La seguridad de millones de páginas web se encuentra en riesgo tras detectarse dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados en Internet. La gravedad de estos fallos ha llevado a organismos de ciberseguridad a emitir alertas y recomendar la actualización urgente de los servidores afectados.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) ha advertido de que estas vulnerabilidades podrían permitir a los ciberdelincuentes acceder a información confidencial, ejecutar código malicioso e incluso tomar el control de determinados servidores web.
La preocupación es especialmente importante debido a la amplia presencia de PHP en Internet, utilizado por plataformas como WordPress, Joomla y Drupal, que permiten gestionar millones de páginas corporativas, tiendas online y servicios digitales.
Dos vulnerabilidades que podrían facilitar ataques a servidores
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, han recibido una calificación de gravedad de 9,2 sobre 10 y forman parte de una amenaza conocida como PHP2Shell.
Su explotación podría permitir a un atacante ejecutar instrucciones de forma remota en servidores vulnerables, sin necesidad de disponer de credenciales de acceso. Esto podría facilitar el robo de información, la modificación de contenidos o la interrupción de servicios digitales.
La situación ha provocado una respuesta internacional, con alertas de organismos de ciberseguridad y medidas preventivas en distintas instituciones europeas. Algunas organizaciones han optado por desconectar temporalmente sus páginas web mientras aplicaban las correcciones necesarias.
No obstante, utilizar PHP no significa necesariamente que una página web sea vulnerable, ya que el riesgo depende de la versión instalada y de la configuración del servidor.
Actualizaciones urgentes para proteger las páginas web
Ante esta amenaza, los desarrolladores de PHP han publicado actualizaciones de seguridad para corregir los fallos detectados. Las autoridades recomiendan a empresas y administradores comprobar las versiones instaladas y aplicar los parches disponibles cuanto antes.
En España, el Centro Criptológico Nacional también ha emitido una alerta de nivel crítico, insistiendo en la necesidad de revisar los sistemas afectados y reforzar su protección.
Esta situación resulta especialmente relevante para las empresas que utilizan WordPress u otras plataformas basadas en PHP. Mantener actualizados los plugins, los temas y el gestor de contenidos no es suficiente si el servidor utiliza una versión vulnerable de PHP.
El incidente vuelve a demostrar la importancia de mantener actualizada toda la infraestructura tecnológica, desde las aplicaciones hasta los servidores y alojamientos web, para reducir el riesgo de ciberataques y proteger la información de empresas y usuarios.
