Dos fallos críticos en PHP ponen en riesgo a casi el 70 % de la web

TEGUCIGALPA, 21 octubre — La PHP Foundation publicó hoy actualizaciones de seguridad de emergencia para corregir dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619), ambas con una calificación de 9.2 en la escala CVSS v4. Los fallos afectan a todas las instalaciones de PHP que atienden peticiones web y, según la propia fundación y análisis de seguridad, pueden permitir a un atacante no autenticado ejecutar código de forma remota en el servidor.

Lo que convierte este aviso en un evento de alcance global es el dominio de PHP. Según datos de W3Techs de 2026, PHP está presente en aproximadamente el 70 % de los sitios web cuyo lenguaje de servidor es detectable. Es el motor detrás de WordPress (que por sí solo mueve más del 40 % de la web), Drupal, Joomla, Magento, Laravel y miles de plataformas de comercio electrónico, medios y gobiernos. Una vulnerabilidad en el runtime de PHP no afecta a una aplicación aislada: puede afectar a millones de sitios al mismo tiempo.

La PHP Foundation advirtió que no existen mitigaciones completas y que la única medida segura es actualizar. Los parches están disponibles para las versiones actualmente soportadas (a partir de PHP 8.2). Versiones anteriores, que todavía se usan en una parte importante de la web, quedan fuera del soporte oficial y dependen de que sus proveedores o administradores apliquen correcciones por su cuenta. Expertos de seguridad, citados por medios como WIRED, han señalado que los ataques masivos podrían comenzar minutos después de la publicación de los detalles.

El aviso llega en un momento en el que investigadores usaron modelos de inteligencia artificial para descubrir y desarrollar exploits de fallos que llevaban años en el código. Varias organizaciones y gobiernos ya han puesto sitios temporalmente fuera de línea mientras aplican las actualizaciones, una medida preventiva que refleja la gravedad percibida del incidente.

En el ecosistema PHP, este tipo de eventos son raros pero de alto impacto precisamente porque el lenguaje sigue siendo la base de gran parte de internet, a pesar de que desde hace años se habla de su “declive”. La combinación de una base instalada enorme, versiones antiguas aún en producción y fallos que permiten ejecución remota de código es lo que ha llevado a calificar la situación como una de las más serias de los últimos años para la infraestructura web.