Miércoles negro de internet: fallas de PHP dejan sitios fuera de línea
El miércoles negro de internet, registrado el 21 de octubre de 2026, provocó la suspensión preventiva de sitios gubernamentales, hospitales y plataformas digitales en varios países debido a dos vulnerabilidades críticas en PHP. Las fallas, identificadas conjuntamente como PHP2Shell, permiten ejecutar instrucciones maliciosas en servidores afectados sin necesidad de contar con una contraseña o una cuenta autorizada.
La alerta de seguridad alcanzó a organizaciones públicas y privadas de Alemania, Francia, Países Bajos, Bélgica y Japón. Entre los servicios que interrumpieron sus operaciones digitales figuran portales gubernamentales, páginas hospitalarias, plataformas financieras y sistemas de organizaciones dedicadas a preservar contenidos de internet.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) emitió una alerta urgente, mientras que Amazon confirmó intentos de explotación desde el 17 de octubre, días antes de que se publicaran oficialmente las correcciones. Por su parte, Palo Alto Networks identificó más de 22.6 millones de instancias potencialmente vulnerables, una cifra que no significa que todos esos sistemas hayan sido atacados.
Qué sitios de internet suspendieron sus servicios por las fallas de PHP
Las interrupciones se concentraron en medidas preventivas para reducir el riesgo de intrusiones. En Alemania, el proveedor federal de servicios informáticos ITZBund desconectó varios portales gubernamentales. El Ministerio de Digitalización explicó que la decisión buscaba proteger sus sistemas y señaló que, hasta ese momento, no tenía conocimiento de incidentes de seguridad relacionados con las vulnerabilidades.
Francia suspendió temporalmente los portales de sus prefecturas, organismos responsables de diversas funciones administrativas locales. En Bélgica, el Ministerio de Exteriores también interrumpió el acceso a sus sitios web.
Países Bajos registró algunas de las interrupciones más visibles. El Puerto de Róterdam, uno de los principales centros logísticos europeos, desconectó su página web. También dejaron de estar disponibles el portal gubernamental Overheid.nl, sitios de hospitales y el portal público de la propia autoridad neerlandesa de ciberseguridad.
En Japón, el Ministerio de Finanzas y la Agencia Meteorológica interrumpieron parcialmente algunos servicios. El grupo financiero Mitsubishi UFJ y la aerolínea ANA anunciaron suspensiones temporales de determinadas plataformas digitales.
Las medidas también afectaron a organizaciones internacionales. La Fundación Wikimedia, responsable de Wikipedia, deshabilitó algunos sistemas mientras instalaba las actualizaciones de seguridad. Internet Archive, dedicado a preservar contenidos digitales, interrumpió brevemente su servicio para aplicar correcciones de emergencia.
Las autoridades alemanas y finlandesas señalaron que sus acciones preventivas se adoptaron sin haber confirmado intrusiones en los sistemas afectados. Por ello, las interrupciones no deben interpretarse como evidencia de que todos los servicios desconectados hubieran sido comprometidos.
Cómo funcionan las vulnerabilidades PHP2Shell y qué riesgos representan
Las fallas conocidas como PHP2Shell afectan al funcionamiento interno de PHP, un lenguaje de programación utilizado por numerosos sitios para procesar información, consultar bases de datos y ejecutar operaciones en sus servidores antes de mostrar contenidos a los usuarios.
En condiciones normales, PHP puede intervenir cuando una tienda electrónica verifica la disponibilidad de un producto, procesa una compra o permite que un usuario inicie sesión. Las vulnerabilidades identificadas abren la posibilidad de que un atacante envíe instrucciones maliciosas al servidor y ejecute código sin disponer de credenciales autorizadas.
Si una intrusión tiene éxito, las consecuencias dependen de los permisos del servidor comprometido y de su conexión con otros sistemas. En una tienda digital, por ejemplo, el atacante podría acceder a información personal de clientes, alterar el funcionamiento de la plataforma o instalar programas maliciosos.
En una institución financiera, el acceso inicial también podría servir para intentar avanzar hacia otros equipos de la organización. La NSA advirtió sobre este riesgo de propagación dentro de las redes afectadas.
Las dos vulnerabilidades recibieron una calificación de 9.2 sobre 10 en el sistema internacional utilizado para medir la gravedad de las fallas informáticas. Su relevancia radica en que afectan al propio PHP, por lo que una aplicación podría quedar expuesta aunque otros componentes se encuentren actualizados y funcionen correctamente.
Cuántos sitios están expuestos y qué se sabe del riesgo en México
PHP mantiene una presencia importante en la infraestructura de internet. Según las estadísticas de W3Techs del 22 de octubre de 2026, este lenguaje funciona en el 69.3% de los sitios web cuyo lenguaje de programación del servidor pudo identificar la firma.
Palo Alto Networks calculó que existen más de 22.6 millones de instancias expuestas potencialmente vulnerables. El dato corresponde a componentes tecnológicos detectados mediante sus herramientas de monitoreo y no representa el número de sitios atacados ni de organizaciones que hayan sufrido una intrusión.
Entre las plataformas que pueden verse afectadas se encuentran WordPress, Drupal y Magento, utilizadas para administrar sitios informativos, comercios electrónicos y otros servicios digitales. El riesgo también alcanza a aplicaciones empresariales desarrolladas para gestionar operaciones internas.
En México, las organizaciones que utilizan PHP en servidores accesibles desde internet necesitan revisar sus instalaciones y comprobar que cuentan con las correcciones correspondientes. Esto incluye empresas con tiendas en línea, dependencias públicas y proveedores de alojamiento web.
La responsabilidad de actualizar los sistemas puede depender del proveedor cuando una organización contrata servicios de alojamiento administrado y desconoce qué versión de PHP utiliza su sitio.
Sin embargo, hasta el 22 de octubre de 2026, la información pública disponible no permitía establecer cuántos servidores mexicanos seguían vulnerables ni cuántas organizaciones nacionales habían sido comprometidas mediante PHP2Shell.
Las búsquedas en las publicaciones oficiales de la Guardia Nacional, el CERT-MX y la Agencia de Transformación Digital y Telecomunicaciones tampoco permitieron identificar una alerta pública verificable con recomendaciones específicas para las organizaciones del país. Por tanto, el alcance de la exposición en México continúa sin determinarse.
Los investigadores de Sansec señalaron que las pruebas de explotación conocidas requieren determinadas condiciones técnicas. En su evaluación del 22 de octubre, consideraron menos probable un ataque masivo e indiscriminado de lo que se temía inicialmente, aunque advirtieron que el riesgo persiste para los servidores vulnerables.
Los intentos de explotación comenzaron antes de la publicación de los parches
Amazon Threat Intelligence detectó un intento de explotación el 17 de octubre de 2026 mediante MadPot, una red de servidores señuelo que la compañía utiliza para observar actividades maliciosas. La empresa identificó nuevos intentos durante las primeras horas del 21 de octubre, antes de que los desarrolladores publicaran oficialmente las correcciones.
Los intentos procedían de distintas direcciones de internet y presentaban características diferentes, lo que apunta a la posible participación de varios actores. No obstante, Amazon aclaró que todavía desconocía si las actividades detectadas contra sus servidores señuelo habrían tenido éxito en sistemas reales.
CJ Moses, director de Seguridad de Amazon Integrated Security, explicó que las herramientas de inteligencia artificial están reduciendo el tiempo necesario para convertir una vulnerabilidad conocida en un ataque informático. La compañía recomendó revisar los registros de actividad desde el 17 de octubre para identificar posibles intentos anteriores a la divulgación pública de las fallas.
El origen de los errores también se remonta a años anteriores. La Fundación PHP reconoció que los primeros indicios de una de las fallas aparecieron durante una auditoría realizada en 2024. Las dificultades para modificar componentes fundamentales del lenguaje retrasaron la solución.
En agosto de 2026, investigadores de Calif y OpenAI encontraron formas concretas de aprovechar la vulnerabilidad. Posteriormente, Wiz identificó otras posibilidades de ataque mediante herramientas de inteligencia artificial. La Fundación PHP atribuyó la demora a problemas en la organización del trabajo y a la falta de personal especializado.
El 20 de octubre comenzaron a circular datos sobre las vulnerabilidades en internet. Esa filtración obligó a adelantar un día la publicación de las correcciones, que inicialmente estaba prevista para el 22 de octubre.
Qué actualizaciones de PHP deben instalar las organizaciones
Los desarrolladores publicaron el 21 de octubre las versiones corregidas de PHP para atender ambas vulnerabilidades. Las actualizaciones disponibles son:
- PHP 8.5.12.
- PHP 8.4.27.
- PHP 8.3.36.
- PHP 8.2.35.
Las organizaciones que utilizan versiones anteriores enfrentan dificultades adicionales para proteger sus sistemas. PHP 8.1 y las ediciones más antiguas dejaron de recibir mantenimiento ordinario del proyecto, aunque algunos proveedores distribuyen correcciones especiales.
La NSA recomendó identificar todos los sistemas que dependen de PHP y dar prioridad a los servidores accesibles desde internet. Si no es posible instalar las actualizaciones de inmediato, la agencia aconsejó evaluar la desconexión temporal de los equipos expuestos.
Por su parte, el Centro Nacional de Ciberseguridad del Reino Unido pidió revisar los sistemas en busca de señales de posibles intrusiones, especialmente cuando existan sospechas de ataques anteriores a la instalación de los parches.
Cloudflare confirmó que había detectado tráfico malicioso relacionado con PHP2Shell y que desplegó medidas de protección desde las primeras horas del 21 de octubre. Sin embargo, los desarrolladores del lenguaje consideran que la actualización de PHP es la solución completa para corregir las vulnerabilidades.
Instalar los parches no elimina por sí solo las consecuencias de una intrusión que ya se haya producido. Las organizaciones que detecten indicios de compromiso también deben investigar si los atacantes instalaron programas maliciosos para conservar el acceso a sus sistemas después de la actualización.
El miércoles negro de internet evidenció los riesgos asociados con fallas en componentes ampliamente utilizados y motivó suspensiones preventivas en distintos países. Mientras continúa la investigación sobre el alcance de los ataques, las organizaciones que dependen de PHP deben comprobar sus versiones, aplicar las correcciones disponibles y revisar sus registros de actividad para determinar si estuvieron expuestas a intentos de explotación.
