Por qué Francia cerró las puertas de sus webs públicas el miércoles

Artículo redactado la noche del 21 de octubre de 2026. La situación evoluciona hora a hora: algunos aspectos podrán precisarse en los próximos días.

Imagine una ciudad donde casi todas las casas tienen la misma cerradura. Una cerradura sólida, instalada hace años, en la que ya nadie piensa.

Un día se descubre que tiene un defecto. Un ladrón astuto podría abrirla sin llave, entrar, revolver los cajones e incluso tomar el mando de la casa como si fuera el dueño.

Y quien encontró el defecto fue un robot. El robot no era un ladrón: ayudaba a unos investigadores a revisar las cerraduras. Pero un ladrón también puede pedir ayuda a un robot.

Los expertos le han puesto una nota a este peligro, como en el colegio: 9,2 sobre 10. Es casi la nota máxima.

Es exactamente lo que acaba de pasar en Internet. La cerradura se llama PHP. Protege alrededor de 7 de cada 10 sitios web del mundo. El miércoles 21 de octubre, por prudencia, Francia cerró las puertas de muchas webs públicas (Hacienda, prefecturas, Météo-France), el tiempo necesario para cambiar las cerraduras. Algunas empresas hicieron lo mismo.

En los próximos días, quizá se encuentre con una web que diga «en mantenimiento». No tiene por qué ser una avería: quizá sea alguien cambiando la cerradura.

Ya existe una cerradura nueva. Pero hay que instalarla, casa por casa. Y algunas casas demasiado antiguas no la recibirán nunca.

Así que surge una pregunta sencilla: ¿quién se ocupa de la cerradura de su casa?

Para quienes quieran entenderlo en detalle, esto es lo que pasó.

Lo que pasó, explicado sencillamente

En concreto, el miércoles 21 de octubre, en plena tarde, los sitios web de Hacienda, de Météo-France y de casi todas las prefecturas francesas quedaron inaccesibles. No se trató de un ataque, sino de una medida preventiva: a petición de la ANSSI, la agencia nacional de ciberseguridad, el Ministerio del Interior puso sus sitios web en «mantenimiento preventivo». En los Países Bajos y Finlandia, varios sitios públicos hicieron lo mismo. También algunas empresas cortaron parte de sus servicios: según Actu17, el aeropuerto de Ámsterdam-Schiphol suspendió su aplicación móvil y Nintendo, parte de sus servicios. En Estados Unidos, la agencia federal de ciberseguridad pidió que se actualizaran de inmediato.

PHP es un lenguaje informático, es decir, una forma de escribir las instrucciones que hacen funcionar un sitio web. Es discreto, pero está por todas partes: hace funcionar WordPress, Drupal, Joomla o Magento, herramientas que utilizan innumerables empresas, asociaciones y ayuntamientos. Según los investigadores que descubrieron las vulnerabilidades, PHP se utilizaría en alrededor del 70 % de los sitios web del mundo. Atención: esta cifra se refiere a los sitios que usan PHP, no a los que son realmente vulnerables. En Francia, la ANSSI contabilizó más de 600 000 servidores que utilizan PHP, según Le Figaro.

Las dos vulnerabilidades, apodadas «PHP2Shell», permiten lo que los especialistas llaman ejecución remota de código: una persona malintencionada puede hacer que el servidor de un sitio ejecute sus propias instrucciones, sin tener acceso físico a él ni una contraseña. Una vez dentro, puede robar datos, instalar programas ocultos o hacerse con las cuentas vinculadas al sitio. El equipo europeo de respuesta a incidentes (CERT-EU) les asigna una puntuación de gravedad de 9,2 sobre 10.

Merece la pena contar la cronología. Según Wiz Research, el equipo que hizo el descubrimiento, la primera vulnerabilidad se encontró el 19 de agosto y se notificó al equipo de seguridad de PHP el 24 de agosto. Durante dos meses, se mantuvo el secreto mientras se preparaba un parche. Es lo que se llama una divulgación coordinada: primero se avisa a quienes pueden solucionar el problema y después se informa al público. Pero se filtró información en línea antes de la fecha prevista, lo que aceleró el calendario. Los parches se publicaron el miércoles por la tarde. Según el sitio Actu17, que cita al medio especializado The Record, solo afectan a las versiones recientes de PHP (8.2 y posteriores), ya que las más antiguas ya no reciben mantenimiento. El director técnico de Cloudflare, una empresa que protege una gran parte de la web, indicó que ya estaba observando los primeros intentos de ataque.

La alerta: la misma IA abre y cierra las puertas

Wiz Research explica que utilizó varios modelos de IA de última generación para encontrar estas vulnerabilidades y, después, comprobar los parches. Actu17 informa de que otros investigadores, de Calif, también trabajaron con un modelo de OpenAI. Es una buena noticia: la IA permitió detectar un problema que llevaba años presente en una herramienta utilizada en todas partes.

Pero este es también el núcleo del problema ético. La herramienta que encuentra una vulnerabilidad para corregirla también puede ayudar a explotarla. Un experto consultado por Le Figaro lo resume así: «En la era de la IA, hay que rezar para que todo salga bien». Antes, entre el descubrimiento de una vulnerabilidad y su explotación, hacía falta tiempo y conocimientos especializados poco comunes. Hoy, ese plazo se acorta. Los defensores, por su parte, siguen teniendo que actualizar miles de sitios, uno por uno.

Entonces surgen tres preguntas, sin alarmismos:

• ¿Quién paga el precio de la velocidad? Las grandes organizaciones tienen equipos informáticos. El pequeño comerciante, la asociación del barrio o el ayuntamiento de un pueblo, a menudo, no. Su sitio WordPress, instalado hace cinco años, quizá funcione con una versión de PHP que nunca recibirá una corrección.
• ¿Quién mantiene los cimientos? PHP es un programa de código abierto, creado y mantenido por una comunidad. Gran parte de la web depende de este trabajo, a menudo poco visible. Su seguridad es un bien común, como una carretera o un puente.
• ¿Quién decide qué se publica y cuándo? La filtración prematura de la información dejó menos tiempo para protegerse. En un mundo donde la IA lo acelera todo, la prudencia se convierte en una virtud de seguridad pública.

La esperanza: lo que cada cual puede hacer

Esta historia también muestra lo que funciona. Unos investigadores encontraron las vulnerabilidades y las notificaron en lugar de venderlas. Una comunidad trabajó durante dos meses para corregirlas. Varios Estados prefirieron desconectar sus sitios durante unas horas antes que exponer los datos de sus ciudadanos. Este es nuestro hilo conductor: construir la ciudad en lugar de la torre de Babel. Construir juntos, con prudencia, en vez de subir cada vez más rápido y más alto.

A su escala, no necesita ser informático para actuar. Basta con hacer las preguntas adecuadas a las personas adecuadas.

Y si utiliza la IA en su actividad, tenga presente esta lección: una herramienta poderosa no es buena ni mala en sí misma. Todo depende de quién la use, con qué fin y bajo qué reglas. Este es también el tema de mi libro L'abondance tuera (en francés): cuando el poder se vuelve abundante, la sabiduría se vuelve indispensable.

¿Y usted?

¿Sabe hoy quién es responsable de la seguridad de su sitio, del de su asociación o del de su municipio? Y si una IA puede encontrar una vulnerabilidad en unos días, ¿qué deberíamos exigir a quienes crean y mantienen nuestras herramientas digitales?

Para no perderse el próximo artículo, suscríbase al boletín de los jueves en la página «Por qué allelu.ai». Y si conoce a algún comerciante, asociación o cargo electo que gestione un sitio web, reenvíele este artículo: quizá sea la primera persona que debería leerlo.

Fuentes

• Le Figaro, «Parte de Internet en todo el mundo, paralizada tras descubrirse vulnerabilidades críticas en el lenguaje informático PHP», 21 de octubre de 2026 (en francés)
• Actu17, «Vulnerabilidades críticas en PHP: sitios desconectados de urgencia en todo el mundo, incluidos los de las prefecturas de Francia» (en francés)
• Wiz Research, «PHP2Shell» (en inglés)
• CERT-EU, aviso de seguridad 2026-018 (en inglés)
• CISA, «Las vulnerabilidades críticas en PHP requieren aplicar parches de inmediato», 21 de octubre de 2026 (en inglés)

Redactado con ayuda de la IA, revisado y validado por Reynald Naulleau.