El FBI advierte sobre una falla que amenaza a gran parte de Internet: ¿qué es PHP y por qué debería importarnos?

Imaginemos que una mañana intentamos ingresar a una página web que utilizamos todos los días y, de repente, no funciona. Puede ser el sitio de una institución pública, una tienda en línea o incluso el portal de una empresa. Pensamos que se cayó Internet, que hay problemas con el servidor o que simplemente están haciendo mantenimiento. Pero ¿qué pasaría si detrás de esa interrupción existiera una falla de seguridad en uno de los lenguajes de programación más utilizados del mundo?

Precisamente eso es lo que está ocurriendo este 21 y 22 de octubre de 2026, cuando una alerta internacional puso bajo presión a administradores de servidores, desarrolladores y empresas tecnológicas. El FBI y la Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtieron sobre dos vulnerabilidades críticas en PHP, una tecnología que lleva décadas funcionando detrás de millones de páginas web.

Y aquí viene lo interesante: posiblemente usted haya utilizado PHP cientos de veces sin siquiera saberlo.

PHP, cuyo nombre significa PHP: Hypertext Preprocessor, es un lenguaje de programación de código abierto creado especialmente para el desarrollo web. A diferencia de tecnologías como HTML, que permiten estructurar el contenido de una página, PHP se utiliza principalmente para ejecutar instrucciones en el servidor.

Pensemos en algo cotidiano. Cuando ingresamos a una tienda virtual, iniciamos sesión con nuestro usuario, buscamos un producto o realizamos una compra, detrás de esas acciones existe un sistema que procesa información, consulta bases de datos y genera respuestas. PHP es una de las tecnologías capaces de realizar ese trabajo.

De hecho, plataformas tan conocidas como WordPress, Joomla, Drupal y Magento utilizan PHP. Esto significa que blogs, medios de comunicación, tiendas virtuales, sitios empresariales e incluso portales institucionales pueden depender de él.

Para dimensionar su importancia, la firma W3Techs estimaba el 21 de octubre que PHP estaba presente en aproximadamente el 69,3 % de los sitios web cuyo lenguaje de programación del servidor podía identificarse. No significa que el 69,3 % de todo Internet haya sido vulnerado, pero sí permite comprender por qué una falla en esta tecnología genera tanta preocupación.

Entonces, ¿qué fue lo que descubrieron?

Los investigadores identificaron dos vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, relacionadas con el manejo de memoria y capaces de abrir la puerta a la ejecución remota de código. En palabras sencillas, bajo determinadas condiciones, un delincuente podría enviar solicitudes especialmente preparadas a un servidor vulnerable y conseguir que este ejecute instrucciones que nunca debería aceptar.

Lo más preocupante es que el atacante no necesitaría iniciar sesión previamente.

Si el ataque tiene éxito, las consecuencias podrían incluir el acceso a información confidencial, modificaciones de archivos, interrupciones de servicios o la instalación de programas maliciosos. Esto no significa que todos los servidores que utilizan PHP ya hayan sido comprometidos, sino que existe una vulnerabilidad que debe corregirse con urgencia.

La situación se volvió todavía más delicada porque información sobre las fallas comenzó a circular antes de que las actualizaciones estuvieran disponibles. Eso generó una carrera contra el tiempo: los responsables de los sistemas necesitaban proteger sus servidores mientras los desarrolladores de PHP terminaban de preparar las correcciones.

El 21 de octubre se publicaron actualizaciones de seguridad para las versiones PHP 8.5, 8.4, 8.3 y 8.2. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35, respectivamente. Tanto el equipo de PHP como las autoridades internacionales recomendaron aplicarlas inmediatamente.

Incluso algunas organizaciones optaron por suspender temporalmente sus servicios digitales como medida preventiva. Y aunque pueda parecer una decisión exagerada, en determinadas circunstancias es preferible mantener una página fuera de línea durante unas horas que arriesgarse a que un atacante consiga acceder a información sensible.

¿Y qué sucede en Costa Rica?

Nuestro país tampoco está al margen de esta situación. El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT) emitió una alerta dirigida a instituciones públicas y responsables tecnológicos para que revisen sus sistemas, identifiquen posibles exposiciones y apliquen las actualizaciones necesarias.

Esto es especialmente importante porque muchas empresas, comercios, instituciones y profesionales independientes utilizan plataformas desarrolladas con PHP, aunque no siempre conozcan el lenguaje de programación que funciona detrás de sus sitios.

Por ejemplo, una pequeña empresa puede tener su página en WordPress y pensar que mantener actualizados sus temas y complementos es suficiente. Sin embargo, estas vulnerabilidades se encuentran en el propio entorno de PHP, por lo que actualizar únicamente WordPress no necesariamente resuelve el problema. También debe verificarse la versión de PHP instalada en el servidor.

Para quienes administran páginas web, la recomendación es clara: comprobar la versión utilizada, coordinar con el proveedor de alojamiento, aplicar las correcciones y revisar los registros del servidor para detectar actividades sospechosas. Si un sistema fue comprometido antes de actualizarse, instalar el parche no elimina automáticamente al atacante ni los posibles cambios realizados.

Pero también hay una aclaración importante para el usuario común: esta advertencia no significa que su computadora o teléfono esté infectado simplemente por visitar una página que utiliza PHP. El problema se encuentra principalmente en la infraestructura que ejecuta el lenguaje y en la responsabilidad de quienes administran esos servicios.

Hay otro detalle que hace particularmente interesante esta noticia. Según informó Associated Press, herramientas de inteligencia artificial participaron en el descubrimiento de las vulnerabilidades. Es una muestra de cómo la IA comienza a desempeñar un papel cada vez más importante en la ciberseguridad, no solamente como una herramienta que podría aprovecharse para atacar, sino también para identificar fallas antes de que sean explotadas.

Al final, esta situación deja una reflexión importante. Cuando hablamos de seguridad informática, solemos pensar en antivirus, contraseñas o correos fraudulentos. Pero buena parte de la seguridad de Internet depende de tecnologías que el usuario nunca ve: lenguajes de programación, bibliotecas, servidores y componentes que llevan años funcionando silenciosamente.

PHP no es una tecnología nueva ni está desapareciendo. Por el contrario, continúa siendo una pieza fundamental de la web moderna. Precisamente por eso, cualquier vulnerabilidad crítica en su funcionamiento puede convertirse en un problema de alcance internacional.

La verdadera pregunta no es cuántas páginas utilizan PHP, sino cuántas de ellas están preparadas para reaccionar cuando aparece una amenaza de esta magnitud.

Porque esta vez no estamos hablando de una aplicación desconocida ni de un programa que pocas personas utilizan. Estamos hablando de una tecnología que trabaja todos los días detrás de una parte enorme de Internet.

Y cuando algo tan importante necesita una actualización de emergencia, queda claro que la seguridad digital no consiste únicamente en desarrollar sistemas que funcionen, sino también en mantenerlos protegidos mucho después de haberlos publicado.