Qué es PHP y cómo se utiliza el lenguaje de programación que ha desatado una alarma global de ciberseguridad

Por Albert Molins Renter — Portada

Qué es PHP y cómo se utiliza el lenguaje de programación que ha desatado una alarma global de ciberseguridad

Ciberseguridad

El 70% de las webs del mundo funcionan gracias a este lenguaje, que es mantenido y desarrollado por una fundación sin ánimo de lucro que financia a ingenieros e investigadores para que contribuyan también a su seguridad

Albert Molins

Barcelona

22/10/2026 12:48 Síguenos en Google 0:00 Audio generado por IA 0:00 0.5x 0.8x 1x 1.2x 1.5x SUSCRÍBETE PARA ESCUCHAR

Creado a principios de la década de 1990, PHP es el lenguaje de programación que está detrás de aproximadamente el 70% de los sitios web en todo el mundo. Es también el lenguaje en el que se sustenta WordPress, el gestor de contenidos (CMS, por sus siglas en inglés), una de las plataformas más populares para blogs y webs personales, pero también las de pequeñas y medianas empresas.  PHP es desarrollado y mantenido por la Fundación PHP, una entidad sin ánimo de lucro, que financia a investigadores e ingenieros para que contribuyan al mantenimiento, desarrollo y seguridad del lenguaje. 

PHP, originalmente una abreviatura de Personal Home Page (Página de Inicio Personal) y posteriormente abreviada como PHP Hypertext Preprocessor (Preprocesador de Hipertexto PHP), se utiliza en el núcleo de plataformas populares de creación de sitios web como WordPress, pero también de Drupal —otro CMS— y PrestaShop o WooCommerce, un CMS y un plugin (propiedad de WordPress) muy populares para crear tiendas online.

Este miércoles por la mañana, muchos propietarios de estos sitios web recibieron un mensaje de sus proveedores de hosting advirtiendo que se habían descubierto dos vulnerabilidades que afectaban precisamente a PHP. En ese mismo mensaje, los proveedores también avisaban de que se habían implementado medidas de mitigación, aunque dejaban muy claro que no eran la panacea y que, mientras no se instalaran los parches que PHP distribuyó ayer por la tarde, había riesgo de infección. Los parches hay que instalarlos en el servidor en el que está alojada la web y también PHP. 

¿Cómo funciona PHP?

A diferencia de un sitio web estático, que siempre muestra la misma página a todos los visitantes, un sitio web PHP se considera dinámico: genera su contenido bajo demanda consultando una base de datos, verificando si el usuario ha iniciado sesión, mostrando información personalizada y actualizando el contenido en tiempo real. Es la columna vertebral de la World Wide Web.

PHP funciona con fragmentos de HTML intercalados. La página web hace una petición al servidor, un intérprete PHP ejecuta el código para, por ejemplo, consultar una base de datos y devuelve el resultado en HTML al servidor y este lo muestra en la página web. Según sea la consulta, PHP devuelve una respuesta u otra; por eso es dinámico.  

Las vulnerabilidades descubiertas podrían permitir a los hackers infiltrarse en un gran número de estos sitios, desde tiendas en línea hasta servicios públicos. Por eso, muchas de ellas fueron desconectadas preventivamente mientras los desarrolladores trabajaban para proteger el código contra ataques.

¿Cómo descubrió la IA las vulnerabilidades?

Se usaron modelos de IA de vanguardia, como los de los gigantes estadounidenses OpenAI y Google, para descubrir debilidades en PHP en agosto. Este descubrimiento se mantuvo en secreto mientras se desarrollaba un parche.

En 2024, ya PHP fue sometido a su primera auditoría externa de seguridad “en años” y fue entonces cuando un desarrollador encontró los primeros indicios de un “problema” cuya resolución se retrasó por un “fallo estructural” en su proceso de decisión y sus recursos. “Para corregir el problema de agotamiento de memoria, el equipo de seguridad de PHP desarrolló varios enfoques alternativos”, pero “temía las repercusiones de publicar una solución equivocada” y tenía “numerosas responsabilidades”, lo que hizo que el trabajo en una solución “se estancara y se retomara repetidamente durante meses”, explicó entonces uno de los desarrolladores.

El punto de inflexión llegó en 2026, cuando la Fundación PHP creó un equipo de seguridad más amplio con nuevos expertos y empezó a trabajar con el proyecto Alpha-Omega para analizar PHP con herramientas de IA como Claude Mythos, de Anthropic, y Daybreak Red, de OpenAI, para “validar reportes y exploits”.

La empresa de ciberseguridad Calif descubrió estas vulnerabilidades durante una auditoría de código PHP financiada por OpenAI, quien las calificó como “una de las más significativas de los últimos años”, y añadió que “marcan una nueva fase, donde la IA puede encontrar fallos de seguridad con un impacto en toda la internet”.  

“El problema con herramientas como la IA es que, en cuanto toda la información se hace pública, la gente puede usarla como arma con extrema rapidez”, declaró a la AFP Steve Kerrison, profesor de ciberseguridad en el campus de Singapur de la Universidad James Cook. “Por eso todos están actuando con tanta urgencia para abordar el problema”, añadió.

Lee también

Alerta mundial por dos fallos en el lenguaje PHP con el que se programan las webs

Albert Molins

Cae el campus virtual de la Universitat de Barcelona por un “fallo a escala global”

La Vanguardia

¿Algún sitio web ha sido hackeado?

Ante esta situación, muchas empresas e incluso muchos gobiernos de todo el mundo desconectaron sus webs. Por su parte, la empresa de servicios en la nube Cloudflare detectó millones de intentos de explotación tras la divulgación pública de estas vulnerabilidades críticas en PHP, según explicó su director ejecutivo, Matthew Prince, en una publicación en la red social X a última hora del miércoles. “Desconectar un sitio web no significa necesariamente que haya sido hackeado. Puede ser una medida responsable para proteger los sistemas mientras se aplican las actualizaciones de seguridad”, explica Dimitrios Salampasis, de la Universidad Tecnológica de Swinburne en Australia.

Según la Agencia de Seguridad Nacional de EE. UU., las vulnerabilidades descubiertas “a menudo proporcionan acceso directo al sistema de archivos o a la base de datos del servidor”, lo que podría permitir a un hacker tomar el control de estos servidores sin necesidad de contraseña. Sin embargo, hasta el momento, “los investigadores de seguridad han descubierto que nadie ha estado realizando ataques activamente utilizando las técnicas disponibles”, señala Salampasis.

Las grandes instituciones, desde agencias gubernamentales hasta medios de comunicación, deberían poder actualizar sus sitios web con relativa rapidez, pero otras podrían seguir siendo vulnerables. “Algunos sitios, sistemas y usuarios no tendrán ni idea de lo que está pasando y permanecerán sin saberlo durante días, semanas o incluso meses”, advierte Kerrison. Esto podría incluir blogs u otros sitios web gestionados por particulares que podrían utilizarse para propagar virus, spam o contenido malicioso.

¿Existen otras posibles consecuencias?

La naturaleza compleja e interconectada de los sistemas en línea, que a menudo utilizan interfaces de terceros, implica que algunas vulnerabilidades pueden persistir incluso después de que se haya resuelto el problema inicial.

Si estas interfaces de terceros utilizan PHP, “incluso si se han aplicado parches… se sigue siendo vulnerable”, subraya Rahat Masood, profesor de ciberseguridad en la Universidad de Nueva Gales del Sur en Sídney.

Albert Molins

Ver más artículos
Mostrar comentarios

Fonte: Portada