Análisis del incidente de PHP: dos fallos que paralizaron millones de sitios web alemanes

El 22 de octubre de 2026, el Tagesspiegel publicó un análisis detallado sobre cómo dos vulnerabilidades de PHP recién reveladas (CVE-2026-109618 y CVE-2026-109619, bautizadas como PHP2Shell) desencadenaron un apagón nacional de sitios web. PHP, que según estimaciones impulsa una gran proporción de los sitios web del mundo —incluidos portales de noticias basados en WordPress, tiendas de comercio electrónico y sistemas gubernamentales—, vio sus fallos hechos públicos de forma involuntaria antes de que existiera un parche. El BSI (la oficina federal alemana de seguridad informática) emitió su advertencia urgente a las 14:06 horas del miércoles, exigiendo a los administradores que «instalen hoy mismo la actualización de seguridad».

La magnitud del apagón fue notable: en cuestión de horas, decenas de instituciones públicas alemanas desconectaron sus sitios, entre ellas el hospital Charité, la Universidad Libre de Berlín y la Universidad Humboldt, los cuerpos de bomberos de Berlín y de otras ciudades, y los portales de denuncias en internet de la policía de Berlín y Brandeburgo. Los desarrolladores de PHP publicaron esa misma tarde la versión PHP 8.5.12.

El artículo citó a expertos en ciberseguridad que advierten de que los ataques asistidos por inteligencia artificial están reduciendo a horas, en lugar de días, el intervalo entre la divulgación de una vulnerabilidad y su explotación masiva, calificando esto de «un punto de inflexión» en la seguridad de las infraestructuras. El ministro federal de Digitalización, Karsten Wildberger, confirmó que los sistemas federales no se vieron afectados, aunque reconoció que el incidente pone de manifiesto la necesidad de capacidades de parcheo casi instantáneas.