Aquiles era invencible, salvo por un talón. Internet, ese guerrero que creíamos blindado, acaba de mostrar el suyo, y resulta que lo comparten siete de cada diez sitios web del planeta.
Empecemos por lo básico. PHP es un lenguaje de programación que trabaja en la cocina, cuando usted abre una página, PHP es el chef que arma el plato en el servidor antes de llevarlo a su pantalla. Según W3Techs, lo usa el 70,8% de los sitios cuyo lenguaje se conoce, y WordPress, el gestor de sitios más popular, está escrito en él.
¿Qué ocurrió? El 20 de octubre se filtraron antes de tiempo dos fallas, registradas como CVE-2026-109618 y CVE-2026-109619. El equipo de PHP adelantó su aviso y el 21 publicó parches de emergencia. Agencias de Europa, Australia, Japón y el Reino Unido pidieron actualizar de inmediato o desconectar los sitios. Según Wiz, el hallazgo se logró con ayuda de inteligencia artificial, las máquinas ya buscan grietas más rápido de lo que nosotros las tapamos.
¿Por qué el nivel es alto? Ambas fallas son críticas, puntúan 9,2 sobre 10 en la escala CVSS, que mide gravedad. Son fallas de ejecución remota de código, un desconocido, sin contraseña y desde cualquier lugar del mundo, podría dar órdenes al servidor. No fuerza la puerta, se queda con la llave maestra de la casa. Alcanzan a versiones desde PHP 5, Software de hace veinte años que aún respira en servidores olvidados, y hubo ataques antes de que existiera el parche.
¿Y en Paraguay? W3Techs mide que el 86,3% de los sitios alojados en el país corre sobre PHP, contra 7,8% de Java y 7,1% de ASP.NET; otra medición lo eleva al 88,9%. Del Estado y de las empresas por separado no hay cifra pública conocida, y esa ausencia ya es un dato, no se protege lo que no se inventaría. Lo que sí sabemos es que la Justicia Electoral suspendió preventivamente sus sitios tras el aviso del CERT-PY. Prudencia que honra, y recordatorio de cuánto depende lo nuestro de esta pieza.
¿Qué hacer? Primero, preguntar a quien administra su sitio, o a su proveedor de hosting, si ya aplicó PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o superior. Segundo, si usa una versión sin soporte, planificar la migración. Tercero, revisar los registros en busca de actividad extraña, porque actualizar no expulsa a quien ya entró. Cuarto, mantener copias de seguridad fuera del servidor. Y las empresas, hacer inventario de todos sus sitios, incluso el de aquella campaña de 2019 que nadie recuerda.
Aquiles no cayó por débil, sino por tener un punto descubierto y un enemigo que lo supo. Hoy ese punto se llama PHP y los enemigos ya tienen la flecha. “Vigilate”, decían los latinos: velad. Parchemos hoy, porque mañana el lamento no repara servidores.
En palabras de Samuel Beckett: “Inténtalo de nuevo, vuelve a fracasar, fracasa mejor”.