Una alerta internacional de ciberseguridad provocó la suspensión preventiva de servicios digitales en distintos países tras el descubrimiento de dos vulnerabilidades críticas en PHP, un lenguaje de programación ampliamente utilizado en sitios web, plataformas empresariales y sistemas de gestión de contenidos.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir la ejecución remota de código malicioso sin necesidad de contar con credenciales de acceso, una situación que representa un riesgo importante para los servidores que utilizan versiones vulnerables.

De acuerdo con la Agencia de Ciberseguridad de la Unión Europea (ENISA), ambas vulnerabilidades requieren atención inmediata. El organismo, junto con CERT-EU, Europol y otras autoridades europeas, emitió una recomendación conjunta para que las organizaciones identifiquen los sistemas afectados y apliquen las correcciones disponibles.

La magnitud del problema está relacionada con la presencia de PHP en internet. Según datos citados por Reuters, este lenguaje funciona en cerca del 70% de los sitios web cuyo lenguaje de programación del servidor puede identificarse.

La inteligencia artificial descubre fallas que pasaron inadvertidas durante años

Uno de los aspectos más significativos del descubrimiento es el papel que desempeñó la inteligencia artificial para identificar vulnerabilidades presentes en el código de PHP desde hace más de una década.

La empresa de ciberseguridad Wiz Research explicó que las fallas estaban relacionadas con errores en la administración de memoria del lenguaje de programación. Aunque estos problemas existían desde hacía años, demostrar que podían aprovecharse para comprometer servidores requería un análisis técnico especialmente complejo.

Con ayuda de modelos avanzados de inteligencia artificial, los investigadores lograron identificar y analizar distintas debilidades, además de desarrollar pruebas que demostraron su potencial de explotación.

En las investigaciones participaron Wiz y Calif, esta última utilizando herramientas de OpenAI. Google también confirmó la participación de sus modelos de inteligencia artificial en el análisis y la validación de las vulnerabilidades.

Los resultados fueron comunicados a los responsables de PHP para coordinar el desarrollo y la publicación de las correcciones.

El caso representa un cambio importante para la ciberseguridad: herramientas capaces de analizar grandes cantidades de código pueden descubrir problemas que permanecieron ocultos durante años.

Sin embargo, también plantea un desafío. Las mismas capacidades que permiten encontrar vulnerabilidades pueden facilitar su análisis y aprovechamiento por parte de ciberdelincuentes.

Gobiernos y organizaciones desconectan sus sitios web

La gravedad de las vulnerabilidades provocó una respuesta preventiva internacional.

De acuerdo con Reuters y otros medios internacionales, diversas instituciones gubernamentales europeas suspendieron temporalmente algunos de sus servicios digitales mientras evaluaban la exposición de sus sistemas y preparaban las actualizaciones correspondientes.

Entre los países donde se reportaron interrupciones se encuentran Finlandia y Países Bajos.

La decisión de desconectar temporalmente los sitios no necesariamente significaba que hubieran sufrido un ataque. En muchos casos se trató de medidas preventivas destinadas a evitar que posibles atacantes aprovecharan los errores antes de instalar las correcciones.

CERT-EU recomendó que las organizaciones incapaces de actualizar inmediatamente sus sistemas consideraran aislar de las redes públicas las aplicaciones vulnerables hasta aplicar y verificar las soluciones.

El 21 de octubre de 2026, los desarrolladores de PHP publicaron nuevas versiones que corrigen las vulnerabilidades. No obstante, la distribución e instalación de estas actualizaciones en millones de servidores representa un desafío para proveedores de alojamiento, administradores de sistemas y responsables de plataformas digitales.