Publicado: octubre 22, 2026, 9:00 am
La fuente de la noticia es https://www.20minutos.es/tecnologia/agencia-seguridad-nacional-eeuu-advierte-dos-fallos-criticos-php-que-ponen-riesgo-servidores-web_7051747_0.html
La Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) advirtió este miércoles de dos vulnerabilidades crÃticas en PHP, un lenguaje de programación utilizado en cerca del 70% de las páginas web de todo el mundo, y alertó del riesgo que suponen para los servidores afectados. «Todas las organizaciones que utilicen PHP en sus sistemas deben prepararse para instalar una actualización que corrija dos vulnerabilidades crÃticas», señaló la NSA en un comunicado.
La agencia advirtió de que estos fallos pueden proporcionar una vÃa directa al sistema de archivos o a la base de datos del servidor y recomendó desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato. Según la empresa de ciberseguridad Wiz, las vulnerabilidades pueden permitir que un atacante ejecute códigos de forma remota sin autenticarse previamente y, en uno de los casos, lea información sensible almacenada en la memoria de los servidores.
La advertencia estadounidense se suma a las emitidas por el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea (CERT-EU) y por organismos nacionales como el Centro Nacional de Ciberseguridad del Reino Unido, que aconsejaron igualmente identificar los sistemas vulnerables e instalar las actualizaciones.
El Instituto Nacional de Ciberseguridad (Incibe), dependiente del Ministerio para la Transformación Digital, se ha sumado a las alertas emitidas. El Incibe ha calificado la importancia del aviso en su nivel máximo (importancia crÃtica) y ha informado que las vulnerabilidades que se han detectado están clasificadas con una puntuación de severidad crÃtica del 9,2 en una escala que abarca del 0 al 10.
Las vulnerabilidades que se han detectado se refieren a un fallo en la gestión de la memoria que puede provocar que PHP maneje datos internos en un estado incorrecto, lo que podrÃa ser utilizado por un atacante; y que el lenguaje conserve información interna de una petición anterior y la use incorrectamente al procesar otra.
Medidas de prevención adoptadas
La alerta ha llevado a algunas instituciones europeas a desconectar preventivamente sus páginas web. En Alemania, la Oficina Federal de Seguridad en las TecnologÃas de la Información (BSI) advirtió de que las vulnerabilidades suponen una amenaza para aplicaciones web de todo el mundo. Según el diario alemán Bild, numerosas administraciones públicas, universidades y hospitales retiraron este miércoles sus páginas web de la red como medida de precaución. Entre ellos destaca el Hospital Universitario Charité de BerlÃn.
En PaÃses Bajos, numerosas instituciones públicas, empresas y medios de comunicación desconectaron sus páginas web como medida preventiva ante el riesgo de ciberataques. Entre los afectados está la página oficial del Parlamento, el portal gubernamental MijnOverheid, además de DigiD, el sistema de identificación digital que permite a los ciudadanos acceder a servicios públicos, como los de la administración tributaria o la sanidad. También han retirado sus webs el Centro Nacional de Ciberseguridad (NCSC) y la Autoridad de Protección de Datos y varias empresas de transporte, mientras que medios de comunicación como RTL y Tweakers han tomado medidas similares.
La situación también afecta a la educación superior, donde se han desconectado partes de la infraestructura informática compartida por universidades, centros de formación profesional, hospitales universitarios e institutos de investigación. Además, la empresa NotuBiz, que presta servicios digitales a más de un centenar de administraciones locales, ha suspendido temporalmente sus sistemas, utilizados para publicar documentos oficiales y facilitar el seguimiento de reuniones municipales y provinciales.
En Bélgica, webs de instituciones públicas, medios de comunicación, hospitales y empresas han quedado desconectadas como medida preventiva. El primer gran apagón institucional llegó desde Flandes, cuyo ministro-presidente, Matthias Diependaele, anunció que habÃa ordenado retirar de forma temporal todas las webs oficiales del Gobierno regional que funcionan con ese lenguaje. La desconexión también alcanzó al Gobierno federal, con las webs de los servicios públicos de Asuntos Exteriores, Finanzas y Empleo inaccesibles durante la jornada y sin una previsión de cuándo volverán. Entre las páginas caÃdas estuvo además la del propio Centro para la Ciberseguridad de Bélgica (CCB), el organismo que coordina la respuesta a este tipo de amenazas.
En el sector de los medios se apagaron varias webs del grupo DPG Media, la de la radiotelevisión pública flamenca VRT y las de las revistas de Roularta, como Le Vif y Trends Tendances. Las familias de Flandes se encontraron además con Smartschool, la plataforma que usan los colegios para comunicarse con padres y alumnos, sin servicio durante toda la jornada. Dos hospitales de Amberes, el AZ Monica y el universitario UZA, retiraron también sus páginas, mientras que las de los centros de Valonia y Bruselas seguÃan accesibles; el banco vdk bank hizo lo propio con su web corporativa, aunque aseguró que la banca en lÃnea sigue operativa tanto para particulares como para empresas.
Japón pidió a los operadores de páginas web que comprobaran si usan PHP y se prepararan para instalar las actualizaciones lo antes posible. La alerta llega en Japón en un contexto de ciberataques masivos en los últimos meses, que han expuesto los datos de millones de personas, afectando a todo tipo de empresas y entes públicos.
El listado de firmas japonesas afectadas no hace más que crecer cada dÃa que pasa: desde el transporte, la restauración y el comercio, hasta los servicios de prevención de desastres naturales, que se vieron obligados a suspender temporalmente el sistema de alertas de emergencias en varios municipios. El pasado martes, la filial de ciberseguridad del conglomerado tecnológico japonés GMO afirmó haber confirmado el uso del agente de inteligencia artificial chino ARTEX en ciberataques registrados recientemente en Japón, después de que se identificara el uso de esta misma herramienta en los jaqueos contra bancos de Corea del Sur.
¿Cómo solucionar el problema?
Entre las soluciones a este grave problema que afecta a uno de los lenguajes de programación más utilizados del mundo, el Incibe ha apuntado la de aplicar las versiones corregidas, y ha comunicado que ya están disponibles las actualizaciones que solucionan esos fallos. Por ello, el Incibe ha recomendado actualizar «de inmediato» esa herramienta y ha hecho una serie de recomendaciones para adoptar medidas temporales en caso de que no se pueda actualizar de forma inmediata.
Esas medidas temporales que ha recomendado reducen la exposición a algunas rutas concretas, pero el Incibe ha advertido de que la actualización es la única solución completa, y ha alertado de que si no se puede actualizar un sistema que está expuesto a internet, se debe aislar de las redes públicas hasta que se consiga aplicar la versión corregida.
PHP es un lenguaje de programación que se utiliza principalmente para crear páginas web dinámicas y aplicaciones que funcionan en internet, en las que esos sitios no se limitan a mostrar información estática, sino que pueden responder e interactuar con el usuario.
