Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado en cerca del 70 % de los sitios web del mundo, encendieron las alertas internacionales este miércoles 21 de octubre.
Las fallas podrían permitir a los ciberdelincuentes ejecutar código de forma remota y comprometer información confidencial. En Colombia, ColCERT identificó 8.699 servicios con PHP expuestos a internet, aunque esto no significa que todos sean vulnerables.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially… pic.twitter.com/tnwiQv5v0F
— FBI Cyber Division (@FBICyberDiv) October 21, 2026
Ante los riesgos que representan estas fallas, Milton Quiroga, gerente general de Cyte, explicó a SEMANA cómo podrían aprovecharlas los atacantes, qué consecuencias tendrían para las organizaciones y por qué es fundamental identificar y actualizar los sistemas expuestos.
El riesgo no se limita a páginas web mal diseñadas. Según Quiroga, las fallas se encuentran en el propio motor de PHP, el lenguaje de programación que utilizan numerosos sitios de internet, por lo que incluso una página desarrollada correctamente podría estar expuesta si funciona con una versión vulnerable.
El riesgo de los sistemas que pasan inadvertidos
Uno de los problemas que destacó Milton Quiroga, gerente general de Cyte, es que las empresas no siempre conocen todos los programas que utilizan, especialmente cuando están integrados en servicios de terceros. Esta situación puede dificultar la detección de fallas de seguridad.
“El PHP más peligroso es el que nadie sabe que tiene, dentro de un producto, un hosting o un equipo”, advirtió el experto.
Las dos vulnerabilidades descubiertas afectan el motor de PHP, el lenguaje que utilizan plataformas como WordPress, tiendas en línea y portales de empresas y entidades públicas. Según Quiroga, esto significa que incluso una página bien desarrollada puede quedar expuesta.
“Permiten que un atacante ejecute código en el servidor sin tener usuario ni contraseña. Con severidad 9,2 sobre 10, es de lo más grave que se le ha encontrado a PHP”, explicó.
Si consigue aprovechar las fallas, un ciberdelincuente podría robar bases de datos, modificar sitios web, instalar programas maliciosos o intentar acceder a otros sistemas. También podría obtener contraseñas y llaves de acceso almacenadas en la memoria del servidor.
La inteligencia artificial acelera la búsqueda de fallas
Quiroga explicó que los investigadores utilizaron modelos de inteligencia artificial para examinar el código de PHP e identificar errores difíciles de detectar. Estas herramientas también pueden ayudar a comprobar cómo aprovechar las vulnerabilidades.
“La IA es especialmente buena para encontrar fallas escondidas en los detalles: revisa millones de líneas sin cansarse y nota cosas que a una persona se le pasan”, señaló.
El experto advirtió que esta capacidad puede acelerar el desarrollo de ataques: “Lo que antes tomaba meses a un equipo experto hoy toma días”. Sin embargo, aclaró que las personas siguen tomando las decisiones sobre las correcciones y la divulgación de los hallazgos.
Qué deben hacer las organizaciones
La recomendación principal es actualizar PHP a las versiones corregidas, identificar todas las instalaciones y aplicar medidas provisionales si no es posible actualizar de inmediato. Estas últimas, advirtió Quiroga, reducen la exposición, pero no eliminan el riesgo.
También aconsejó cambiar las contraseñas y llaves de acceso que pudieron estar almacenadas en servidores expuestos sin actualizar.
En Colombia, ColCERT identificó 8.699 servicios con PHP expuestos a internet. La cifra no significa que todos sean vulnerables, por lo que cada instalación debe verificarse.
Quiroga también diferenció estas fallas del riesgo asociado con la computación cuántica. Mientras los errores de PHP pueden corregirse mediante parches, un computador cuántico suficientemente potente podría comprometer algunos métodos criptográficos actuales.
“Un atacante puede guardar hoy información cifrada para descifrarla después”, advirtió. Por eso, destacó la importancia de preparar la protección de los datos a largo plazo y mantener identificados los sistemas tecnológicos.
“La lección común es que no se puede proteger lo que no se sabe que se tiene”, concluyó.
MinTIC pide actualizar los sistemas y revisar posibles señales de ataque
El MinTIC, a través de ColCERT, recomendó actualizar de inmediato las instalaciones de PHP a versiones corregidas y dar prioridad a los servidores expuestos a internet, especialmente aquellos que utilizan Apache con mod_php. La entidad advirtió que las medidas temporales pueden reducir el riesgo, pero no garantizan la seguridad de los sistemas vulnerables.
Además, aconsejó revisar los registros de actividad para identificar comportamientos inusuales, como reinicios inesperados de servicios, procesos desconocidos ejecutados desde el servidor web, archivos PHP nuevos en directorios públicos o conexiones salientes sospechosas. ColCERT recomendó conservar estos registros durante al menos seis meses para facilitar la detección y el análisis de posibles incidentes.