Calif el descubrimiento de la vulnerabilidad y la verificación del parche.
La empresa señaló que también colaboró con Google Cloud, Cloudflare NET.N, AWS de Amazon AMZN.O, Microsoft MSFT.O, Automattic (operador de WordPress.com) y otras empresas como Fastly FSLY.O, Akamai AKAM.O, Imperva y Vercel para proteger a los clientes y preparar medidas de mitigación.
En un comunicado, la Casa Blanca dijo que tuvo conocimiento de la vulnerabilidad el viernes.
«Este descubrimiento demuestra exactamente por qué el liderazgo estadunidense en SI (Súper Inteligencia) es tan crucial», dijo la Casa Blanca, refiriéndose al término preferido por el presidente Donald Trump para referirse a la inteligencia artificial. «Se trata de la innovación estadunidense que refuerza nuestra seguridad nacional».
Software crítico
PHP es un lenguaje de programación utilizado para gestionar sitios web. Cuando un visitante carga una página, un servidor que ejecuta PHP ensambla el contenido y lo envía al navegador. Se trata de un software gratuito y de código abierto mantenido por voluntarios.
La omnipresencia de PHP, que se ejecuta en aproximadamente 75 por ciento de los sitios web cuyo lenguaje de programación puede identificarse, según el rastreador de tecnología web W3Techs, y a que las vulnerabilidades se consideran tan peligrosas, los expertos están preocupados por la existencia de un cantidad enorme de objetivos fáciles.
Las campañas de piratería asistidas por IA, que han proliferado en las últimas semanas, no harían más que empeorar las cosas, dijo Lukasz Olejnik, investigador sénior visitante del King’s College de Londres.
El riesgo es especialmente grave para los pequeños sitios web gestionados por particulares u organizaciones con recursos técnicos limitados, a menudo en servicios de alojamiento compartido en los que los clientes no gestionan directamente los servidores subyacentes.
Los expertos en seguridad señalaron que estos sitios podrían tardar más en aplicar los parches y seguirían expuestos mucho tiempo después de que las correcciones estén disponibles.
