La revelación de dos vulnerabilidades críticas en el núcleo de PHP ha desatado una alerta internacional sin precedentes.

A lo largo de la jornada de este miércoles 21 de octubre de 2026, agencias gubernamentales y equipos de respuesta a emergencias informáticas de más de diez países han emitido directrices urgentes para contener una falla que permite a atacantes tomar el control total de los servidores.

Publicidad

Instituciones de Estados Unidos, Japón, Reino Unido, Francia, España, Países Bajos, Suiza y Polonia, entre otros, coinciden en que la inacción garantizará el compromiso de infraestructuras críticas.

Tal como CriptoNoticias lo ha explicado esta mañana, también podría afectar al ecosistema de bitcoin (BTC) y las criptomonedas.

El problema radica en los identificadores CVE-2026-109618 y CVE-2026-109619, vulnerabilidades con una severidad de 9,2 sobre 10 que habilitan la ejecución remota de código sin necesidad de autenticación previa.

Según confirmaron equipos como el CERT-EU en Europa y el Instituto Nacional de Ciberseguridad (INCIBE) de España, ya circulan pruebas de concepto iniciales e incluso se han reportado ataques contra servidores antes de la publicación oficial de los parches por parte de The PHP Foundation. Esta confirmación eleva al máximo el riesgo de explotación masiva a nivel global.

Publicidad

El panorama se agrava por el volumen de equipos expuestos a este error de código. Investigaciones previas señalaban que más de 884.000 servidores se encontraban vulnerables, con países como Argentina y Corea del Sur mostrando tasas de exposición superiores al 80%.

Mapa que muestra el porcentaje de servidores PHP que no recibirán solución. — Argentina y Venezuela están entre los países porcentualmente más vulnerables. Fuente: mallory.ai

Ante este escenario, las agencias de inteligencia y seguridad de Estados Unidos adoptaron una postura drástica. El Buró Federal de Investigaciones (FBI) y la Agencia de Seguridad Nacional (NSA) instaron a las organizaciones a actualizar las instalaciones de manera inmediata.

En caso de no poder aplicar los parches, ambas agencias fueron categóricas al recomendar la desconexión total de los sistemas de internet hasta que la amenaza sea mitigada de forma definitiva.

Esta directriz fue replicada en Europa por el CCN-CERT de España y el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido, quienes sugirieron apagar los servicios expuestos cuyo uso no sea estrictamente indispensable y buscar activamente posibles puertas traseras instaladas por atacantes.

Publicidad

Uno de los mayores desafíos para la contención técnica es la presencia invisible de PHP en la red. La Agencia de Promoción de Tecnologías de la Información (IPA) de Japón y el NCSC de Suiza advirtieron que el lenguaje no solo sostiene sitios web, sino que se encuentra integrado internamente en electrodomésticos, enrutadores de red, plataformas de alojamiento y paneles de administración de diversos fabricantes. Los operadores de estos equipos muchas veces desconocen que utilizan PHP en segundo plano, lo que los deja ciegos ante la vulnerabilidad.

Para intentar organizar la mitigación, el Centro Nacional de Seguridad Cibernética de los Países Bajos (NCSC-NL) habilitó un repositorio público en GitHub destinado a rastrear e inventariar de forma colaborativa el software de terceros afectado por su dependencia de PHP.

Las medidas de emergencia técnicas exigen actualizar hacia las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 del lenguaje. No obstante, para el inmenso porcentaje de la red que opera sobre ramas caducadas como la 8.1, la situación es crítica.

Equipos como el CERT de Polonia y el CERT Santé de Francia detallaron tácticas de mitigación temporales. Entre ellas, recomiendan forzar el límite de memoria del servidor a un valor infinito, reducir el tamaño máximo permitido para subir archivos a 8 megabytes y desactivar el progreso de carga de sesiones.

Publicidad

Sin embargo, todos los organismos aclaran que estas configuraciones no eliminan la vulnerabilidad, sino que apenas bloquean ciertos vectores de ataque iniciales.

En el ecosistema de los activos digitales, esta alerta golpea a la primera línea de servicios al usuario. Si bien el protocolo Bitcoin es inmune al no emplear PHP para su consenso, la infraestructura perimetral que facilita su comercio depende masivamente de este código.

Plataformas de intercambio, proveedores de wallets, redes de finanzas descentralizadas (DeFi), foros históricos como Bitcointalk y desarrollos como BTCPay Server se encuentran bajo un riesgo operativo severo.

20 sitios relacionados con bitcoin y criptomonedas que emplean PHP (no es un listado exhaustivo, hay más plataformas que emplean PHP). Fuente: Grok / CriptoNoticias.

A medida que se divulgan públicamente los detalles técnicos de la falla, la ventana de oportunidad para resguardar las infraestructuras se agota rápidamente.

Publicidad

Quienes no puedan instalar los parches oficiales ni aislar sus entornos productivos mediante redes privadas virtuales (VPN) se enfrentan a riesos.

La permanencia de un servidor desactualizado y conectado a la red pública ya no representa un simple riesgo teórico, sino la certeza casi absoluta de una vulneración inminente que comprometerá tanto la integridad operativa de las empresas como los fondos y la privacidad de los usuarios.

Más de 10 gobiernos advierten por la falla de PHP que pone en riesgo al ciberespacio