La compañía Cloudflare, especializada en servicios en la nube y protección cibernética, detectó una ola sin precedentes de ciberataques tras revelarse dos vulnerabilidades críticas en PHP, el lenguaje de programación que impulsan el 70 % de las páginas web. Así lo confirmó este 22 de octubre Matthew Prince, cofundador y director ejecutivo de la empresa, en su perfil de X (antes Twitter).
Según sus declaraciones, en las diez horas previas a la difusión oficial de los fallos ya se habían registrado "miles de intentos" de explotación en la red de Cloudflare. La cifra escaló rápidamente: en 45 minutos paso a decenas de miles, en dos horas a cientos de miles, y actualmente supera los millones de ataques.
Gobiernos en acción: ¿por qué se apagan sitios web a toda prisa?
La Fundación PHP reconoció el 21 de octubre que señales de uno de los errores en su código ya se habían identificado en 2024. No obstante, en ese momento no se encontraron métodos concretos de explotación, lo que la organización calificó después como un "fracaso estructural".
De la teoría a la emergencia mundial
El 11 de agosto de 2026, las empresas Calif y OpenAI reportaron de manera independiente el fallo crítico. Más tarde, el 24 de agosto, Wiz aportó nuevos vectores de ataque. Sin embargo, la información se mantuvo en secreto bajo un embargo para permitir el desarrollo de soluciones antes de su divulgación pública en octubre.
El plan se vio truncado el 20 de octubre, cuando Calif publicó por error un video que demostraba cómo explotar la vulnerabilidad, lo que explicaría los ataques registrados antes del anuncio oficial. A esto se sumó que Chainguard rompió el embargo seis horas antes, al liberar un parche que permitió a los ciberdelincuentes analizar la brecha.
Respuesta de emergencia y parches críticos
Ante la filtración, los desarrolladores de PHP adelantaron un día el anuncio y lanzaron el 21 de octubre cuatro actualizaciones de emergencia para corregir las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619. Estas recibieron una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS, ya que permiten ejecutar código remoto sin necesidad de contraseña.
La situación generó una alerta mundial que llevó a:
- La actualización masiva de servidores en todo el planeta.
- La desconexión temporal de portales gubernamentales en varios países europeos y agencias globales.
La Agencia de Seguridad Nacional de EE.UU. (NSA) instó el 21 de octubre a desconectar los sistemas que no pudieran actualizarse de inmediato, advirtiendo que estas fallas "a menudo brinda acceso directo al sistema de archivos del servidor o a la base de datos".
