TIJUANA, Baja California, 21 de octubre de 2026.- Una página de internet puede parecer completamente normal y, aun así, tener una falla de seguridad que permita a un delincuente informático ingresar a sus sistemas sin autorización.
Ese es el riesgo que advierte la División Cibernética del Buró Federal de Investigaciones (FBI) de Estados Unidos, tras alertar sobre dos vulnerabilidades críticas detectadas en PHP, una tecnología utilizada para el funcionamiento de numerosos sitios web en todo el mundo.
Las fallas fueron identificadas con los códigos CVE-2026-109618 y CVE-2026-109619. De acuerdo con la alerta difundida por el FBI, podrían permitir que atacantes ejecuten instrucciones a distancia dentro de servidores vulnerables, poniendo en peligro información privada y sistemas informáticos.
Aunque parece un problema exclusivo de especialistas en tecnología, sus consecuencias podrían afectar a empresas, medios de comunicación, comercios electrónicos y personas que administran sus propias páginas de internet.
¿Qué es PHP y por qué debería importarte?
PHP es un lenguaje de programación que permite que muchas páginas web funcionen.
Por ejemplo, cuando alguien entra a una tienda en línea, consulta un portal de noticias o inicia sesión en una plataforma digital, PHP puede ser una de las tecnologías que hacen posibles esas operaciones.
También es una parte fundamental de WordPress, el sistema utilizado para crear y administrar millones de páginas de internet.
Para entenderlo fácilmente, imagina que una página web es una casa.
Lo que los visitantes ven en su navegador sería la fachada, mientras que PHP formaría parte de las instalaciones internas que permiten abrir puertas, encender luces y mantener todo funcionando.
Las vulnerabilidades detectadas serían comparables a fallas en esas instalaciones que, bajo determinadas condiciones, podrían ser aprovechadas por personas ajenas para realizar acciones que no tienen autorizadas.
¿Qué podría hacer un delincuente con estas fallas?
El principal peligro es que un atacante consiga ejecutar código malicioso en el servidor donde funciona una página web.
Esto significa que podría intentar darle instrucciones al sistema sin contar con el permiso de su propietario.
Dependiendo de las condiciones del servidor, un ataque exitoso podría permitir el acceso a archivos privados, la modificación de contenido, la instalación de programas maliciosos o la interrupción del funcionamiento de una plataforma.
En casos más graves, también podría comprometer información almacenada por una empresa o institución.
Sin embargo, es importante aclarar que la existencia de estas vulnerabilidades no significa que todas las páginas que utilizan PHP hayan sido atacadas.
El riesgo depende de la versión instalada, la configuración del servidor y las medidas de seguridad aplicadas.
¿Las páginas creadas con WordPress están en peligro?
Los sitios desarrollados con WordPress merecen especial atención porque este sistema funciona con PHP.
Pero existe una diferencia importante: actualizar WordPress no necesariamente significa que PHP también esté actualizado.
Por ejemplo, una empresa puede tener su página, sus complementos y su diseño en las versiones más recientes, mientras el servidor donde está alojada continúa utilizando una versión antigua de PHP.
En ese escenario, la página podría conservar vulnerabilidades aunque aparentemente todo esté actualizado.
Por eso, la recomendación no es únicamente revisar WordPress, sino verificar directamente con el proveedor de alojamiento web, también conocido como hosting, qué versión de PHP está utilizando.
¿Qué recomienda el FBI para evitar ataques?
La principal medida es actualizar las instalaciones de PHP afectadas siguiendo las indicaciones oficiales de sus desarrolladores.
El FBI también recomienda revisar qué sistemas utilizan esta tecnología, especialmente aquellos que pueden recibir conexiones desde internet.
Otra medida importante es vigilar comportamientos extraños en los servidores, como la ejecución inesperada de programas o la descarga de archivos desconocidos.
Si una organización no puede actualizar inmediatamente un sistema vulnerable, la agencia estadounidense aconseja retirarlo temporalmente de internet hasta que pueda protegerse adecuadamente.
En caso de detectar una posible intrusión, recomienda aislar los equipos afectados y conservar los registros de actividad para facilitar una investigación.
¿Qué pasa si solamente utilizas internet?
Para quienes únicamente navegan por páginas web, utilizan redes sociales o compran productos en línea, esta advertencia no significa que sus teléfonos o computadoras estén automáticamente en peligro.
Las vulnerabilidades señaladas afectan a instalaciones de PHP en servidores, no directamente a los dispositivos de los visitantes.
Sin embargo, cuando una plataforma digital sufre un ataque, la información que almacena podría quedar expuesta, dependiendo del alcance de la intrusión.
Por ello, sigue siendo importante utilizar contraseñas diferentes para cada servicio y activar la verificación en dos pasos siempre que sea posible.
¿Qué debes hacer si tienes una página web?
La recomendación más sencilla es contactar a la empresa que proporciona el alojamiento de tu sitio y preguntar si la versión de PHP instalada ya cuenta con las correcciones de seguridad correspondientes.
También conviene mantener respaldos actualizados, revisar los accesos administrativos y solicitar asistencia técnica antes de realizar cambios importantes.
No es necesario saber programar para tomar estas precauciones.
En muchos casos, el proveedor de hosting puede verificar la instalación y aplicar las actualizaciones necesarias.
Una alerta para actuar antes de sufrir un ataque
La advertencia del FBI busca que las organizaciones atiendan estas fallas antes de que puedan ser aprovechadas por ciberdelincuentes.
No implica que todos los sitios desarrollados con PHP estén comprometidos ni que exista una filtración masiva de información confirmada.
El mensaje principal es sencillo: una página web necesita mantenimiento de seguridad incluso cuando funciona aparentemente sin problemas.
Y, en este caso, revisar la versión de PHP podría marcar la diferencia entre prevenir una intrusión y descubrir el problema cuando ya sea demasiado tarde.
