Foto: Johan Fredriksson / Wikimedia Commons (archivo, 2010).
Organismos públicos europeos retiraron temporalmente sitios de internet este 21 de octubre como precaución ante dos fallos críticos de PHP, un lenguaje utilizado para hacer funcionar servicios web. Sus desarrolladores publicaron actualizaciones de emergencia y pidieron instalarlas de inmediato.
Entre los servicios afectados por cierres preventivos figuran portales de prefecturas francesas y sitios públicos de Países Bajos, incluido el del Puerto de Róterdam. En Finlandia, el proveedor estatal Valtori suspendió servicios web gubernamentales y aclaró que no había identificado intentos de explotación ni una filtración de datos.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, pueden permitir que una persona sin cuenta ni contraseña ejecute código en un servidor bajo determinadas condiciones. Ambas recibieron una calificación de gravedad de 9.2 sobre 10. La existencia del fallo no demuestra, por sí sola, que un sitio haya sido atacado.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso oficial incluye entre las instalaciones en riesgo las que atienden solicitudes web mediante PHP-FPM, Apache con mod_php y otros sistemas. Los responsables del proyecto advierten que las medidas provisionales reducen ciertas vías de exposición, pero no sustituyen una actualización completa.
El equipo de respuesta informática de las instituciones europeas, CERT-EU, recomendó identificar las aplicaciones que utilizan PHP y preparar su actualización inmediata. Cuando no resulte posible aplicar la corrección, planteó aislar de las redes públicas las aplicaciones expuestas hasta poder resolver el problema.
La Fundación PHP reconoció que los primeros indicios de uno de los problemas se detectaron en 2024. Explicó que la dificultad técnica, el proceso de decisión y la falta de recursos retrasaron la solución; nuevos informes de investigadores en agosto de 2026 aclararon su alcance y elevaron la corrección a máxima prioridad.
La alerta añade un caso concreto al debate sobre la seguridad de los sistemas conectados reseñado por FP Noticias. Para empresas que dependen de una web, la comprobación corresponde a su administrador o proveedor de alojamiento: confirmar qué versión utiliza el servidor y si recibió la corrección oficial.
FP Noticias, tus ojos en todas partes.
Fuentes: PHP, aviso y versiones del 21 de octubre; Fundación PHP; CERT-EU; Reuters. Consultadas el 21 de octubre de 2026.
Imagen: Johan Fredriksson, sala de servidores PDC del KTH, Estocolmo, 9 de diciembre de 2010; original, CC BY-SA 3.0. Presentación adaptada por el sitio; imagen bajo la misma licencia.
