La empresa de servicios en la nube y seguridad cibernética Cloudflare ha registrado "millones" de ciberataques después del anuncio oficial de dos vulnerabilidades críticas en el lenguaje de programación PHP —que soporta cerca del 70 % de las páginas de Internet—, reveló este 22 de octubre el director ejecutivo y cofundador de la compañía, Matthew Prince.
Según detalló en su cuenta en X, en las diez horas previas a que se hicieran públicos estos fallos en el código ya se habían detectado "miles de intentos" de explotarlos en la red de Cloudflare. "Eso saltó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas, y a millones ahora", señaló.
En un comunicado, la Fundación PHP admitió este 21 de octubre que indicios de uno de los errores en su código ya habían sido observados en 2024. Sin embargo, el problema quedó en la teoría y no se encontraron "vectores concretos", lo que fue calificado posteriormente por la propia organización como "un fracaso estructural".
De "fracaso estructural" a alerta global
La fundación detalló que, el 11 de agosto de 2026, la firma Calif y OpenAI reportaron el fallo crítico de forma independiente, a los que se sumó la empresa Wiz el 24 de agosto con nuevos vectores de ataque. Sin embargo, el hallazgo se mantuvo bajo embargo para dar tiempo a desarrollar una solución antes de hacerlo público en octubre.
Ese plan se vio frustrado por una serie de filtraciones desde el 20 de octubre, cuando Calif publicó por error un video sobre cómo explotar el fallo, lo que explica los ataques previos al anuncio oficial. A ello se sumó que la firma Chainguard rompió el embargo seis horas antes al publicar un parche, permitiendo a los piratas informáticos estudiar la brecha.
Ante la filtración, los desarrolladores de PHP tuvieron que adelantar un día el anuncio oficial y lanzaron este 21 de octubre cuatro parches de emergencia para corregir ambas vulnerabilidades (CVE-2026-109618 y CVE-2026-109619), que recibieron una gravedad de 9,2 sobre 10 en la escala CVSS al permitir ejecutar código remoto sin contraseña.
- La situación desató una alerta global que llevó a la actualización masiva de servidores y a que portales gubernamentales de varios países europeos y agencias de todo el mundo quedaran inactivos o fueran desconectados preventivamente.
- Asimismo, la Agencia de Seguridad Nacional de EE.UU. (NSA) instó el 21 de octubre a desconectar los sistemas que no pudieran ser actualizados de inmediato, advirtiendo que estas fallas "a menudo proporcionan una ruta directa al sistema de archivos del servidor o a la base de datos".
