La Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtió de dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en millones de páginas web en el mundo, y alertó del riesgo que suponen para los servidores afectados.
"Todas las organizaciones que utilicen PHP en sus sistemas deben prepararse para instalar una actualización que corrija dos vulnerabilidades críticas", señaló la NSA en un comunicado.
Así mismo, la propia cuenta de la División Cibernética del FBI publicó en su cuenta oficial de X un comunicado:
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially… pic.twitter.com/tnwiQv5v0F
— FBI Cyber Division (@FBICyberDiv) October 21, 2026
En MILENIO te contamos qué es el PHP y la razón por la cual sus fallas alertan a todo el mundo.
¿Qué es PHP?
PHP es un lenguaje de programación de código abierto que permite crear y ejecutar sitios y aplicaciones web.
Opera principalmente en los servidores. Cuando una persona entra a una página, el sistema procesa las solicitudes y genera el contenido que después se muestra en el navegador.
De acuerdo con Reuters, PHP es una de las tecnologías más utilizadas en internet y está presente en cerca de 70 por ciento de los sitios web cuyo lenguaje de programación puede identificarse.
¿Qué riesgos hay?
La NSA advirtió que estos fallos pueden proporcionar una vía directa al sistema de archivos o a la base de datos del servidor y recomendó desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato.
Según la empresa de ciberseguridad Wiz, las vulnerabilidades pueden permitir que un atacante ejecute código de forma remota sin autenticarse previamente y, en uno de los casos, lea información sensible almacenada en la memoria de los servidores.
Lo que incluyen los posibles datos robados
Los datos del FBI presuntamente robados por el grupo de hackers ShinyHunters contienen detalles minuciosos sobre las asignaciones laborales de decenas de funcionarios de la agencia, incluyendo trabajos delicados contra espías chinos, inteligencia rusa, cárteles de la droga y más, según ha descubierto Reuters.
La hoja de cálculo de 5000 líneas que, según los piratas informáticos, representa solo una pequeña parte de su supuesto botín de entre dos y tres terabytes incluye nombres, direcciones, números de teléfono, fechas de nacimiento, números de la seguridad social e información de contacto de emergencia de lo que afirmaban ser miles de empleados del FBI.
También incluye detalles sobre las asignaciones a oficinas regionales específicas y, en algunos casos, a unidades dedicadas a labores de inteligencia, seguridad o contraespionaje de alto riesgo.
IA ayuda a descubrir vulnerabilidades
La Fundación PHP, que incluye a desarrolladores de lenguaje de programación, informó el miércoles que había publicado correcciones para las vulnerabilidades, junto con instrucciones sobre cómo actualizar los sistemas.
Agentes de inteligencia artificial ayudaron a descubrir las vulnerabilidades.
En un blog, OpenAI afirmó que había encabezado una coalición de investigadores, proveedores de seguridad y otros para abordar vulnerabilidades en PHP durante los últimos dos meses.
“Los mantenedores de PHP lideraron las correcciones y la publicación, y nuestros equipos y socios como Wiz, Cloudflare y otros aportaron investigación, apoyo técnico y coordinación para preparar protecciones antes de la divulgación”, declaró la empresa.
Datos comprometidos en el ataque al FBI y alerta en el mundo
La alerta ha llevado a algunas instituciones europeas a desconectar preventivamente sus páginas web.
En Alemania, la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) advirtió que las vulnerabilidades suponen una amenaza para aplicaciones web de todo el mundo.
También, en Países Bajos el gobierno desconectó temporalmente varias páginas oficiales como medida preventiva.
Por su parte, Japón pidió a los operadores de páginas web que comprobaran si utilizaban PHP y se prepararan para instalar las actualizaciones lo antes posible.
La advertencia estadunidense se suma a las emitidas por el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea (CERT-EU) y por organismos nacionales como el Centro Nacional de Ciberseguridad del Reino Unido, que aconsejaron igualmente identificar los sistemas vulnerables e instalar las actualizaciones.
ABF
