Esta semana vimos un clip que circuló bastante en X. En un reportaje de la BBC sobre la vulnerabilidad crítica de PHP, el supuesto “experto en seguridad” de la cadena reconoce, con total naturalidad, que hasta la mañana del día anterior no sabía qué era PHP . PHP es el lenguaje que está detrás de aproximadamente el 70 % de los sitios web del planeta . WordPress, Drupal, Laravel, Magento, gran parte de los portales de gobierno, universidades, medios y tiendas online… eso es PHP. El tuit de @5eniorDeveloper lo resume con humor negro perfecto. Pero más allá del meme, el episodio es bastante revelador. ¿Qué pasó realmente con PHP? El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619), conocidas como PHP2Shell . Tienen una puntuación de 9.2 sobre 10. Permiten a un atacante ejecutar código remoto en el servidor sin autenticarse . En condiciones normales, es una de las peores cosas que le pueden pasar a un sitio web. La...
Un “experto” en ciberseguridad en BBC no sabía qué era PHP hasta ayer algo que afecta al 70% de las webs
Esta semana vimos un clip que circuló bastante en X. En un reportaje de la BBC sobre la vulnerabilidad crítica de PHP, el supuesto “experto en seguridad” de la cadena reconoce, con total naturalidad, que hasta la mañana del día anterior no sabía qué era PHP.
PHP es el lenguaje que está detrás de aproximadamente el 70 % de los sitios web del planeta. WordPress, Drupal, Laravel, Magento, gran parte de los portales de gobierno, universidades, medios y tiendas online… eso es PHP.
El tuit de @5eniorDeveloper lo resume con humor negro perfecto. Pero más allá del meme, el episodio es bastante revelador.
¿Qué pasó realmente con PHP?
El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619), conocidas como PHP2Shell. Tienen una puntuación de 9.2 sobre 10. Permiten a un atacante ejecutar código remoto en el servidor sin autenticarse. En condiciones normales, es una de las peores cosas que le pueden pasar a un sitio web.
La gravedad era tal que varias agencias de ciberseguridad (incluida la NSA) recomendaron abiertamente: si no puedes parchear de inmediato, apaga el servidor.
Y eso es exactamente lo que hicieron muchos:
- Finlandia desconectó servicios web del gobierno.
- Países Bajos apagó temporalmente la web de su propia agencia de ciberseguridad.
- En el Reino Unido, 32 servicios gubernamentales quedaron offline de forma preventiva.
- Wikimedia (Wikipedia) tomó precauciones.
- Bancos, aerolíneas y empresas de Japón suspendieron servicios online.
- Incluso algunas páginas de la propia BBC se vieron afectadas.
- En España, Redsara estuvo sin dar servicio casi dos días.
Mientras tanto, Cloudflare reportó que los intentos de explotación pasaron de miles a millones en cuestión de horas después del anuncio público.
No fue un ataque masivo exitoso (al menos no a gran escala hasta ahora), sino una carrera contra el tiempo: parchear o desconectar. Muchos eligieron lo segundo mientras actualizaban a las versiones corregidas (PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35).
PHP no es “código antiguo olvidado”
Hay quien todavía cree que PHP es una reliquia de los 2000. Error. Sigue siendo el lenguaje más usado en la web por una razón sencilla: es práctico, maduro y está en todas partes. Desde blogs personales hasta sistemas críticos de gobiernos y empresas.
Que un “experto en seguridad” de un medio tan grande como la BBC confiese que no sabía de su existencia hasta el día anterior no es solo un lapsus. Es un síntoma.
¿Qué es realmente un experto?
Aquí viene el punto que más me interesa. Un experto no es alguien que tiene un diploma enmarcado, uno que acaba de hacer un máster que incluye la palabra "ciberseguridad" en el título, o alguien con un cargo con palabras bonitas, o que aparece en televisión con cara de saber de lo que habla.
Un experto es alguien que ha acumulado experiencia real. Puede tener 25 años o 55. La edad no es el filtro. El filtro es haber estado en las trincheras: haber desplegado, haber roto cosas, haber corregido incidentes a las 3 de la madrugada, haber visto cómo un error de configuración o una librería sin actualizar te puede tumbar un servicio entero.
La experiencia no se improvisa en una mañana. No se lee en un briefing de 20 minutos antes de salir al aire. Se construye con años de trabajo, errores y aprendizaje.
Cuando un medio presenta a alguien como “experto en seguridad” y esa persona admite que desconocía el lenguaje que mueve la mayor parte de internet, el problema no es solo individual, es estructural. Refleja cómo a veces se confunde apariencia de autoridad con conocimiento real. Por otro lado el "experto" no se pierde la oportunidad de salir en la tv y parece no enterarse de la gravedad al decir que no conocía la existencia de PHP.
Lo que nos deja esta crisis
- La superficie de ataque de internet es enorme y gran parte de ella depende de tecnologías “viejas” pero críticas.
- Parchear a tiempo sigue siendo la mejor defensa. Desconectar servicios no es ideal, pero a veces es la única opción responsable.
- La credibilidad se gana con hechos, no con títulos. En ciberseguridad (y en casi cualquier campo técnico) la experiencia práctica pesa más que el marketing personal.
PHP no es el villano de esta historia. El villano es la distancia que a veces existe entre quienes hablan de tecnología en los medios y quienes realmente la mantienen funcionando todos los días.
La próxima vez que veas a alguien presentado como “experto”, recuerda:
- El diploma no basta.
- La pinta de saber no basta.
- Lo que cuenta es haber estado ahí, haber tocado el código, haber sufrido las consecuencias y haber aprendido de ellas.
BBC: Hablaremos con nuestro experto en seguridad de BBC respecto a la vulnerabilidad de PHP. El experto en seguridad: No sabía que PHP existía hasta ayer en la mañana. https://t.co/gMakkLIf0J
— El Programador Senior (@5eniorDeveloper) October 22, 2026
Comentarios
Publicar un comentario