Una tecnología usada por el 70% de las webs, en alerta: la sostiene una sola empleada
25 de octubre de 2026
Internet parece una infraestructura gigantesca, sostenida por millones de servidores, empresas tecnológicas y presupuestos multimillonarios. Sin embargo, detrás de algunas de sus piezas más importantes existen organizaciones sorprendentemente pequeñas. Una de ellas acaba de quedar expuesta después de que dos vulnerabilidades críticas provocaran una carrera internacional para proteger miles de sitios web.
El protagonista es PHP, un lenguaje de programación que lleva más de tres décadas funcionando detrás de páginas web, tiendas digitales y plataformas de contenidos. Según las estadísticas de W3Techs, se utiliza en aproximadamente el 69% de los sitios cuyo lenguaje de servidor puede identificarse.
Con semejante presencia, cabría imaginar una organización con cientos de especialistas dedicados exclusivamente a su mantenimiento. La realidad es muy diferente: la Fundación PHP tiene una sola empleada a tiempo completo y 14 contratistas, la mayoría a tiempo parcial.
Una tecnología que sostiene millones de páginas web, pero depende de recursos limitados
La cifra fue revelada por Elizabeth Barron, directora ejecutiva de la Fundación PHP, durante una entrevista publicada por Reuters el 23 de octubre. Barron explicó que ella misma es la única trabajadora permanente a jornada completa de la entidad. Los integrantes de su junta directiva son voluntarios y la financiación procede principalmente de donaciones y subvenciones.
Esto no significa que una sola persona programe o mantenga todo PHP. El lenguaje cuenta con desarrolladores y colaboradores independientes distribuidos por todo el mundo. La fundación, creada para respaldar económicamente su desarrollo, es solo una parte de ese ecosistema.
La diferencia resulta importante, aunque no elimina el problema: el apoyo institucional y financiero disponible es limitado frente a la enorme dependencia tecnológica de empresas, gobiernos y administradores de sitios web. Y precisamente esta debilidad estructural quedó bajo los reflectores durante una de las semanas más delicadas para la seguridad del lenguaje.
Dos vulnerabilidades obligaron a actuar mientras los atacantes buscaban cómo aprovecharlas
El 21 de octubre de 2026 se publicaron correcciones para dos fallos críticos identificados como CVE-2026-109618 y CVE-2026-109619, conocidos conjuntamente como PHP2Shell.
Ambas vulnerabilidades podían permitir la ejecución remota de código en servidores afectados. Su gravedad fue calificada con una puntuación de 9,2 sobre 10 mediante el sistema CVSS 4.0, lo que llevó a proveedores de infraestructura y equipos de seguridad a recomendar actualizaciones urgentes.
La alerta técnica de Sophos confirma que los parches fueron publicados para PHP 8.2, 8.3, 8.4 y 8.5. Las versiones antiguas sin mantenimiento plantean dificultades adicionales y requieren medidas específicas.
Cloudflare desplegó protecciones para bloquear intentos de explotación y documentó la respuesta en su análisis de seguridad publicado el 21 de octubre. La compañía también informó posteriormente sobre una vulnerabilidad relacionada que necesitaba otra corrección.
El episodio deja una segunda dificultad: publicar un parche no significa que todos los servidores queden protegidos automáticamente. Cada organización debe actualizar su infraestructura y comprobar que sus aplicaciones continúan funcionando correctamente.
La inteligencia artificial encontró fallos antiguos, pero también está aumentando el trabajo
La crisis reveló una contradicción adicional. Las herramientas de inteligencia artificial están ayudando a encontrar errores que llevaban años ocultos en el código, pero también están multiplicando la cantidad de propuestas que deben revisar los desarrolladores.
Barron explicó que PHP recibe actualmente casi el doble de propuestas de modificación que hace un año, mientras que el número de colaboradores no creció al mismo ritmo. Cada cambio exige comprobar su seguridad, compatibilidad y posibles consecuencias.
La propia Fundación PHP reconoció que una de las vulnerabilidades ya había provocado preocupaciones en una auditoría de 2024. Las dificultades para corregirla sin perjudicar otras partes del ecosistema contribuyeron a retrasar la solución. Tras la crisis, anunció cambios en sus procedimientos de seguridad.
Ese documento permite dimensionar el trabajo que hay detrás: en 2025, los colaboradores financiados por la fundación participaron en 2.929 contribuciones de código y 1.685 revisiones, una actividad considerable para una organización de dimensiones reducidas.
El problema, por tanto, no es que PHP carezca de desarrolladores, sino que una tecnología utilizada por una parte enorme de internet dispone de recursos limitados para sostener tareas cada vez más exigentes.
La lección tras PHP2Shell es que la seguridad de internet no depende únicamente de servidores y empresas multimillonarias. También depende de que los proyectos de código abierto tengan suficientes personas, financiación y tiempo para mantener la tecnología sobre la que funcionan millones de páginas web.