Dos fallas críticas en PHP amenazan millones de sitios web. Agencias de ciberseguridad recomiendan actualizar o desconectar los servidores.
Agencias de ciberseguridad internacionales y expertos en tecnología emitieron una advertencia urgente tras el descubrimiento de dos vulnerabilidades críticas en PHP, el lenguaje de programación que sostiene a una vasta mayoría de los sitios de internet. Las fallas, calificadas con una gravedad de 9,2 sobre 10, permiten la ejecución remota de código sin necesidad de contraseña, lo que llevó a organismos de la Unión Europea, Reino Unido y Australia a recomendar la desconexión temporal de aquellos sistemas que no puedan actualizarse de inmediato.
Un motor invisible bajo amenaza
PHP opera en el lado del servidor y es el motor tecnológico detrás de plataformas masivas como WordPress, Drupal, Joomla y Magento. Según estimaciones de la industria, el lenguaje alimenta cerca del 70% de los sitios web en todo el mundo.
Las dos vulnerabilidades descubiertas permiten que un atacante externo ejecute órdenes y tome el control de un servidor sin autenticación previa. La situación se aceleró debido a una filtración de información en la red social X por parte de la empresa de investigación watchTowr, la cual adelantó un calendario de divulgación que estaba previsto de forma coordinada.
Aunque inicialmente se reportó calma, la situación escaló rápidamente cuando Cloudflare confirmó la detección de tráfico malicioso y ataques tempranos contra clientes expuestos, obligando a desplegar reglas de protección automáticas como medida provisional.
Ante el riesgo inminente, agencias como el CERT-EU y centros de ciberseguridad británicos y australianos sugirieron a las organizaciones desconectar sus sitios de internet si no lograban aplicar los parches con rapidez. En países europeos como Países Bajos, Finlandia, Dinamarca y Francia, diversas administraciones optaron por retirar temporalmente sus portales y servicios públicos de la red, mostrando pantallas de mantenimiento o errores de conexión.
El problema de los sistemas desactualizados
El equipo de seguridad de PHP lanzó actualizaciones de emergencia para las versiones comprendidas entre la 8.2 y la 8.5. Sin embargo, el principal desafío radica en la fragmentación del ecosistema: las versiones más antiguas (como la 5 y la 7) carecen de soporte oficial desde hace años y no recibirán el parche.
Estimaciones basadas en búsquedas de servidores expuestos revelan que cientos de miles de equipos corren versiones obsoletas de PHP, lo que deja una ventana de vulnerabilidad crítica frente a atacantes que buscan explotar los sistemas analizando las diferencias entre el código anterior y el actualizado.
Las empresas de alojamiento y los administradores de sitios web se mantienen en máxima alerta, instando a realizar copias de seguridad y aplicar las correcciones técnicas de manera inmediata para mitigar el impacto global de la brecha.
