Falla crítica en PHP pone en riesgo sitios web colombianos

El equipo de seguridad de PHP, el lenguaje con el que funciona buena parte de los sitios web del mundo, publicará hoy miércoles 21 de octubre a las 9:00 a. m. (hora de Colombia) una actualización de emergencia para corregir dos fallas críticas. Agencias de ciberseguridad de Reino Unido y la Unión Europea pidieron a las organizaciones prepararse para instalarla de inmediato y, si no pueden hacerlo, desconectar los sistemas expuestos.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9,2 sobre 10 en gravedad por parte del propio equipo de PHP. Según investigadores independientes, permitirían a un atacante ejecutar órdenes a distancia en un servidor sin necesidad de usuario ni contraseña, es decir, tomar control del sitio.

Por qué importa en Colombia

PHP está detrás de WordPress, Drupal, Joomla y tiendas en línea como WooCommerce o Magento. Eso incluye portales de entidades públicas, medios, universidades y pequeños comercios que alojan su página en servicios de hosting compartido. Si tu sitio funciona con alguna de estas herramientas, este aviso te concierne.

Lo que se sabe y lo que no

Lo confirmado: PHP anunció el 20 de octubre la actualización y advirtió que podría adelantarla si los detalles se hacen públicos o si aparecen ataques reales. Los detalles técnicos y la lista oficial de versiones afectadas se conocerán solo con la publicación del parche.

Lo que se reporta, pero no está confirmado oficialmente:

• La información sobre las fallas se habría filtrado antes de la fecha acordada entre investigadores y el equipo de PHP. La firma watchTowr aseguró que las vulnerabilidades son reales y que logró reproducir una de ellas.
• Algunos reportes hablan de una gravedad de 10/10 y de afectación desde PHP 5. La cifra oficial es 9,2. Además, varias publicaciones mencionan “PHP 6”, una versión que nunca salió al público.
• La firma Sansec afirma que Cloudflare detectó los primeros ataques contra sitios PHP en la madrugada de hoy y prevé ataques masivos minutos después de que salga el parche. MuchoHacker no ha podido verificar este dato de forma independiente.
  

Qué hacer ahora

Si administras un sitio o servidor:

1. Identifica qué sistemas usan PHP, empezando por los que están expuestos a internet.
2. Vigila los registros de esos sitios en busca de actividad extraña.
3. Instala la actualización apenas esté disponible en php.net o en tu sistema operativo.
4. Si no puedes actualizar de inmediato, considera desconectar temporalmente el sitio.
5. Revisa también equipos y servicios de terceros que traen PHP incluido.

Si tu página está en un hosting compartido, escríbele hoy a tu proveedor y pregunta cuándo aplicará el parche. Las versiones 8.1 y anteriores ya no reciben correcciones: si sigues en ellas, el único camino es migrar.

Si solo visitas sitios web, no tienes que hacer nada. El riesgo está en los servidores, no en tu celular o computador.

¿Y colCERT?

Mientras el Centro Nacional de Ciberseguridad del Reino Unido y CERT-EU pidieron a sus organizaciones prepararse para actualizar o desconectar sus sistemas, el Grupo de Respuesta a Emergencias Cibernéticas de Colombia (colCERT), la entidad del Ministerio de Defensa encargada de alertar sobre este tipo de amenazas, no había publicado ninguna advertencia hasta las 8:00 a. m. de este miércoles, una hora antes de que saliera el parche. Ni en sus redes sociales, que tienen una última publicación el 20 de cotubre a las 2:00 pm, ni en su portal cuyo último boletín es del 2 de octubre.

El silencio no es menor: en Colombia hay portales de entidades públicas, alcaldías, universidades y medios que funcionan con PHP, y muchos dependen de un aviso oficial para saber que deben actuar.

No es la primera vez que pasa. En 2017, durante el ataque global de WannaCry, la entidad tardó días en pronunciarse. Una alerta que llega después del ataque no sirve como alerta. MuchoHacker no consultó a colCERT sobre este caso debido a la ausencia de respuesta en otros casos y peticiones periodísticos que hemos hecho.

No se necesita ser un genio de la informática para adivinar qué pasará en Colombia. Son miles los sitios web de infraestructura estatal que podrían funcionar con PHP y nadie asumirá las actualizaciones que se requieren para remediar una falla tan grave.

Esta nota se actualizará cuando PHP publique las versiones corregidas.

Actualizado: 21 de octubre de 2026, 9:10 a. m.

El equipo de seguridad de PHP, el lenguaje con el que funciona buena parte de los sitios web del mundo, publicó este miércoles una actualización de emergencia para corregir dos fallas críticas. Según el propio equipo de PHP, permiten que un atacante ejecute órdenes a distancia en un servidor sin necesitar usuario ni contraseña, es decir, que tome control del sitio. La recomendación oficial es actualizar de inmediato.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Cualquier versión anterior a esas es vulnerable.

Quién está en riesgo

Toda instalación de PHP que entregue páginas web, sin importar cómo esté configurada. PHP considera que el riesgo es mayor en la forma más común de instalarlo en servidores Apache, donde ya se demostró un ataque que se activa antes de que el sitio alcance a ejecutar su propio código.

Eso incluye a WordPress, Drupal, Joomla y tiendas en línea como WooCommerce o Magento. En Colombia abarca portales de entidades públicas, alcaldías, universidades, medios y pequeños comercios en hosting compartido.

Qué son las fallas, en palabras simples

• CVE-2026-109618: cuando PHP se queda sin memoria en medio de una solicitud, puede quedar con datos a medio armar. Al limpiar, los trata como válidos, y un atacante puede aprovechar ese error.
• CVE-2026-109619: información de una visita anterior puede quedar “olvidada” en memoria y ser usada por la siguiente solicitud antes de borrarse. Eso también abre la puerta a un ataque.

Ambas tienen una calificación de 9,2 sobre 10 en gravedad. Antes del parche, la información sobre las fallas se filtró antes de la fecha acordada. Varias firmas de seguridad advirtieron que esperan ataques masivos en las próximas horas.