Google cuenta 141 fallos explotados en 2026, más que en todo 2025, y el ataque…
ÚLTIMA HORA: 4chan, el Parlamento holandés y las guarderías de Japón se apagan por el fallo de PHP. Internet, cerrado por obras
Última hora · Noticia en desarrollo · Actualizado el 21 de octubre de 2026
Cientos de webs de todo el mundo, incluidas infraestructuras públicas de al menos seis países, se han apagado por decisión propia a la espera del parche de PHP. 4chan, Something Awful, partes de Wikipedia, la identidad digital holandesa DigiD, el Parlamento de Países Bajos, el puerto de Róterdam, la plataforma escolar de Dinamarca y sistemas de guarderías en Japón figuran entre los servicios desconectados. Es la primera vez que agencias oficiales de tres continentes recomiendan por escrito apagar antes que seguir abiertos.
Fuentes: NBC News, The Next Web, The National y Global Banking & Finance. Este artículo se actualizará según avance la situación.
Internet, cerrado por obras
PHP sirve el 69% de las webs del mundo. Una parte visible de ellas ha elegido apagarse antes que arriesgarse.
Minuto a minuto
- Lunes 20, mañana. Un mensaje anónimo en Hacker News adelanta que hay dos vulnerabilidades críticas en PHP. Se borra en minutos; las capturas ya circulan. watchTowr confirma que es real.
- Lunes 20, tarde. El equipo de seguridad de PHP anuncia parches para el martes a las 14:00 UTC, un día antes de lo pactado. CERT-EU publica su aviso: “aislar de las redes públicas las aplicaciones expuestas a internet hasta que pueda aplicarse una corrección”.
- Lunes 20, noche. El NCSC holandés apaga su propia web “como precaución”. En las horas siguientes caen el portal del Gobierno, DigiD, el Parlamento, el puerto de Róterdam, la federación de fútbol, las webs de los cinco mayores partidos y varios hospitales.
- Martes 21, madrugada. Finlandia desconecta los servicios públicos de su proveedor estatal Valtori. Dinamarca cierra la plataforma nacional de comunicación escolar. El Ministerio del Interior francés deja fuera de línea las webs administrativas municipales. Japón apaga sistemas de guarderías y videojuegos; la primera ministra Sanae Takaichi pide a la población revisar sus webs públicas “esta misma noche”.
- Martes 21, 07:43 UTC. Cloudflare: “estamos viendo ataques tempranos emergiendo”. Despliega reglas de cortafuegos para todos sus clientes, incluido el plan gratuito, y avisa de que es “solo un parche provisional”.
- Martes 21, mañana. 4chan, Something Awful y Pinboard están fuera de línea esperando el parche. Partes de Wikipedia caen, con página de incidencia en Wikimedia. Webs de esports y wikis de fans cierran; empiezan a circular espejos falsos y falsos “parches de seguridad” para descargar.
- Martes 21, 14:00 UTC. Salen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Empieza el regreso escalonado. CISA afirma no haber observado explotación “en el momento de la publicación”; Patchstack y Cloudflare dicen lo contrario.
Lo que sabemos
- Dos fallos en el intérprete de PHP, CVE-2026-109618 y CVE-2026-109619, con gravedad 9,2 sobre 10, permiten ejecutar código sin autenticación.
- Afectan a cualquier web con PHP desde la versión 5.4; ningún plugin ni actualización de aplicación los corrige.
- El parche existe desde las 14:00 UTC del martes para PHP 8.2 a 8.5. No lo habrá para PHP 7 ni anteriores.
- Agencias de la UE, Reino Unido, Estados Unidos, Australia y Japón recomendaron parchear de inmediato o apagar.
Lo que no sabemos
- Cuántas webs se apagaron en total. No hay censo; las cifras van de “cientos” a “millones” según la fuente.
- Cuántas han sido comprometidas. Las versiones sobre explotación activa se contradicen y ningún CVE está aún en el catálogo de explotados de CISA.
- Quién filtró el embargo y si el adelanto del parche evitó o provocó más daño.
- El coste económico. Nadie lo ha calculado y es probable que nadie lo haga: el apagón fue voluntario, disperso y sin responsable.
Esto es tan amplio como puede llegar a ser una vulnerabilidad crítica. Empieza desde la suposición de que estás expuesto.
Moshe Siman Tov Bustan, Ox Security
Por qué esto no había pasado nunca
Internet se ha caído muchas veces: por ataques de denegación de servicio, por un proveedor de nube que arrastra a medio mundo, por un cable submarino. Pero nunca por decisión colectiva y preventiva de sus dueños, con agencias oficiales recomendándolo. Durante veinte años la doctrina fue “parchea rápido”. Esta semana, por primera vez a esta escala, fue “apaga”. Es la diferencia entre pedirle a un hospital que vacune al personal y pedirle que cierre urgencias.
El motivo es aritmético. Con el fallo en el intérprete y no en una aplicación, no hay nada que actualizar hasta que PHP publica. Con exploits circulando y un tiempo estimado de explotación de minutos, la ventana no era de días: era negativa. En esas condiciones, estar apagado es la única configuración segura, y 4chan, el foro con peor fama de la red, lo entendió antes que muchas administraciones. Que 4chan se comporte como el administrador más prudente del planeta es, en sí mismo, parte de la noticia.
Quién pudo apagar y quién no
El mapa del apagón es un mapa de privilegios. Pudieron desconectar los foros y comunidades sin transacciones, para los que cerrar cuesta reputación y no dinero; las administraciones con ventanilla física; quien tenía una copia estática de su web para seguir informando; y quien tenía a alguien con autoridad para decir “fuera” sin convocar un comité. No pudieron el comercio electrónico, donde cada hora cerrada es facturación perdida y la mayoría eligió confiar en el cortafuegos; los servicios esenciales sin alternativa, porque una identidad digital apagada son ciudadanos sin acceso a nada; los millones de webs en hosting compartido que no saben qué versión de PHP tienen; y los que siguen en PHP 7, para los que “temporalmente” puede ser para siempre.
Las tres consecuencias que no salen en el mapa
Política: un país descubrió en una tarde que su identidad digital, su Parlamento, su puerto y sus cinco grandes partidos dependen del mismo intérprete de 1995, mantenido por una fundación con un presupuesto que cabría en el catering de cualquiera de ellos. Económica: sin cifra, porque no hay a quién reclamar, pero con semanas de auditoría por delante para quien no apagó y tiene que averiguar si alguien entró. Geográfica: Países Bajos, Finlandia, Dinamarca y Japón apagaron en horas; otros países, España incluida salvo error, no apagaron nada visible, y no está claro si fue porque no hacía falta o porque nadie tenía autoridad para decidirlo. Ninguna de las dos lecturas tranquiliza.
El dato que cambia la lectura
OpenAI afirma que uno de sus modelos ayudó a descubrir las vulnerabilidades y las califica de “uno de los problemas de seguridad más impactantes que recordamos”. Si se confirma, el apagón tiene una lectura más: una IA encontró en el código de PHP lo que veinte años de ojos humanos no vieron, y la respuesta inmediata fue que medio sector público europeo tuviera que tirar del cable. Las máquinas aceleran el descubrimiento; la respuesta sigue siendo humana y manual. Esa asimetría va a repetirse.
Qué hacer ahora mismo
- Si administras una web: comprueba la versión de PHP hoy. Si es 8.2 o superior, actualiza; si es anterior, apaga o pon detrás de una VPN hasta migrar. Si está en hosting compartido, exige al proveedor fecha y hora de actualización.
- Si no apagaste: audita como si hubiera entrado alguien. Procesos lanzados por PHP, archivos nuevos en la raíz web, tareas programadas y cuentas recientes.
- Si apagaste: vuelve solo con el parche aplicado, no con el susto pasado.
- Si eres usuario: no descargues ningún “parche” ni uses “espejos” de webs caídas. El fallo está en los servidores, no en tu dispositivo.
- Si decides en una organización: averigua quién tiene autoridad para apagar y cuánto se tarda. Es la pregunta que esta semana separó a los que durmieron de los que no.
Internet nunca había cerrado por obras. El cartel en la puerta de 4chan, del Parlamento holandés y de las guarderías japonesas dice lo mismo: sabemos lo que tenemos, sabemos que está roto y preferimos cerrar a mentiros. Es una frase que la mayoría del 69% restante no podría pronunciar hoy. Ese, y no el parche, es el verdadero incidente. Seguiremos actualizando.
