Fallos críticos de PHP dejan sin servicio webs de Países Bajos
DigiD, el Parlamento y varios medios neerlandeses se desconectaron antes del parche. PHP ya publicó versiones corregidas para cuatro ramas.
Varias webs del Estado neerlandés se desconectaron este miércoles como precaución ante dos vulnerabilidades críticas de PHP, el lenguaje con el que funciona buena parte de internet. Entre ellas están DigiD, el acceso ciudadano a trámites públicos; MijnOverheid.nl; la web de la Cámara Baja y la de la autoridad de protección de datos.
También salieron de línea el sitio del propio Centro Nacional de Ciberseguridad (NCSC), medios como RTL Nieuws y Tweakers, y Notubiz, la plataforma que unos cien municipios usan para sus sesiones. Hay más detalle de los sitios afectados en la prensa neerlandesa. Algunos sistemas de educación superior también se apagaron, sin que se precise cuáles.
El parche ya existe. Las versiones corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35, una por rama vigente, y el proyecto calificó los dos fallos con 9.2 sobre 10 en la escala CVSS v4.0.
Qué se sabe de los fallos
- CVE-2026-109618: un manejo defectuoso de la falta de memoria que deja datos de la petición a medio iniciar y puede derivar en ejecución remota de código.
- CVE-2026-109619: un estado interno que sobrevive a su liberación y lo reutiliza una petición posterior en el mismo proceso.
Los dos afectan a instalaciones de PHP que atienden peticiones web, sea con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed. Las ramas 8.1 y anteriores ya no reciben actualizaciones del proyecto: PHP ofrece parches de código fuente para 7.4, 8.0 y 8.1, y las distribuciones de Linux pueden empaquetar los suyos. Las medidas de configuración que sugiere el proyecto solo reducen la exposición; la solución completa es actualizar.
Por qué se apagaron
El NCSC no había visto explotación activa hasta ahora y pidió actualizar cuanto antes. Mientras no se haga, "todo sistema con PHP accesible desde internet es presumiblemente vulnerable", advirtió el centro. Cloudflare dijo que ya detecta los primeros intentos de ataque y que su cortafuegos los bloquea, aunque esa protección no es infalible.
Apagar un sitio hasta tener el parche es una decisión prudente de las autoridades neerlandesas, no la confirmación de que alguien lo haya vulnerado.
Qué significa en México
WordPress y muchos sistemas de empresas, dependencias y medios corren sobre PHP. Quien administre un sitio propio, una tienda en línea o un blog debe comprobar su versión de PHP y actualizar a una de las cuatro corregidas, o exigir a su proveedor de hosting el parche cuando la rama instalada ya no tiene soporte. Para el usuario común, el efecto previsible son portales caídos o en mantenimiento durante unas horas.
