Dos fallos de severidad 9,2 en PHP, el motor silencioso de medio internet, han dejado a varios gobiernos europeos sin webs.
PHP no sale en las keynotes ni tiene fans con camisetas. Es la fontanería: el lenguaje que sostiene WordPress, Drupal y una cantidad indecente de gestores de contenidos que nadie audita hasta que arde. Cuando arde, se entera todo el mundo a la vez.
La fundación que mantiene el lenguaje publicó una security release para tapar dos agujeros críticos que permiten ejecutar código en el servidor. Traducido: quien los explote puede tomar el control de la máquina. No es un fallo de escaparate, es la puerta de atrás del edificio.
Dos agujeros de 9,2 que llevaban ahí 20 años
Lo turbio es la antigüedad. Según el comunicado de la PHP Foundation recogido por Engadget, los fallos llevaban años dentro del código y no los cazó una auditoría humana con café y lupa: los encontraron herramientas de IA que usan las empresas de ciberseguridad. El mismo tipo de herramienta que hasta ahora servía para escribir correos aburridos es la que ha destapado la brecha.
La reacción fue instantánea y muy poco habitual. Países Bajos, Dinamarca, Francia, y Finlandia tumbaron parte de sus webs oficiales como medida preventiva, según Reuters. Canadá hizo lo mismo: Evan Solomon, ministro de IA e Innovación Digital, anunció la retirada temporal en X y aprovechó para pedir a cualquiera que tenga un PHP corriendo que actualice ya.
La frase que resume el tamaño del problema la dijo Tiffany Farriss, CEO interina de la Drupal Association: "Todos los servidores que usen cualquier versión de PHP publicada en los últimos 20 años serán vulnerables". Y remató: "esto afecta a la mayoría de internet". Si tienes una web con WordPress, esa frase te incluye.
El parche ya existe. Lo difícil no es descargarlo, es encontrar en qué servidor olvidado de 2014 sigue corriendo la versión vieja.
Cloudflare hizo de escudo y el 40% respiró
Como resumía Xataka, PHP fue la brecha y Cloudflare el escudo: la capa de seguridad absorbió buena parte del golpe en el trozo de internet que no se cayó. Ese detalle importa porque deja el mapa real del riesgo: no es que el ataque fuera pequeño, es que había un proxy delante de la mitad de las víctimas potenciales.
En Estados Unidos el movimiento fue más burocrático. La CISA emitió un aviso animando a actualizar y la Casa Blanca confirmó que supo del asunto un viernes, según Reuters. Nada de apagones preventivos, al menos de momento. El problema con la gestión de crisis a base de notas de prensa es que la explotación no espera al comité.
Se veía venir y nadie miraba el changelog
Esto ya pasó con Log4Shell en 2021 y con Heartbleed en 2014: una pieza invisible de la infraestructura global, mantenida muchas veces por cuatro voluntarios, que de repente sostiene el peso de la economía digital. La diferencia de 2026 es quién encontró el agujero. Que la IA sea capaz de auditar décadas de código heredado en horas cambia el juego para bien y para mal: los buenos parchean más rápido, los malos también.
Y luego está el problema aburrido, el que nadie va a resolver hoy. Actualizar PHP en producción significa tocar aplicaciones que llevan una década sin mantenimiento, plugins abandonados y un becario que descubrirá que el legacy es un estado mental. Se puede parchear el lenguaje en una tarde; migrar todo lo que depende de él es un trimestre.
Mientras tanto, la recomendación es la de siempre y suena a disco rayado: comprueba la versión, aplica el parche de la PHP Foundation y revisa los logs de las últimas semanas. Si tu hosting dice que está "gestionado" y no te da número de versión, pregunta. Pregunta mucho.
Hype-O-Meter
Nivel de hype: 8,5/10. Aquí el hype no lo pone el marketing, lo pone el pánico administrativo: cuatro gobiernos apagando webs el mismo día y una severidad de 9,2 sobre 10 que no admite debate. Le falta el punto extra por lo de siempre, que medio internet seguirá en la versión vieja hasta 2027 — y lo sabremos todos cuando toque.
El resumen para vagos (TL;DR)
- 🎯 ¿Qué ha pasado? Dos fallos críticos en PHP, con 20 años de antigüedad, han obligado a gobiernos europeos a tumbar webs.
- 🔥 ¿Por qué importa? PHP mueve WordPress y Drupal: si tu web no actualiza, la brecha es tuya.
- 🤔 ¿Nos afecta o es solo un meme? Afecta, y bastante. El chiste del becario y el legacy se cuenta solo.
