Europa apaga webs públicas y la NSA alerta por fallas de PHP

Alemania y Francia retiraron sitios oficiales de internet y la Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió actualizar PHP de inmediato o desconectar lo que no se pueda parchar. El ministerio alemán de Transformación Digital quitó páginas como medida preventiva y el Ministerio del Interior francés desactivó los sitios de las oficinas administrativas locales. Bélgica, Países Bajos, Finlandia y República Checa también cerraron sitios mientras aplicaban el parche.

La reacción llegó un día después de que el proyecto PHP publicara su aviso sobre dos fallas, CVE-2026-109618 y CVE-2026-109619. Las dos permiten ejecutar código de forma remota, sin contraseña, y tienen 9.2 sobre 10 en CVSS v4.0, la escala que mide la gravedad de una vulnerabilidad. Países Bajos fue el primer país en apagar webs, como contamos el miércoles.

Qué dijo la NSA

Su mensaje fue poco habitual: pidió que todas las organizaciones que usan PHP en sus sistemas se preparen para una actualización inmediata. La agencia no precisó qué sitios estadounidenses cerraron.

Ya hay intentos de explotación

El primer intento conocido es del 17 de octubre, registrado por Amazon antes de que las fallas se divulgaran. La firma de seguridad watchTowr dice observar ataques en internet desde el 21 de octubre. Hasta ahora no hay un caso confirmado de intrusión exitosa.

Qué hay que actualizar

PHP corrigió el fallo el 21 de octubre en estas versiones:

Las ramas 7.4, 8.0 y 8.1 ya no reciben soporte oficial, pero tienen parches mínimos y algunas distribuciones de Linux los incluyen. El aviso es tajante: ningún ajuste de configuración mitiga las fallas por completo y actualizar es la única opción segura. El riesgo es mayor con Apache y mod_php, aunque cualquier instalación que atienda peticiones web está expuesta.

Quien tenga una tienda, un blog o un portal en PHP, incluidas empresas y dependencias en México, debe revisar qué versión corre y reiniciar los procesos después de actualizar. En hosting compartido, la confirmación del parche tiene que venir del proveedor. El efecto para el lector común es de servicio: puede haber páginas caídas o en mantenimiento mientras sus administradores trabajan.

Los equipos de red son el hueco. Palo Alto Networks reconoce el problema en todo PAN-OS y en Panorama, sin versiones corregidas por ahora. QNAP tampoco tiene parche para sus NAS, y mientras no lo haya la medida es sacarlos del acceso directo desde internet.