No quiero sonar catastrofista, pero las cosas empiezan a ponerse serías.
La NSA, o sea, la Agencia de Seguridad Nacional de Estados Unidos, emitió el 21 de octubre de 2026 un comunicado en X con la siguiente advertencia:
«Con efecto inmediato, se recomienda a todas las organizaciones que utilizan PHP en sus sistemas que se preparen para una actualización que solucionará dos vulnerabilidades críticas. PHP se utiliza ampliamente en aplicaciones web. Estas vulnerabilidades suelen proporcionar acceso directo al sistema de archivos o a la base de datos del servidor. Si no es posible realizar una actualización inmediata, se recomienda que las organizaciones desconecten el sistema hasta que se haya solucionado por completo la vulnerabilidad. La NSA proporcionará próximamente instrucciones más específicas».
Las vulnerabilidades, denominadas PHP2Shel y registradas con los identificadores CVE‑2026‑109618 y CVE‑2026‑109619, permiten la ejecución remota de código sin autenticación. En la práctica, un atacante puede tomar el control total de un sitio web, acceder a bases de datos y usar la infraestructura para lanzar otros ciberataques, incluso podrían desplegar scripts automatizados para escanear y secuestrar servidores desprotegidos a gran velocidad.
Esta es una grave vulnerabilidad que pone en riesgo a miles de sitios web y servicios en línea en todo el mundo. El problema afecta al lenguaje de programación PHP, que sustenta desde blogs y portales de noticias hasta complejas tiendas en línea y sistemas de gestión de contenidos (CMS) como WordPress, Joomla!, Drupal, Moodle y Typo3. Se estiman que, solo en el caso de WordPress, existen entre 400 y 500 millones de sitios web activos a nivel global.
La vulnerabilidad detectada se resuelve instalando los parches de seguridad creados por el equipo de desarrollo de PHP. La información se mantiene actualizada en su sitio web. Las descargas para actualizar PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. están disponibles aquí. Si no es posible, hasta que puedan actualizar, se recomienda desconectar/aislar el sistema.
Conclusión
El riesgo de ciberataques globales y masivos existe y la inteligencia artificial está ayudando a descubrir vulnerabilidades que permanecieron ocultas durante años. Mantenerse informado es prioritario para actuar, cuando llegue el momento.
