Explicador: ¿Qué provocó el miércoles negro de internet y qué sitios fueron afectados?

Sitios gubernamentales, hospitales y servicios digitales de distintos países quedaron fuera de línea el miércoles 21 de octubre de 2026 por dos vulnerabilidades críticas en PHP, una tecnología utilizada por gran parte de internet. La Agencia de Seguridad Nacional de Estados Unidos (NSA) emitió una alerta urgente, mientras Amazon confirmó intentos de explotación desde el 17 de octubre.

El miércoles negro de internet ocurrió porque dos fallas permiten a los atacantes tomar el control de servidores vulnerables sin necesidad de conocer sus contraseñas. Los riesgos incluyen el robo de información y la interrupción de servicios. Palo Alto Networks identificó más de 22.6 millones de instancias expuestas potencialmente vulnerables.

¿Qué sitios de internet dejaron de funcionar?

Alemania, Francia y Países Bajos suspendieron temporalmente servicios gubernamentales para evitar que sus sistemas fueran comprometidos. Las interrupciones también alcanzaron a organizaciones privadas que dependen de PHP para operar sus plataformas digitales.

En Alemania, el proveedor federal de servicios informáticos ITZBund desconectó varios sitios gubernamentales. El Ministerio de Digitalización explicó que la medida tenía carácter preventivo y que hasta ese momento desconocía incidentes de seguridad relacionados con las vulnerabilidades.

Francia suspendió los portales de sus prefecturas, encargadas de distintas funciones administrativas locales. En Bélgica, el Ministerio de Exteriores interrumpió temporalmente el acceso a sus sitios web.

Países Bajos registró algunas de las interrupciones más visibles. El Puerto de Róterdam, uno de los principales centros logísticos de Europa, desconectó su sitio. También quedaron fuera de línea el portal gubernamental Overheid.nl y páginas de hospitales. La propia autoridad neerlandesa de ciberseguridad suspendió preventivamente su portal público.

En Japón, el Ministerio de Finanzas y la Agencia Meteorológica interrumpieron parcialmente algunos servicios. El grupo financiero Mitsubishi UFJ y la aerolínea ANA también anunciaron suspensiones temporales de determinadas plataformas digitales.

La Fundación Wikimedia, responsable de Wikipedia, deshabilitó algunos de sus sistemas mientras realizaba las actualizaciones de seguridad. Internet Archive, una organización dedicada a preservar contenidos digitales, también interrumpió brevemente su servicio para aplicar correcciones de emergencia.

Las suspensiones respondieron principalmente al riesgo de ataques. Las autoridades alemanas y finlandesas señalaron que sus medidas preventivas se adoptaron sin haber confirmado intrusiones en los sistemas afectados.

¿Qué pueden hacer los ciberdelincuentes con estas vulnerabilidades?

Las dos fallas, conocidas conjuntamente como PHP2Shell, permiten que un atacante envíe instrucciones maliciosas a un servidor vulnerable. PHP es un lenguaje de programación que utilizan numerosos sitios web para procesar información y ejecutar operaciones antes de mostrar sus contenidos a los usuarios.

Cuando una persona compra en una tienda electrónica, el servidor puede utilizar PHP para consultar la disponibilidad de un producto y procesar la operación. También puede intervenir cuando un usuario inicia sesión en una plataforma o consulta información almacenada en una base de datos.

Los errores identificados afectan el funcionamiento interno de ese lenguaje. Bajo determinadas condiciones, un atacante puede aprovecharlos para ejecutar instrucciones dentro del servidor, incluso sin disponer de una cuenta autorizada.

En una tienda electrónica, una intrusión exitosa podría permitir el acceso a información personal de clientes. También podría facilitar modificaciones en el funcionamiento de la plataforma o la instalación de programas maliciosos.

Para una institución financiera, las consecuencias dependerían de los permisos del servidor comprometido y de su conexión con otros sistemas. La NSA advirtió que un atacante podría utilizar el acceso inicial para avanzar hacia otros equipos de la organización.

Las vulnerabilidades recibieron una calificación de 9.2 sobre 10 en el sistema internacional utilizado para medir la gravedad de las fallas informáticas.

Su característica más preocupante es que afectan al propio PHP. Esto significa que una plataforma puede quedar expuesta incluso cuando sus aplicaciones funcionan correctamente y sus administradores mantienen actualizados otros componentes.

¿Cuántos sitios están en riesgo y qué podría pasar en México?

PHP funciona en 69.3% de los sitios web cuyo lenguaje de programación del servidor pudo identificar W3Techs, según sus estadísticas del 22 de octubre de 2026.

La firma Palo Alto Networks calculó que existen más de 22.6 millones de instancias expuestas potencialmente vulnerables. Esta cifra corresponde a componentes tecnológicos detectados por sus herramientas de monitoreo y tampoco significa que todos hayan sufrido ataques

La exposición alcanza a plataformas populares como WordPress, Drupal y Magento, utilizadas para administrar sitios de noticias y comercios electrónicos. El problema también puede encontrarse en aplicaciones empresariales desarrolladas específicamente para realizar operaciones internas.

En México, las organizaciones que utilizan PHP para mantener servicios accesibles desde internet deben revisar sus instalaciones. Esto incluye a compañías que operan tiendas digitales y dependencias públicas con portales construidos mediante este lenguaje.

Los proveedores de alojamiento web también tienen una responsabilidad importante. Muchas empresas contratan servicios administrados y desconocen qué versión de PHP utilizan sus páginas. En esos casos, las actualizaciones pueden depender del proveedor.

Hasta el 22 de octubre, la información pública consultada no permite determinar cuántos servidores mexicanos permanecen vulnerables ni identificar una cifra de organizaciones nacionales comprometidas mediante PHP2Shell.

Los investigadores de Sansec advirtieron que las pruebas de explotación conocidas requieren determinadas condiciones técnicas. Su evaluación del 22 de octubre considera menos probable un ataque masivo e indiscriminado de lo que se temía inicialmente. El riesgo persiste para los servidores vulnerables

Hasta el 22 de octubre, las autoridades mexicanas no habían difundido una alerta pública que pudiera verificarse sobre las vulnerabilidades PHP2Shell. Las búsquedas en las publicaciones oficiales de la Guardia Nacional, el CERT-MX y la Agencia de Transformación Digital y Telecomunicaciones tampoco permitieron identificar recomendaciones específicas para las organizaciones del país. El alcance de la exposición en México sigue sin conocerse.

¿Por qué comenzaron los ataques antes de que se conocieran las fallas?

Amazon Threat Intelligence identificó un intento de explotación el 17 de octubre mediante MadPot, una red de servidores señuelo que utiliza para observar actividades maliciosas.

La compañía detectó nuevos intentos durante las primeras horas del 21 de octubre, antes de que los desarrolladores publicaran oficialmente las correcciones. Los ataques procedían de distintas direcciones de internet y presentaban características diferentes, lo que sugiere la participación de varios actores.

CJ Moses, director de Seguridad de Amazon Integrated Security, explicó que las herramientas de inteligencia artificial están reduciendo el tiempo necesario para convertir una vulnerabilidad conocida en un ataque informático.

Amazon recomendó investigar los registros de actividad desde el 17 de octubre, debido a que una organización podría haber recibido intentos de explotación antes de conocer públicamente el problema. La empresa aclaró que todavía desconocía si los ataques detectados contra sus servidores señuelo habrían tenido éxito en sistemas reales

La Fundación PHP reconoció que los primeros indicios de uno de los errores aparecieron durante una auditoría realizada en 2024. Las dificultades para modificar componentes fundamentales del lenguaje retrasaron la solución.

En agosto de 2026, investigadores de Calif y OpenAI encontraron formas concretas de aprovechar la falla. Posteriormente, Wiz identificó otras posibilidades de ataque mediante herramientas de inteligencia artificial.

La Fundación PHP reconoció que la demora respondió a problemas en la organización del trabajo y a la falta de personal especializado.

El 20 de octubre comenzaron a circular datos sobre las vulnerabilidades en internet. La filtración obligó a adelantar un día la publicación de las correcciones, inicialmente prevista para el 22 de octubre.

¿Qué deben hacer las empresas para evitar un ataque?

Los desarrolladores publicaron el 21 de octubre versiones de PHP que corrigen ambas vulnerabilidades. Las actualizaciones disponibles son PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 y PHP 8.2.35.

Las organizaciones que utilizan versiones anteriores enfrentan dificultades adicionales. PHP 8.1 y las ediciones más antiguas dejaron de recibir mantenimiento ordinario del proyecto, aunque algunos proveedores distribuyen correcciones especiales.

La NSA recomendó identificar los sistemas que dependen de PHP y actualizar prioritariamente aquellos accesibles desde internet. Cuando resulte imposible aplicar las correcciones inmediatamente, la agencia aconseja evaluar su desconexión temporal.

El Centro Nacional de Ciberseguridad de Reino Unido también pidió revisar los sistemas para detectar señales de posibles intrusiones, especialmente cuando existan sospechas de ataques anteriores a las actualizaciones.

Cloudflare confirmó que había detectado tráfico malicioso relacionado con PHP2Shell y desplegado medidas de protección desde las primeras horas del 21 de octubre. Sin embargo, los desarrolladores del lenguaje consideran que actualizar PHP constituye la solución completa para corregir las vulnerabilidades.

Los ataques pueden continuar contra sistemas que permanezcan desactualizados. Una organización que haya sufrido una intrusión también necesita investigar si los responsables dejaron programas maliciosos capaces de mantener el acceso después de instalar los parches.

El miércoles negro de internet dejó suspensiones preventivas de servicios en distintos países y evidencias de intentos de explotación anteriores a la alerta oficial. La magnitud de los daños efectivos continúa bajo investigación, mientras las organizaciones que dependen de PHP deben comprobar si sus servidores cuentan con las correcciones de seguridad.

rodrigo.riquelme@eleconomista.mx