Prometieron parches inmediatos y, en cambio, apagaron cientos de sitios
Una alerta mundial de ciberseguridad obligó a gobiernos, empresas e instituciones a desconectar sus páginas el 21 de octubre. Las vulnerabilidades CVE‑2026‑109618 y CVE‑2026‑109619, con una gravedad de 9,2 sobre 10, permiten ejecutar código sin credenciales. ¿Por qué la respuesta fue apagar sitios en vez de parchear al instante?
El miércoles 21 de octubre una alerta internacional de ciberseguridad provocó la interrupción de cientos de sitios web de gobiernos, empresas y otras entidades. El origen del problema fueron dos vulnerabilidades críticas descubiertas en el lenguaje de programación PHP, identificadas como CVE‑2026‑109618 y CVE‑2026‑109619, ambas calificadas con 9,2 / 10 de gravedad.
Según los organismos de seguridad informática, los fallos permiten a un atacante ejecutar código malicioso en los servidores sin necesidad de contraseñas ni credenciales de acceso. Ante esa capacidad de acceso directo al sistema de archivos o a la base de datos, la recomendación inmediata fue desconectar temporalmente los sitios afectados hasta aplicar las actualizaciones correspondientes.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT‑EU) indicó que, si no se podían aplicar las correcciones de inmediato, los sistemas debían aislarse de redes públicas. Por su parte, la Agencia Nacional de Seguridad de EE. UU. (NSA) publicó en X que “con efecto inmediato se recomienda a todas las organizaciones que utilicen PHP… prepararse para una actualización que solucione dos vulnerabilidades críticas”. El mensaje subrayó que, en ausencia de una actualización rápida, la medida preventiva debería ser la desconexión del sistema.
En Japón, la primera ministra Sanae Takaichi pidió en X que se atendiera la petición urgente esa misma noche, señalando que el parche se publicaría a las 23:00 (hora local). En Alemania, Francia, Finlandia y los Países Bajos las autoridades suspendieron el acceso a sitios de la administración federal, prefecturas, servicios digitales gubernamentales, hospitales y el puerto de Róterdam. La Fundación Wikimedia también desconectó algunos de sus sistemas mientras trabajaba en las actualizaciones.
Las autoridades aclararon que las interrupciones no implican que los sitios hubieran sido atacados; fueron medidas preventivas para evitar posibles compromisos. PHP está presente en cerca del 70 % de los sitios web cuyo lenguaje de servidor se puede identificar, y solo en WordPress existen entre 400 y 500 millones de sitios activos a nivel global, lo que explica la magnitud de la reacción.
La vulnerabilidad permite a ciberdelincuentes acceder a información almacenada, modificar archivos, sustraer datos o comprometer el funcionamiento de los servicios. La respuesta masiva plantea preguntas sobre la capacidad de los operadores para aplicar parches críticos con la rapidez que exigen estas amenazas. ¿Se están revisando los procesos de actualización de forma sistemática o sigue prevalecer la reacción de último minuto?
No te pierdas lo importante
Recibí lo más importante del día en tu mail. Sin spam.
