Una falla de seguridad en PHP deja fuera de línea a sitios web de organismos públicos de Berlín; la mayoría ya se restableció

Alrededor del 21 de octubre de 2026, investigadores de seguridad revelaron dos vulnerabilidades críticas en PHP —el lenguaje de programación que sustenta gran parte de los sitios web del mundo—, identificadas como CVE-2026-109618 y CVE-2026-109619 y apodadas conjuntamente «PHP2Shell». Las fallas podrían permitir que un atacante no autenticado ejecutara código arbitrario en un servidor afectado. La Oficina Federal de Seguridad de la Información de Alemania (BSI) emitió una alerta urgente de nivel «naranja» y exigió una actualización inmediata a PHP 8.5.12 «hoy mismo».

En Berlín, el hospital universitario Charité, la Universidad Libre (Freie Universität), la Universidad Humboldt, la presencia web de los bomberos de Berlín (Berliner Feuerwehr) y el banco de alimentos Berliner Tafel desconectaron sus sitios como medida de precaución. El portal de denuncias en línea de la policía (Internetwache), tanto en Berlín como en Brandeburgo, también quedó fuera de servicio.

Los desarrolladores de PHP publicaron una versión corregida el miércoles por la tarde. El jueves, el Charité, la Universidad Libre, la S-Bahn de Berlín y el portal berlin.de habían vuelto a funcionar en su mayor parte. El portal de la policía de Brandeburgo seguía caído en la noche del jueves. El ministro federal de Digitalización, Karsten Wildberger, declaró que los sistemas federales no se vieron afectados, pero calificó el incidente como una señal de que «estamos entrando en una nueva era de la ciberseguridad».