Investigadores de seguridad han identificado vulnerabilidades graves en PHP, el lenguaje que sustenta una parte muy amplia de internet, y que han desatado una alerta global. El hallazgo, publicado el 22 de octubre de 2026, se atribuye a equipos de ciberseguridad que utilizaron inteligencia artificial para detectar puntos débiles que llevaban años desapercibidos.
PHP (acrónimo de Hypertext Preprocessor) es un componente central en la infraestructura de muchos sitios web. Cerca del 70% de las páginas web se apoyan en PHP, por lo que las fallas reportadas afectan a una proporción muy elevada de servicios online, incluidas plataformas de comercio electrónico, gestores de contenidos y sitios corporativos.
Según BBC Mundo, la empresa de ciberseguridad Wiz situó estos fallos, detectados con apoyo de IA, entre los más graves, y OpenAI calificó el hallazgo como «uno de los problemas de seguridad más importantes de los últimos tiempos».
Las agencias y gobiernos han reaccionado con urgencia: han recomendado a los operadores de sitios web la instalación de una solución de emergencia o, en casos extremos, valorar la desconexión temporal de plataformas hasta disponer de correcciones. Los investigadores advierten que, de ser explotadas, estas vulnerabilidades podrían permitir la extracción de datos y la instalación de software malicioso.
Hasta el jueves no se habían observado indicios públicos de explotaciones masivas, pero la velocidad de la respuesta es crítica. Un análisis citado por BBC Mundo indicaba que, 24 horas después de las alertas, apenas el 4,39% de los servicios que usan PHP habían aplicado las correcciones necesarias, una cifra que subraya el riesgo por la rápida ventana de exposición.
En la práctica
- A quién afecta: sitios y servicios que usan PHP; según BBC Mundo, cerca del 70% de la web usa PHP.
- Desde cuándo: el descubrimiento y las alertas se difundieron el 22 de octubre de 2026, después de que investigadores lo detectaran mediante herramientas de IA.
- Qué hacer: aplicar la solución de emergencia publicada por los responsables o, si no es posible, considerar desconectar temporalmente los servicios afectados hasta corregirlos, siguiendo las indicaciones de las agencias de ciberseguridad.
