Internet parece infalible hasta que falla una sola pieza. Y esta vez ha sido PHP

No es la primera vez que un pilar casi invisible tambalea Internet. Cuando un problema en Cloudflare tumbó media red y dejó fuera de juego a millones de usuarios, o cuando la caída de una sola región de Amazon Web Services paralizó decenas de servicios móviles, quedó al descubierto la fragilidad de la infraestructura que sostiene nuestro día a día.

Esta semana el aviso se repite desde un frente más profundo. No ha fallado un centro de datos, tampoco un cable submarino, sino un lenguaje de programación con tres décadas a sus espaldas: dos vulnerabilidades en PHP han puesto en jaque a servidores de todo el planeta. Te contamos por qué, cómo y qué repercusiones ha tenido.

El agujero en el servidor que deja a las apps a ciegas

El origen de la alarma que han contado tan bien nuestros compañeros de Xataka se concentra en dos fallos de seguridad catalogados como CVE-2026-109618 y CVE-2026-109619.

Ambos afectan a la manera en la que el lenguaje PHP procesa determinados errores de memoria durante las solicitudes que recibe el servidor. ¿Qué sucedía con estas vulnerabilidades? Que si un atacante envía una petición diseñada, puede manipular el fallo para ejecutar código de forma remota sin necesidad de contraseñas ni permisos.

No, en este caso no estamos ante una saturación por tráfico que ralentiza o cae una web, es más bien una puerta abierta para que terceros puedan tomar el control de servidores.

Además, la gravedad del problema reside en el despliegue masivo de este software: según mediciones, PHP está presente en el 69,3% de los sitios web con lenguaje de servidor identificado. De hecho, sustenta a gestores de contenido como Wordpress, que mueve casi el 40% de las páginas del mundo.

La amenaza ha dejado de ser hipotética, porque la propia Cloudflare ha confirmado la detección de tráfico malicioso intentando aprovechar estas vulnerabilidades contra sistemas que aún no se han parcheado.

Y es que el alcance ha sido tal que incluso OpenAI, desarrolladores de ChatGPT, ha publicado una herramienta con Codex para verificar si una web es vulnerable, permitiendo auditar si un dominio expone versiones afectadas por el exploit.

El impacto en nuestro móvil

Claro que ante la imposibilidad de aplicar parches en millones de máquinas, las autoridades de ciberseguridad —incluyendo al NCSC británico y la NSA estadounidense— emitieron una instrucción clara: si un servidor no puede actualizarse a las versiones seguras, la recomendación es apagarlo.

Esta orden se ha traducido en un apagón preventivo en varios puntos de Europa. El portal oficial del Gobierno de Países Bajos quedó en mantenimiento y la autoridad francesa de protección de datos suspendió su servicio web.

En España, la web del Centro Criptológico Nacional (CCN-CERT) activó un aviso de mantenimiento, mientras que el sector financiero hizo lo propio: por ejemplo, bunq tuvo que avisar a sus clientes de que sus fondos estaban a salvo tras aislar las consultas.

Por tanto, la consecuencia para nosotros, los usuarios, fue inmediata: el smartphone no procesa esas operaciones en el dispositivo, sino que es un terminal dependiente de servidores en la nube.

Cuando estos caen o se desconectan por precaución, como en este caso, los trámites se bloquean, las pasarelas de autenticación fallan y las apps bancarias quedan inaccesibles aunque tengamos cobertura y conexión.

Sea como sea, estas vulnerabilidades en PHP nos sirven de recordatorio: la conectividad no solo depende de que las antenas o la fibra falle, también lo hace por la salud de un código que no vemos en el día a día y que corre a muchos kilómetros de distancia.

Imagen destacada | Generada para Xataka Móvil

En Xataka Móvil | El internet por satélite vive su mejor momento en España. Starlink tiene la culpa

En Xataka Móvil | No hay internet en mi zona: cómo saber si hay una incidencia con tu operador de fibra o móvil