Gobiernos desconectaron sitios web por una falla crítica de seguridad

La seguridad digital de los gobiernos quedó bajo presión este miércoles 21 de octubre, luego de que se conocieran dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en buena parte de la infraestructura de internet. La alerta llevó a organismos públicos y otras organizaciones a desconectar temporalmente sus sitios.

La medida fue para evitar posibles ataques mientras se preparaban las actualizaciones de seguridad.

El episodio expone la dependencia de los Estados de sistemas informáticos que, si no se actualizan a tiempo, pueden convertirse en una puerta de entrada para atacantes.

Países Bajos, Francia y Finlandia estuvieron entre los países que tomaron medidas preventivas.

También se vieron afectados servicios vinculados con instituciones sanitarias, organizaciones políticas y otros organismos. Wikipedia y el Internet Archive informaron que algunos de sus sistemas o servicios fueron desconectados temporalmente para gestionar el riesgo.

La advertencia no se limitó a Europa. La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó que las organizaciones que no pudieran aplicar las correcciones de inmediato desconectaran sus sistemas hasta mitigar la vulnerabilidad.

En paralelo, la agencia de ciberseguridad de la Unión Europea pidió identificar las aplicaciones que utilizan PHP, priorizar las expuestas a internet e instalar las actualizaciones disponibles.

Qué puede pasar cuando un sitio del Estado queda expuesto

Para la mayoría de las personas, un sitio gubernamental es una puerta de acceso a información, trámites y servicios. Si una página debe desconectarse por seguridad, esos servicios pueden quedar temporalmente fuera de alcance.

Pero el riesgo no termina ahí. Si un atacante logra aprovechar una vulnerabilidad, podría llegar a tomar el control del servidor afectado o acceder a información almacenada en él. El alcance depende de cada sistema: no significa que todos los sitios estén comprometidos ni que se hayan robado datos.

Por eso, las autoridades deben actuar antes de que el problema se convierta en un ataque. En algunos casos, la decisión más segura es dejar una página fuera de línea durante un tiempo, en lugar de mantenerla disponible mientras persiste la vulnerabilidad.

Qué es PHP y por qué una falla puede afectar a tantos sitios

PHP es un lenguaje de programación que se ejecuta en los servidores y permite generar páginas dinámicas, procesar solicitudes e interactuar con bases de datos. Está presente en plataformas ampliamente utilizadas, como WordPress, Drupal y Joomla.

La dimensión del problema se explica por esa presencia extendida. Según el relevamiento de W3Techs citado por Reuters, PHP está detrás de aproximadamente el 75% de los sitios web cuyo lenguaje de programación del lado del servidor puede identificarse.

Las vulnerabilidades fueron registradas como CVE-2026-109618 y CVE-2026-109619 y recibieron una puntuación de gravedad de 9,2 sobre 10. En determinadas condiciones, permiten ejecutar código de manera remota sin que el atacante necesite autenticarse.

En términos prácticos, esto puede abrir la posibilidad de tomar el control de un servidor afectado, acceder a archivos o bases de datos y obtener información sensible. El alcance concreto depende de cada sistema y de sus condiciones de instalación, por lo que no significa que todos los sitios que utilizan PHP hayan sido vulnerados.

El riesgo también alcanza a organizaciones que no desarrollaron sus propias plataformas. Un organismo puede utilizar un sistema de gestión de contenidos o un servicio de terceros que dependa de PHP sin que esa tecnología resulte visible para el usuario.

Por eso, la respuesta requiere algo más que comprobar si una página está en línea: los responsables deben identificar qué versiones utilizan, actualizar los componentes vulnerables y evaluar si hubo actividad maliciosa.

No es la primera vez que una falla informática pone en alerta a los gobiernos

El episodio recuerda a Log4Shell, una vulnerabilidad descubierta en diciembre de 2021 que afectó a Log4j, una herramienta utilizada por numerosas aplicaciones y sistemas informáticos.

La falla podía permitir que atacantes ejecutaran código de manera remota y obligó a organizaciones públicas y privadas de todo el mundo a revisar sus sistemas y aplicar actualizaciones urgentes.

Otro antecedente ocurrió en marzo de 2021, cuando se detectaron ataques contra servidores Microsoft Exchange, utilizados para gestionar correos electrónicos. Los atacantes aprovecharon vulnerabilidades para ingresar en sistemas expuestos y, en algunos casos, acceder a información y mantener el control de los equipos afectados.

Ambos episodios muestran que una falla en una tecnología ampliamente utilizada puede tener consecuencias mucho más allá de una sola empresa u organismo. La diferencia del caso actual es el papel de la inteligencia artificial, que puede ayudar a encontrar errores difíciles de detectar, pero también acelerar el trabajo de quienes buscan explotarlos.

La inteligencia artificial descubrió el problema y también puede acelerar los ataques

La vulnerabilidad permaneció oculta durante años y fue detectada con ayuda de herramientas de inteligencia artificial utilizadas por investigadores de ciberseguridad.

La empresa de ciberseguridad Wiz informó que sus investigadores utilizaron su herramienta de investigación autónoma Wiz Atlas y modelos de inteligencia artificial de Google y OpenAI para identificar y analizar las fallas.

Calif, otra firma de ciberseguridad, también informó que había encontrado vulnerabilidades con ayuda de un modelo de lenguaje.

Según Wiz, los errores estaban relacionados con el manejo de la memoria del programa y con información interna que podía quedar en un estado inconsistente después de determinados fallos.

La IA redujo parte de esa barrera técnica: ayudó a analizar el código, desarrollar pruebas de explotación y ajustar los procedimientos. Esto permite a los investigadores descubrir debilidades que podrían haber permanecido ocultas durante años, pero también plantea un riesgo cuando esas capacidades se utilizan para atacar sistemas sin corregir.

La preocupación es que esa carrera ocurra cada vez más rápido: mientras los administradores intentan proteger sus sistemas, otros pueden buscar la manera de entrar en ellos.

El parche ya está disponible, pero comienza la carrera contra los ataques

El equipo de PHP publicó las correcciones de seguridad el 21 de octubre.

Las versiones actualizadas anunciadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los administradores deben comprobar qué versión utilizan y aplicar la actualización correspondiente, teniendo en cuenta también los sistemas que incorporan PHP como parte de otros productos.

La publicación de una corrección no elimina automáticamente el riesgo. Cada organización debe instalarla y verificar que sus sistemas estén protegidos.

Además, cuando los detalles técnicos de una vulnerabilidad se hacen públicos, otros investigadores y potenciales atacantes pueden estudiar los cambios para desarrollar métodos de explotación contra equipos que todavía no fueron actualizados.

La NSA advirtió que estas fallas pueden proporcionar una vía directa hacia los archivos o las bases de datos de un servidor. La agencia europea ENISA, por su parte, recomendó actuar de inmediato y aislar temporalmente de internet las aplicaciones expuestas cuando no sea posible corregirlas.

La Fundación PHP también reconoció que una de las fallas tenía antecedentes de investigación desde 2024 y calificó la demora en resolverla como un problema estructural. El episodio vuelve a poner en discusión cómo se mantienen los componentes de software que sostienen servicios utilizados a escala global.

Para los gobiernos, el desafío es responder a la emergencia y revisar sus mecanismos de mantenimiento, actualización y supervisión de proveedores tecnológicos.

Una vulnerabilidad en una herramienta ampliamente utilizada puede propagarse por distintas capas de la infraestructura digital, incluso cuando cada organismo administra sus servicios por separado.

Cuanto más dependen los Estados de los servicios digitales, más importante resulta mantenerlos protegidos. Una página fuera de servicio puede ser una molestia temporal; un servidor comprometido, en cambio, puede representar un riesgo para la información y la continuidad de servicios esenciales.

----------------