¿Qué es PHP y por qué una falla en este lenguaje tiene en alerta a gobiernos de todo el mundo? 

PHP es un lenguaje de programación, es decir, un conjunto de instrucciones con el que se construyen programas. Se usa principalmente para crear páginas web y aplicaciones dinámicas, aquellas que no se limitan a mostrar información, sino que responden al usuario: un formulario de registro, una tienda en línea, un portal de servicios o un sitio de noticias. Se estima que alrededor del 70% de las páginas web del mundo funcionan con PHP.

Lea también: Alertan sobre falla crítica que pone en riesgo millones de páginas web

Este lenguaje no se ejecuta en el celular o la computadora de quien visita una página, sino en los servidores, las computadoras donde se alojan los sitios web y sus bases de datos. Por eso, el riesgo recae principalmente en las empresas, agencias y organizaciones que operan esos sitios.

Las dos vulnerabilidades, bautizadas como PHP2Shell, permitirían que un atacante tome control de un servidor enviándole una sola petición manipulada, sin necesidad de contraseña ni de iniciar sesión. Una vez dentro, podría instalar programas maliciosos, acceder a archivos y bases de datos, o preparar un ataque para ejecutarlo más adelante.

Las fallas recibieron una puntuación de severidad de 9.2 en una escala del 0 al 10, según el Instituto Nacional de Ciberseguridad de España (Incibe). Un investigador de la firma de ciberseguridad Kaspersky advirtió que podría convertirse en una de las vulnerabilidades más importantes de 2026.

La alerta tomó mayor relevancia porque la Agencia de Seguridad Nacional (NSA, en inglés) de Estados Unidos recomendó, en una inusual advertencia pública, que las organizaciones que no puedan actualizar de inmediato desconecten sus sistemas hasta mitigar el riesgo. Como medida preventiva, servicios, páginas web, medios de comunicación y hospitales de algunos países se desconectaron temporalmente.

Las vulnerabilidades fueron identificadas por expertos en ciberseguridad con ayuda de modelos de inteligencia artificial. Especialistas advierten que esta tecnología acelera el descubrimiento de fallas en programas que llevan años funcionando, lo que aumenta el riesgo, pero también permite detectarlas y corregirlas antes de que sean explotadas.

Los desarrolladores de PHP publicaron las versiones corregidas, que las organizaciones deben instalar en sus servidores. Hasta el momento, la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA, en inglés) de Estados Unidos indicó que no ha observado ataques que exploten estas fallas.

Para el usuario común, no hay que instalar nada en el celular ni en la computadora, porque la corrección les corresponde a quienes administran los sitios web. Aun así, los expertos en ciberseguridad recomiendan mantener las prácticas básicas de siempre: desconfiar de mensajes o páginas sospechosas y no compartir información personal en sitios que no sean confiables.