Alerta mundial por fallas críticas en PHP: miles de servicios en Colombia podrían estar expuestos
Las fallas, calificadas con una gravedad de 9,2 sobre 10, podrían permitir la ejecución remota de código en servidores sin actualizar.
Dos vulnerabilidades con una gravedad de 9,2 sobre 10 encendieron las alarmas de ciberseguridad. En Colombia, ColCERT identificó 8.699 servicios que utilizan PHP y están expuestos a internet. Los expertos piden actualizar los sistemas y revisar posibles señales de ataque.
Dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios web y aplicaciones, desataron una alerta internacional por el riesgo de ataques informáticos contra servidores que no cuenten con las actualizaciones de seguridad correspondientes.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir que un atacante ejecute código de manera remota en determinados servidores vulnerables, incluso sin contar con una cuenta o contraseña válida. De ser explotadas, podrían facilitar el acceso a archivos, bases de datos y otra información confidencial almacenada en los equipos afectados.
La gravedad de las vulnerabilidades fue calificada en 9,2 sobre 10, una puntuación que refleja el potencial impacto de los errores y la necesidad de atenderlos con rapidez. El equipo de desarrollo de PHP publicó actualizaciones correctivas el 21 de octubre de 2026 y recomendó instalarlas de inmediato.
La alerta ha llevado a organizaciones y autoridades de distintos países a revisar sus infraestructuras digitales. En algunos casos, sitios institucionales fueron desconectados temporalmente como medida preventiva mientras sus administradores evaluaban el riesgo y aplicaban las correcciones.
¿Por qué PHP representa un riesgo para tantos sitios web?
PHP es un lenguaje de programación que se ejecuta en los servidores y permite que las páginas web procesen información, gestionen usuarios, consulten bases de datos y realicen operaciones como compras en línea o publicación de contenidos.
Su presencia es amplia en plataformas como WordPress, tiendas virtuales, portales empresariales y páginas institucionales. Por eso, una vulnerabilidad en el propio lenguaje puede tener repercusiones en servicios digitales de diferentes sectores, aunque sus diseños y funciones sean distintos.
La preocupación aumenta porque las fallas no dependen necesariamente de que una página haya sido desarrollada de manera deficiente. Un sitio correctamente construido también puede quedar expuesto si el servidor utiliza una versión vulnerable de PHP y no recibe la actualización correspondiente.
Según datos citados en la cobertura internacional, PHP está presente en cerca del 70 % de los sitios web cuya tecnología de servidor puede identificarse. Esta proporción ayuda a dimensionar el alcance potencial de la alerta, pero no significa que ese porcentaje de páginas esté comprometido ni que todas las instalaciones sean vulnerables en las mismas condiciones.
La advertencia de un experto: el peligro de los sistemas olvidados
Milton Quiroga, gerente general de la empresa de ciberseguridad Cyte, explicó a SEMANA que uno de los principales problemas para las organizaciones es desconocer todos los componentes tecnológicos que utilizan.
El especialista advirtió que algunas instalaciones de PHP pueden permanecer ocultas dentro de productos de terceros, servicios de alojamiento web o equipos que llevan años funcionando sin una revisión adecuada. En esas circunstancias, una empresa puede actualizar sus aplicaciones más visibles y, aun así, dejar expuesto un servidor que no tenía identificado.
La advertencia cobra especial importancia para las organizaciones que contratan servicios digitales externos o utilizan plataformas administradas por proveedores. Aunque el propietario de una página no tenga acceso directo a la configuración del servidor, sigue siendo necesario verificar quién administra esa infraestructura y si las actualizaciones se están aplicando.
Quiroga también explicó que, bajo determinadas condiciones, un atacante podría aprovechar las fallas para ejecutar instrucciones en el servidor sin autenticarse. Las consecuencias dependerían de los permisos del sistema comprometido, pero podrían incluir el robo de información, la modificación de páginas web, la instalación de programas maliciosos o el acceso a credenciales almacenadas en memoria.
Por ello, el riesgo no debe evaluarse únicamente a partir de la apariencia o del funcionamiento normal de un sitio. Un portal puede seguir disponible para los usuarios mientras su infraestructura presenta una vulnerabilidad que todavía no ha sido corregida.
La inteligencia artificial también intervino en el hallazgo
Uno de los aspectos más relevantes del caso es el papel de la inteligencia artificial en la identificación de errores de seguridad.
De acuerdo con los reportes sobre la investigación, herramientas de IA ayudaron a los investigadores a examinar el código de PHP, localizar fallas difíciles de detectar y comprobar posibles formas de explotación. El trabajo involucró a investigadores y organizaciones de seguridad que coordinaron sus hallazgos con los responsables del lenguaje para facilitar la preparación de las correcciones.
Este caso muestra cómo la inteligencia artificial puede contribuir a fortalecer la ciberseguridad al ayudar a detectar errores en grandes cantidades de código. Sin embargo, las mismas capacidades también pueden facilitar el análisis de sistemas vulnerables y acelerar la preparación de ataques, lo que aumenta la presión para corregir los fallos una vez que se divulgan.
La publicación de una actualización tampoco significa que el riesgo desaparezca inmediatamente. Mientras existan servidores sin corregir, los atacantes pueden intentar identificar instalaciones expuestas y aprovechar que sus administradores todavía no han aplicado las medidas necesarias.
La urgencia consiste, por tanto, en acortar el tiempo entre la publicación de una corrección y su instalación en los sistemas que la necesitan.
Colombia: 8.699 servicios expuestos a internet
En el país, ColCERT, el equipo de respuesta a incidentes de seguridad digital del Gobierno nacional, identificó 8.699 servicios con PHP expuestos a internet.
La cifra constituye una señal de atención para las organizaciones públicas y privadas que dependen de esta tecnología. Sin embargo, es importante precisar que la exposición a internet no demuestra por sí sola que un servicio sea vulnerable o que haya sido atacado. Para establecerlo, es necesario verificar la versión instalada, la configuración del servidor y la aplicación de las actualizaciones correspondientes.
Entre los sistemas que deben revisarse se encuentran los portales institucionales, las plataformas de comercio electrónico, los sitios de medios de comunicación, los servicios empresariales y las aplicaciones que reciben solicitudes directamente desde internet.
La prioridad debe estar en identificar las instalaciones que utilizan versiones afectadas y determinar cuáles todavía no cuentan con la corrección. En los casos en que una organización depende de un proveedor externo, también es necesario confirmar que este haya aplicado las medidas de seguridad pertinentes.
¿Qué deben hacer las empresas y los administradores?
La recomendación principal es actualizar PHP a una versión corregida y comprobar que el cambio se haya aplicado correctamente. El equipo responsable de cada sitio debe identificar qué versiones utiliza, verificar si están dentro de las afectadas y coordinar las acciones necesarias con sus proveedores tecnológicos.
También se recomienda:
- Identificar todos los sistemas que utilizan PHP. La revisión debe incluir servidores principales, aplicaciones antiguas, servicios de terceros y sitios que no reciben mantenimiento frecuente.
- Priorizar los servicios expuestos a internet. Los servidores accesibles desde redes públicas requieren atención inmediata, especialmente si utilizan configuraciones señaladas por los equipos de seguridad.
- Aplicar las actualizaciones disponibles. Las medidas temporales pueden reducir ciertas vías de ataque, pero no sustituyen la instalación de las correcciones.
- Revisar los registros de actividad. Los administradores deben buscar procesos desconocidos, archivos inesperados, conexiones salientes inusuales y otros comportamientos que puedan indicar una intrusión.
- Proteger las credenciales. Si existen indicios de compromiso, deben evaluarse las contraseñas, los tokens y las claves de acceso que pudieron quedar expuestos.
- Conservar las evidencias. Ante una posible intrusión, es importante preservar los registros del servidor y solicitar apoyo especializado antes de realizar cambios que puedan dificultar la investigación.
Las autoridades de ciberseguridad también recomiendan considerar el aislamiento temporal de los sistemas vulnerables cuando no sea posible aplicar de inmediato una corrección segura. Esta decisión debe evaluarse según el riesgo y la función del servicio afectado.
¿Qué significa esta alerta para los usuarios?
Para las personas que visitan páginas web, compran por internet o utilizan servicios digitales, la principal aclaración es que no necesitan instalar una actualización de PHP en sus celulares o computadores. PHP funciona en el servidor que administra el sitio web, por lo que la responsabilidad de corregir estas vulnerabilidades recae en los propietarios de las aplicaciones, sus administradores y los proveedores de alojamiento.
Aun así, los usuarios deben mantener sus dispositivos y navegadores actualizados, utilizar contraseñas diferentes para sus cuentas importantes y activar la autenticación multifactor cuando esté disponible. Estas medidas no corrigen las fallas de PHP, pero pueden ayudar a reducir otros riesgos de seguridad.
Si una organización informa que un servicio fue desconectado temporalmente, eso no significa necesariamente que haya sufrido un ataque exitoso. En algunos casos, suspender el acceso público es una medida preventiva mientras se instala una actualización o se verifica la integridad del sistema.
Una carrera para cerrar las brechas de seguridad
Las vulnerabilidades en PHP ponen de manifiesto una dificultad persistente para la seguridad digital: las organizaciones no solo deben proteger sus sistemas más visibles, sino también mantener actualizados los componentes tecnológicos que operan detrás de ellos.
La situación exige una respuesta coordinada entre desarrolladores, proveedores de alojamiento, administradores y entidades encargadas de la ciberseguridad. El objetivo inmediato es identificar las instalaciones afectadas, corregirlas y determinar si existen señales de explotación.
Para Colombia, los 8.699 servicios identificados por ColCERT constituyen un punto de partida para orientar las revisiones, no una cifra de sitios confirmados como comprometidos. La prioridad será establecer cuáles requieren intervención y asegurar que las actualizaciones lleguen también a los sistemas menos visibles.
La advertencia de los expertos es clara: una vulnerabilidad conocida puede seguir representando un riesgo mientras permanezca instalada en un servidor sin corregir. En un entorno donde las herramientas de inteligencia artificial están acelerando tanto la detección como el análisis de fallas, mantener un inventario actualizado y responder con rapidez se vuelve una parte esencial de la protección digital.