Una vulnerabilidad crítica descubierta en PHP ha puesto en jaque al 70% de los sitios web del planeta, según datos de W3Techs. La fundación sin fines de lucro que cuida el lenguaje, liderada por Elizabeth Barron, cuenta con una única trabajadora a tiempo completo y 14 colaboradores externos, la mayoría a medio tiempo. Su junta es voluntaria y el financiamiento proviene únicamente de donaciones y subvenciones, lo que la deja en una situación de precariedad estructural. La noticia ha despertado la alarma de empresas, gobiernos y proveedores de servicios que dependen de PHP para sus plataformas digitales.
El origen de la crisis se remonta a 2024, cuando la fundación detectó una vulnerabilidad pero no encontró una forma de explotarla. En agosto de 2026, la firma de ciberseguridad Calif alertó al equipo, seguida de OpenAI y Wiz, que confirmaron la amenaza tras varios días de investigación. El 20 de octubre se filtraron los identificadores de los dos fallos y la fundación decidió publicar el parche un día antes de lo planeado, según informó Simon Willinson.
El parche fue lanzado rápidamente, pero Cloudflare reportó millones de intentos de ataque en cuestión de horas. Aunque la fundación no tiene evidencia de que alguien haya explotado los fallos antes de su divulgación, Amazon confirmó que un señuelo detectó un intento de intrusión el 17 de octubre desde una IP anonimizada. Los atacantes, cuyo origen sigue sin conocerse, buscaban vulnerar servidores que aún no hubieran actualizado PHP.
Actualizar PHP no es tan sencillo como instalar una extensión; implica revisar la compatibilidad de aplicaciones, extensiones y configuraciones en cada servidor. La complejidad del proceso obliga a que muchas organizaciones pospongan la actualización, dejando sus sitios expuestos. Por eso, la directora ejecutiva advierte que la dependencia de PHP en sectores críticos hace que su infrafinanciamiento sea un riesgo global.
La inteligencia artificial ha sido una herramienta doble filo para la fundación. Por un lado, ha agilizado la detección de fallos que llevan años sin ser descubiertos, mejorando la eficiencia del escaso equipo de desarrollo. Por otro, ha incrementado la carga de trabajo al generar un número de propuestas de cambio de código casi doble al del año anterior, sin que el número de colaboradores crezca en la misma proporción.
El caso pone de relieve la fragilidad de los componentes de software que sostienen la infraestructura de internet. Mientras la comunidad tecnológica debate sobre la necesidad de modernizar los lenguajes heredados, la realidad es que PHP sigue siendo esencial y su futuro depende de una financiación más robusta y de un mayor número de desarrolladores comprometidos.
Fuente: Xataka