Por qué gobiernos, hospitales y colegios están desconectando sus webs tras la alerta de PHP
Entrar en la plataforma del colegio y encontrarla fuera de servicio, intentar identificarse para hacer un trámite y no conseguirlo, no poder comprar en tu tienda online habitual o consultar la página de un hospital y descubrir que tampoco está disponible son algunas de las situaciones que han vivido muchos internautas durante las últimas horas. El motivo no es un ciberataque a gran escala, sino más bien lo contrario: es una de las consecuencias de la desconexión preventiva de servicios digitales que se producía este miércoles, 21 de octubre, tras detectarse dos fallos críticos en PHP, un lenguaje de programación utilizado para desarrollar páginas web y aplicaciones.
La alerta ha movilizado a organismos de ciberseguridad de España, varios países europeos, Estados Unidos y Japón. El problema afecta a los servidores que utilizan versiones de PHP con estos fallos: alguien podría aprovecharlos para entrar sin permiso, tomar el control o robar información.
Los desarrolladores de PHP ya han publicado las actualizaciones que corrigen los fallos. Sin embargo, mientras los responsables de seguridad de organizaciones, instituciones, empresas y plataformas comprueban sus instalaciones y aplican los parches, algunos organismos –especialmente aquellos con datos más sensibles– han optado por una medida más inmediata: retirar temporalmente de internet los servicios expuestos.
Por qué desconectar una web puede protegerla
Cuando entras en una página web, tu navegador pide al servidor que le envíe lo que quieres ver. Ese servidor guarda los archivos y ejecuta los programas necesarios para que la página funcione. PHP es uno de los lenguajes que se utilizan para darle esas instrucciones: por ejemplo, buscar los productos de una tienda, comprobar tus datos cuando inicias sesión o recoger la información que envías en un formulario. El servidor hace ese trabajo y devuelve el resultado a tu navegador, que lo muestra en pantalla. El problema que ha ocurrido ahora es que se han descubierto dos fallos de seguridad en PHP que alguien podría aprovechar.
Muchas páginas utilizan WordPress, una herramienta que permite crear y gestionar una web sin tener que programarla desde cero. Y esta plataforma también se apoya en PHP. Tal y como ellos mismos avisan, tener WordPress actualizado no basta para corregir estos fallos: también hay que actualizar la versión de PHP que utiliza el servidor.
La recomendación de los organismos europeos es comprobar qué aplicaciones utilizan PHP e instalar las correcciones cuanto antes. Pero, ¿qué ocurre si los responsables no pueden hacerlo inmediatamente? En ese caso, la Comisión Europea, ENISA, CERT-EU, Europol y la red europea de equipos de respuesta aconsejan en su comunicado conjunto considerar la desconexión de las aplicaciones expuestas a internet hasta poder corregirlas.
La urgencia tiene una explicación. Thomas Caspers, vicepresidente de la Oficina Federal de Seguridad en las Tecnologías de la Información de Alemania (BSI), lanzaba una severa advertencia este miércoles, según recoge EFE: “Consideramos probable que se produzca un aprovechamiento a gran escala y a corto plazo, en las pocas horas siguientes a la publicación de las actualizaciones de seguridad”.
De las plataformas escolares a los trámites públicos
Bélgica ofrece algunos de los ejemplos más cotidianos del impacto. Según informó EFE, el Gobierno flamenco ordenó retirar temporalmente sus webs oficiales que funcionan con PHP. La medida alcanzó al portal del Parlamento regional y coincidió con la desconexión de páginas de los servicios públicos federales de Asuntos Exteriores, Finanzas y Empleo.
Las familias también encontraron inaccesible Smartschool, la plataforma que utilizan los colegios para comunicarse con padres y alumnos. Varias webs de medios de comunicación, entre ellas las de la radiotelevisión pública flamenca VRT, quedaron igualmente fuera de servicio durante la jornada.
Dos hospitales de Amberes, AZ Monica y el universitario UZA, retiraron sus páginas. El banco vdk bank hizo lo mismo con su web corporativa, aunque aseguró que la banca electrónica continuaba funcionando. Es una distinción importante: desconectar una página informativa no implica necesariamente suspender todos los sistemas de una organización.
A pesar del esfuerzo y de las medidas tomadas, el Centro para la Ciberseguridad de Bélgica precisó que, en ese momento, no tenía constancia de incidentes reales en el país.
En Países Bajos, las desconexiones preventivas afectaron al Parlamento, al portal gubernamental MijnOverheid y a DigiD, el sistema de identificación digital que permite acceder a servicios públicos. En Alemania, administraciones, universidades y hospitales retiraron sus páginas, entre ellos el Hospital Universitario Charité de Berlín.
En España, el Instituto Nacional de Ciberseguridad (Incibe) también ha emitido un aviso de importancia crítica y ha pedido instalar las actualizaciones cuanto antes. Si no es posible corregir de inmediato un sistema accesible desde internet, recomienda aislarlo de las redes públicas hasta aplicar la solución. No obstante, no se han identificado en las fuentes consultadas casos concretos de desconexiones preventivas en nuestro país.
Qué gravedad tienen los fallos y cómo se solucionan
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, están relacionadas con la gestión de la memoria y de los datos internos de las peticiones que procesa PHP y, como decimos, el Incibe califica el aviso de importancia crítica. Según el organismo, los fallos tienen una puntuación de severidad de 9,2 sobre 10 y podrían permitir que un atacante remoto tome el control de un servidor sin disponer previamente de “privilegios”.
El equipo de PHP ha publicado las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregirlos. Advierten de que las medidas provisionales pueden reducir algunas vías de ataque, pero no ofrecen una protección completa: si tienes una web o un comercio online la solución pasa por actualizar.





