Alertan sobre falla crítica que pone en riesgo millones de páginas web 

Numerosos países, entre ellos Estados Unidos, Países Bajos, Alemania, Reino Unido, Japón o España, emitieron ayer una alerta a todas las organizaciones que utilizan ese lenguaje de programación -uno de los más extendidos en páginas web y aplicaciones en internet- e hicieron llamamientos urgentes para que instalaran una actualización que corrige las vulnerabilidades “críticas” que se habían detectado.

Ante las alertas lanzadas, numerosos servicios, páginas web, medios de comunicación y hospitales de algunos países decidieron desconectarse como medida preventiva.

Esas vulnerabilidades que se detectaron fueron clasificadas con una puntuación de severidad “crítica”, de 9.2 en una escala que abarca del 0 al 10, informó el Instituto Nacional de Ciberseguridad (Incibe), dependiente del Ministerio para la Transformación Digital y de la Función Pública.

El PHP es un lenguaje de programación que se utiliza principalmente para crear páginas web dinámicas y aplicaciones que funcionan en internet, en las que esos sitios no se limitan a mostrar información estática, sino que pueden responder e interactuar con el usuario.

Entre las soluciones a este grave problema que afecta a uno de los lenguajes de programación más utilizados del mundo, los institutos y agencias de seguridad de numerosos países apuntaron la de aplicar las versiones corregidas, y comunicaron que ya están disponibles las actualizaciones que solucionan esas vulnerabilidades.

En caso de no poder actualizar de forma inmediata las versiones de ese lenguaje afectadas por esos fallos, las agencias han recomendado medidas temporales para reducir la exposición a esas vulnerabilidades, y entre ellas la de aislar de las redes públicas los servicios y desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato.

Desde Lightwell -una iniciativa conjunta de la multinacional IBM y Red Hat para identificar y corregir vulnerabilidades en programas de código abierto- han analizado las alertas que se han sucedido en torno a los fallos de PHP, una de las tecnologías base sobre las que funciona la gran mayoría de páginas web y servicios “online” en el mundo.

Esta plataforma ha señalado que esas vulnerabilidades permiten la ejecución remota de códigos, lo que posibilitaría que un atacante pudiera ejecutar códigos maliciosos sin necesidad de iniciar sesión en el sistema afectado, y ha explicado que el código que hasta ahora “simplemente funcionaba” se encuentra en riesgo debido a la velocidad y al volumen de nuevas vulnerabilidades descubiertas mediante la detección impulsada por la inteligencia artificial.

“La situación a la que se enfrenta PHP es un recordatorio de lo profundamente arraigado que está el código abierto en los sistemas que sostienen la actividad empresarial global”, ha señalado en una nota el vicepresidente de esta plataforma, Gunnar Hellekson, y ha advertido de que el efecto dominó derivado de las vulnerabilidades en un software fundacional como el de PHP puede extenderse a industrias enteras.

Por su parte, Sergey Lozhkin, responsable de uno de los centros de investigación de la empresa de ciberseguridad Kaspersky, ha apuntado que el problema detectado podría convertirse “en una de las vulnerabilidades más importantes de 2026”, y ha advertido de su impacto potencial ya que el fallo podría permitir la ejecución remota de un código, lo cual es una de las formas más graves de compromiso de un sistema.

En la práctica, los atacantes podrían ejecutar un código malicioso en los sistemas afectados, incluida la instalación de programas maliciosos (“web shells”), lo que les permitiría obtener el control de los servidores vulnerables, ha explicado este experto, que ha abogado en una nota remitida a EFE por una respuesta “inmediata y contundente”.

Gabriela Zornoza, de la empresa de ciberseguridad Check Point Software, ha observado a EFE que la vulnerabilidad puede afectar a la mayoría de las páginas web del mundo y es una “puerta abierta” para realizar cualquier acción maliciosa, incluso la de planear un ataque ahora para que se ejecute en el futuro.

La experta de esta empresa ha subrayado por ello la importancia de contar con sistemas adecuados de protección, y de la disponibilidad ya de algunos productos basados en inteligencia artificial que han sido entrenados específicamente para detectar este tipo de vulnerabilidades y frenar cualquier ataque.