¿Has notado que alguna página tarda demasiado en cargar, que una plataforma está en mantenimiento o que un servicio que necesitas decidió tomarse vacaciones sin consultarte?
Esta semana hay una emergencia de seguridad que podría explicar algunas de esas interrupciones. Y el protagonista es nuestro querido PHP: ese lenguaje de programación al que internet lleva años haciéndole memes y expidiéndole certificados de defunción.
Antes de culparlo también por el wifi de la casa, aclaremos algo: esta crisis no demuestra que tu conexión esté lenta por culpa de PHP. Una página que no responde y una conexión lenta pueden sentirse igual desde el sofá, pero tener causas muy distintas.
Lo que sí ocurrió fue suficientemente serio como para que organizaciones de varios países suspendieran servicios mientras protegían sus sistemas. Para un lenguaje supuestamente muerto, había bastante gente pendiente de sus signos vitales. [1]
¿Qué pasó con PHP?
El 21 de octubre se publicaron correcciones para dos vulnerabilidades críticas, conocidas conjuntamente como PHP2Shell. Sus nombres oficiales parecen placas de vehículos espaciales: CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de gravedad de 9,2 sobre 10. [2]
Para quienes no viven entre código y servidores: PHP es un lenguaje que trabaja detrás de muchas páginas web. Mientras tú ves botones, imágenes y formularios, en el servidor puede haber código PHP procesando solicitudes y consultando información.
Los fallos estaban en el propio motor que ejecuta ese código, concretamente en cómo maneja determinadas situaciones relacionadas con la memoria y los errores. Bajo ciertas condiciones, podían permitir que un atacante ejecutara código en el servidor sin iniciar sesión. En algunas configuraciones, incluso antes de que empezara a ejecutarse el código de la página. [3]
Eso es bastante más grave que un botón desacomodado. Según los permisos del proceso comprometido, podría abrir la puerta a consultar información, modificar archivos o afectar otros componentes de la aplicación. Tampoco significa que todas las bases de datos de todos los sitios con PHP hayan sido robadas: una vulnerabilidad, un intento de ataque y una intrusión exitosa son cosas diferentes.
Atacantes buscando puertas y administradores cambiando cerraduras
Cloudflare confirmó tráfico dirigido a explotar estas vulnerabilidades y describió cómo los atacantes modificaban sus solicitudes para intentar evadir las protecciones. Del otro lado estaban los equipos de seguridad ajustando filtros, desplegando defensas y recomendando actualizar PHP. [4]
Por eso, una página fuera de servicio no necesariamente fue “hackeada”. Algunas organizaciones la retiraron temporalmente de internet como medida preventiva, mientras aplicaban actualizaciones y comprobaban que todo funcionara. A veces, el aviso de mantenimiento es la parte visible de alguien trabajando contra el reloj para evitar un problema mayor. [1]
¿Y si la plataforma que usas está hecha con otro lenguaje? También conviene mirar lo que tiene alrededor. Puede haber componentes o aplicaciones de terceros que utilicen PHP, aunque el sitio principal no lo haga. Precisamente, la Agencia de Ciberseguridad de Singapur pidió revisar esa posibilidad. [2]
Además, cuando varios servicios comparten recursos, una sobrecarga o una intervención de emergencia puede tener efectos sobre sus vecinos. Eso depende de cada infraestructura. La imagen de los “tubos ocupados” sirve para imaginar el movimiento, pero sería exagerado afirmar que los ataques a PHP congestionaron todo internet.
¿Ya se solucionó?
Las actualizaciones para los dos fallos principales están disponibles desde el 21 de octubre: PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. La tarea es instalarlas donde corresponda. Actualizar únicamente el código de una página o sus complementos no corrige un fallo del motor PHP que la ejecuta. [4] [5]
Al cierre de este artículo, el 23 de octubre de 2026, seguían reportándose intentos de explotación. Ese mismo día, PHP publicó un aviso adicional sobre un problema relacionado, limitado a una combinación poco habitual de configuración y código, con recomendaciones específicas mientras llega su corrección. Hay avances, pero todavía hay trabajo. [2] [5]
Y aquí va una reflexión menos graciosa: mantener el software del que dependemos necesita personas, tiempo y financiación. La propia PHP Foundation reconoció que la demora en resolver uno de estos problemas respondió a dificultades de decisión y falta de recursos. Detrás de una tecnología tan extendida también hay equipos pequeños tomando decisiones muy difíciles. [3]
Ahora sí: por qué le tengo tanto cariño
Mi relación con PHP empezó después de sufrir tratando de entender C++. Ya había recibido bases de lógica, algoritmos y desarrollo, pero todavía me costaba convertir todo eso en algo que sintiera mío.
Entonces me puse a aprender PHP y me pareció mucho más sencillo. Los conceptos que venía estudiando empezaron a encajar y pude hacer mis primeras creaciones web conectadas con bases de datos.
Yo las veía bonitas. Y eficientes.
También debo decir que, probablemente, la única que las veía así era yo. Pero funcionaban, las había construido y eso me producía una felicidad que todavía recuerdo.
C++ había aportado fundamentos, aunque nuestra relación estuviera atravesando dificultades. PHP fue el lenguaje con el que empecé a sentir: “Bueno, sí puedo hacer cosas con esto”.
Hace poco me dieron esas reminiscencias y decidí reencauchar mi curso de PHP. Lo actualicé pensando en PHP moderno y en alguien que quisiera comenzar desde cero. Después le pedí a Codex que me ayudara a optimizarlo y quedó muy elegante. Esta vez espero que no sea solamente mi opinión.
Lo compartí porque quizá alguien está pasando por lo mismo: lucha con el lenguaje que le enseñan en la universidad o el instituto y empieza a preguntarse si programar será lo suyo.
A veces ayuda probar otra entrada. Los fundamentos que estás aprendiendo pueden encontrar sentido al construir algo en un entorno diferente. Eso me ocurrió a mí.
Por si te dieron ganas de conocer al protagonista
Mi curso PHP desde cero es gratuito y está pensado para estudiar de manera autónoma, a tu ritmo. Incluye explicaciones, prácticas y un proyecto con formularios, bases de datos y sesiones. Puedes encontrarlo en la sección Aprende con Leli de mi página o entrar directamente al curso.
Aprende PHP desde cero · Curso gratuito
Quizá llegaste por curiosidad, por los memes o porque esta semana descubriste que PHP existía. O quizá llevas varios días peleando con otro lenguaje y necesitas recuperar la alegría de ver funcionar algo que hiciste tú.
Los memes sobre la muerte de PHP seguramente van a continuar. Yo también me río.
Pero después de esta semana, propongo un pequeño ajuste al diagnóstico:
PHP está vivo. Muy vivo. Por favor, manténganlo actualizado.
Fuentes y seguimiento
Información consultada al 23 de octubre de 2026. Los avisos de seguridad pueden actualizarse después de la publicación.
- Reuters: intentos de ataque y suspensión preventiva de servicios (22 de octubre de 2026).
- Agencia de Ciberseguridad de Singapur: alerta PHP2Shell (actualizada el 23 de octubre de 2026).
- PHP Foundation: publicación de seguridad y mejoras en su gestión (21 de octubre de 2026).
- Cloudflare: protecciones frente a PHP2Shell y actividad observada.
- PHP: avisos oficiales y versiones de seguridad de octubre de 2026.