Dos fallos graves en PHP han dejado al descubierto que la fundación del lenguaje tiene una sola empleada a jornada completa. Y PHP mueve el 70% de las webs del mundo.
Qué pasó: tres avisos, una filtración y un parche adelantado un día
El origen no es de este mes. La fundación identificó una de las vulnerabilidades en 2024, durante una revisión de seguridad interna, pero entonces no se encontró una vía de explotación conocida y la corrección se antojaba complicada. Se quedó en la lista de cosas difíciles. Dos años después, alguien la encontró por su cuenta.
En 2026 el hallazgo llegó desde fuera y por triplicado. La firma de ciberseguridad Calif avisó al equipo el 11 de agosto; OpenAI llegó al mismo sitio por su cuenta y Wiz informó a la fundación el 24, después de cinco días de investigación. Tres equipos distintos, un mismo agujero en un lenguaje que casi nadie audita por gusto.
El 20 de octubre se filtraron los identificadores de los dos fallos y el proyecto decidió adelantar un día la publicación, según documentó Simon Willison. El parche llegó el 21. A partir de ahí, Cloudflare registró millones de intentos de ataque, tal y como contó su CEO a Reuters. El parche llegó apenas un día después de la filtración, y ese día fue la diferencia entre un susto y un desastre.
Elizabeth Barron, directora ejecutiva de la fundación, insiste en que no hay evidencia de que nadie explotara los fallos antes de hacerse públicos ni en webs ya parcheadas. Amazon, eso sí, afirma que sus sistemas señuelo detectaron un intento de ataque el 17 de octubre desde una IP anonimizada. No era una web real: era una trampa. Quién estaba al otro lado sigue sin saberse.
No es que internet dependa de PHP. Es que depende de que un puñado de personas llegue a tiempo al parche.
El matiz técnico que casi nadie explica: los fallos están en el núcleo de PHP, no en un plugin. Eso significa que no basta con actualizar el gestor de contenidos ni con rezar. Hay que actualizar PHP en cada servidor, uno por uno, y preservar la compatibilidad con aplicaciones y extensiones que llevan años sin tocarse. Para una empresa mediana eso son ventanas de mantenimiento, pruebas y algún sudor frío. Hay que actualizar PHP en cada servidor, uno por uno.
Una nómina sosteniendo el 70% de la web
Barron lo contó a Reuters sin maquillaje: una sola persona contratada a jornada completa, ella misma, y 14 contratistas, la mayoría a tiempo parcial. La junta directiva es voluntaria y el dinero sale de donaciones y subvenciones. Hay una nómina sosteniendo el 70% de la web, y esa nómina tiene vacaciones, bajas y un límite de horas al día.
Su diagnóstico es una frase que debería doler: PHP está, textualmente, 'increíblemente infrafinanciado' dada la dependencia de empresas y gobiernos. Traducido: el software sobre el que se apoyan medios, tiendas y administraciones públicas se mantiene con el modelo de una asociación de vecinos. Según W3Techs, hablamos de cerca de siete de cada diez sitios con lenguaje de servidor identificado.
Cosas que pasan en 2026.
El análisis: la IA encuentra los agujeros, no firma las revisiones
Aquí llega la parte que sí es nueva. Según Barron, la IA ayuda al equipo de investigación a localizar fallos que llevaban una década ahí y acelera las tareas de programación, algo clave cuando faltan manos. Pero también multiplica el trabajo: el proyecto recibe casi el doble de propuestas de cambio en un año y el número de colaboradores no se ha duplicado. Alguien con experiencia tiene que revisar cada parche, y ese alguien no se fabrica en un fin de semana.
Ya pasó con OpenSSL y Heartbleed en 2014: el mundo descubrió de golpe que una biblioteca crítica la mantenían cuatro voluntarios. La diferencia es que entonces el susto se resolvió con donaciones y titulares, y doce años más tarde seguimos con la misma foto, solo que ahora la IA genera propuestas de código más rápido de lo que el equipo puede leerlas.
Mi lectura: la IA encuentra los fallos, pero no firma las revisiones. Mientras el debate público va de modelos, benchmarks y demos de vídeo, la capa aburrida de internet sigue esperando a que alguien pague la factura. La próxima vez quizá no haya un día de margen. O sí, y volveremos a llamarlo suerte.
Hype-O-Meter
Nivel de hype: 8/10. Sin keynote ni logo brillante, pero dos fallos críticos en el 70% de la web y una plantilla de 15 personas es el titular tecnológico del mes. Si esto no te parece urgente, revisa cuántos servidores actualizas tú — el hype aquí es de los que quitan el sueño.
El resumen para vagos (TL;DR)
- 🎯 ¿Qué ha pasado? Dos vulnerabilidades graves en PHP y una filtración que obligó a adelantar el parche un día.
- 🔥 ¿Por qué importa? Su fundación tiene una empleada fija y 14 contratistas para el 70% de las webs.
- 🤔 ¿Nos afecta o es solo un meme? Afecta: si tienes servidores con PHP, actualiza o reza.
