Dos vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619) han sacudido la infraestructura digital de medio mundo esta semana. Gobiernos de Países Bajos, Finlandia, Dinamarca y Francia han apagado o puesto en modo mantenimiento webs y servicios públicos enteros. En España, el CCN-CERT emitió un aviso oficial. El motivo: las vulnerabilidades permiten a un atacante ejecutar código de forma remota en servidores PHP sin necesidad de autenticarse, y los atacantes ya están activos.
Qué son exactamente CVE-2026-109618 y CVE-2026-109619
Ambos fallos afectan al manejo de ciertos errores de memoria durante una petición HTTP en PHP. Cuando se dan las condiciones adecuadas, el servidor queda en un estado inseguro que permite a un atacante externo ejecutar código arbitrario sin necesidad de tener ninguna credencial. No hace falta ni cuenta ni contraseña: basta con enviar una petición malformada al servidor.
La gravedad radica en lo que hay detrás de PHP. Según datos de W3Techs, el 69,3% de todos los sitios web con lenguaje de servidor identificable usa PHP. WordPress —que también depende de PHP— alimenta el 39,6% de todas las webs del mundo. Las vulnerabilidades no están en WordPress en sí, sino en la capa PHP sobre la que corre. Eso convierte este fallo en uno de los de mayor superficie de ataque potencial de los últimos años.
Quién ya ha apagado sus sistemas y por qué
La respuesta más contundente ha llegado de la administración pública neerlandesa, que retiró temporalmente su portal gubernamental y el área personal de la administración (error 503). La CNIL francesa, el organismo de protección de datos del país, también activó el modo mantenimiento. Webs de servicios públicos de Finlandia y Dinamarca quedaron inaccesibles.
En España, el CCN-CERT publicó un aviso oficial de mantenimiento. El banco bunq (Países Bajos) notificó a sus clientes que la aplicación funcionaba con normalidad pero que estaba investigando la situación, dejando claro que el dinero de los clientes estaba a salvo.
Cloudflare ha confirmado que está detectando tráfico de ataque activo dirigido a clientes expuestos y que los atacantes están modificando sus cargas de forma continua para evadir defensas. Aunque no hay pruebas públicas de que ninguno de los apagados responda a una intrusión confirmada, la amenaza activa justifica la medida preventiva.
Versiones afectadas y qué hacer ahora
PHP ha publicado versiones corregidas para las ramas 8.2, 8.3, 8.4 y 8.5. Las instalaciones más antiguas —en ramas que ya no reciben soporte oficial— dependen del proveedor de alojamiento o requieren migración a una versión compatible.
El NCSC británico y la NSA Cyber han publicado una recomendación directa:
- Prioridad 1: Actualizar PHP a la versión parcheada más reciente lo antes posible.
- Si no es posible actualizar de inmediato: desconectar el sistema hasta poder aplicar el parche. Mantener un servidor vulnerable expuesto a internet en este momento es un riesgo que los expertos consideran inaceptable.
- Comprobar con el proveedor de hosting: si no gestionas directamente tu servidor, verifica que tu proveedor ya ha aplicado la actualización. Muchos lo hacen de forma automática, pero no todos.
Un punto importante: en la mayoría de los casos el propietario de la web no gestiona PHP directamente. Esa responsabilidad recae sobre el administrador del servidor o el proveedor de alojamiento. Sin embargo, la empresa sigue siendo la responsable última de los datos que alojan sus sistemas ante el RGPD y el AI Act.
Por qué este tipo de incidentes afectan especialmente a las empresas medianas
Las grandes organizaciones tienen equipos de seguridad dedicados que reaccionan en horas. Las pequeñas y medianas empresas, en cambio, suelen depender de proveedores externos para la gestión de su infraestructura digital —y a veces ni saben qué versión de PHP corre bajo su sitio web o CRM.
Esta brecha no es solo técnica: es organizativa. Las empresas que tienen sus equipos formados en competencias digitales detectan antes las alertas de seguridad, saben a quién preguntar cuando surge un CVE crítico y pueden tomar decisiones informadas en lugar de esperar a que el proveedor actúe. Esa diferencia puede ser horas críticas de exposición.
La ciberseguridad como competencia transversal en la empresa
Casos como este demuestran que la seguridad digital ya no es solo cosa del departamento de IT. Cuando un fallo en la infraestructura puede dejar una web gubernamental caída o exponer datos de clientes, todos los profesionales que toman decisiones sobre herramientas digitales necesitan un nivel mínimo de alfabetización en ciberseguridad.
El Reglamento Europeo de IA (AI Act), en vigor desde 2024, refuerza esta idea: las empresas que usan sistemas de IA o plataformas digitales con datos sensibles tienen obligaciones activas de supervisión, actualización y respuesta ante incidentes. No es suficiente con firmar un contrato con un proveedor y olvidarse.
Formar al equipo en conceptos básicos de seguridad digital —qué es una vulnerabilidad, cómo leer un CVE, cuándo escalar a un especialista— es una inversión con retorno directo en reducción de riesgo. Y con las herramientas de IA actuales, esa formación puede hacerse de forma mucho más eficiente y adaptada que hace cinco años.
Prepara a tu equipo para el entorno digital actual
En ENARTI formamos a los equipos de empresa en competencias digitales y uso eficiente de IA, para que tus profesionales tomen mejores decisiones cuando más importa.