PHP: el invento casero de 1994 que mueve media web (y el fallo que ha apagado webs en medio mundo)

El miércoles 21 de octubre de 2026 pasó algo raro en internet. El portal del Gobierno de los Países Bajos amaneció con un aviso de mantenimiento. La CNIL, la autoridad francesa de protección de datos, igual. Finlandia retiró servicios públicos, Canadá apagó webs del Gobierno y aquí, en España, hasta la página del CCN-CERT, el centro de ciberseguridad del Estado, enseñaba el cartelito de «volvemos enseguida».

Nadie les había atacado. Se habían desenchufado ellos solos, a propósito.

El motivo tiene tres letras que casi nadie fuera del mundillo conoce: PHP. Un lenguaje de programación que está detrás de unas siete de cada diez webs del planeta y que nació, atento, para saber quién miraba el currículum de un programador veinteañero. Vamos por partes. 🐘

📄 Todo empezó con un currículum

En 1994, Rasmus Lerdorf, un programador danés-canadiense nacido en Groenlandia, tenía su currículum colgado en internet. Y quería saber quién entraba a verlo. Lo que hoy sería mirar las estadísticas de tu perfil de LinkedIn, pero en los noventa y sin LinkedIn.

Así que se escribió unos programitas en C que hacían justo eso y les puso un nombre sin ninguna pretensión: Personal Home Page Tools. Herramientas para la página personal. De ahí las siglas.

En junio de 1995 compartió el código para que lo usara quien quisiera, y pasó lo que pasa siempre que alguien regala algo útil en internet: la gente empezó a pedirle cosas, primero con timidez y luego ya sin ningún pudor, y él, en lugar de decir que no, se sentaba y las programaba. Que si formularios, que si conectarlo a una base de datos, que si esto, que si lo otro. Pieza a pieza. Sin plan.

Lerdorf lo ha contado más de una vez: nunca tuvo intención de crear un lenguaje de programación. Quería resolver un problema rápido y pasar al siguiente.

Le salió otra cosa.

🧩 De apaño casero a lenguaje de verdad

En 1997, dos programadores israelíes, Andi Gutmans y Zeev Suraski, estaban montando una tienda online para un proyecto de la universidad con aquella herramienta. Se les quedaba corta, así que le reescribieron las tripas. Se juntaron con Lerdorf y en junio de 1998 presentaron PHP 3, ya como un lenguaje con todas las letras.

Y con un nombre nuevo, que es un chiste de informáticos: PHP pasó a significar «PHP: Hypertext Preprocessor». Sí, las siglas se contienen a sí mismas (es lo que se llama un acrónimo recursivo, y a los programadores estas cosas les hacen muchísima gracia).

Ese mismo año ya lo usaban unos 60.000 dominios, alrededor del 1 % de internet. Poco después, Gutmans y Suraski hicieron el motor que lo sigue moviendo hoy, el Zend Engine. Zeev más Andi, de ahí el nombre. Y por si te lo preguntabas, la mascota de PHP es un elefante azul.

🍳 Qué hace PHP, sin tecnicismos

Cuando entras en una web, a veces la página ya está hecha y el servidor solo te la manda. Como un bocadillo envuelto en el mostrador.

Pero muchas otras se cocinan en el momento, solo para ti: tu nombre arriba, lo que llevas en el carrito, los comentarios que alguien escribió hace cinco minutos. Alguien tiene que preparar ese plato en la cocina del servidor cada vez que se pide.

En unas siete de cada diez webs, ese cocinero es PHP.

Según W3Techs, a 22 de octubre de 2026 lo usa el 69,3 % de las webs de las que se sabe en qué están hechas. Wikipedia funciona con PHP. WordPress, con el que está hecha casi el 40 % de todas las webs del mundo, también. Y Facebook nació en PHP en 2004, y creció tanto que en 2010 sus ingenieros se inventaron un traductor que convertía todo ese PHP en C++, un lenguaje mucho más rápido, para que los servidores dieran abasto sin tener que reescribir la web entera desde cero, que con aquel tamaño habría sido una locura. Más tarde acabaron creando su propio dialecto, Hack.

Este mismo blog, sin ir más lejos, funcionaba en 2020 con WordPress en un hosting compartido. Lo dejé porque el pago mensual no me compensaba para lo que es este blog, un sitio para informar y pasarlo bien.

Hoy va con Ghost, que no usa PHP. Pero estuvimos ahí, como medio internet.

🔓 Qué pasó el 21 de octubre

El martes 20, el equipo de PHP avisó de que al día siguiente publicaría un parche de seguridad crítico. El miércoles salió, con dos fallos dentro (CVE-2026-109618 y CVE-2026-109619), apodados PHP2Shell y con una gravedad de 9,2 sobre 10.

Volviendo a la cocina, y simplificando muchísimo:

• El primero. Si la cocina se queda sin espacio a mitad de un pedido, la comanda se queda a medio escribir. Y al recoger, alguien la trata como si estuviera completa.
• El segundo. Restos de un pedido se quedan en la encimera, y el siguiente pedido los usa sin darse cuenta.

Con una petición bien preparada, un atacante podría aprovechar ese desorden para que el servidor ejecutara sus propias órdenes. Sin contraseña y sin registrarse en nada. Por eso la nota es tan alta.

Las agencias de ciberseguridad de la Unión Europea, Reino Unido, Estados Unidos y Australia dijeron más o menos lo mismo, con palabras más finas: actualizad ya, y si por lo que sea no podéis hacerlo hoy mismo, plantearos desconectar la web hasta que podáis, que es mejor tenerla un día cerrada que abierta de par en par. Muchos les hicieron caso.

Eso es lo que se vio el miércoles. Cierres preventivos. Una web en mantenimiento no es una web hackeada.

¿Hay peligro real? Algo hay. Cloudflare dijo ese mismo día que ya veía los primeros ataques, y la empresa de seguridad watchTowr contó que le llegaban intentos con exploits hechos con ayuda de inteligencia artificial. Su responsable de inteligencia lo resumió así: de momento nadie lo ha conseguido, pero no esperan que dure mucho.

Y aquí viene lo curioso. Según OpenAI, los fallos los encontraron hace un par de meses unos investigadores que trabajan en su programa para buscar agujeros en software libre con IA. O sea, que la IA ayudó a encontrarlos con tiempo para arreglarlos… y la IA también está echando una mano a quien quiere aprovecharlos. Las dos cosas a la vez.

Un dato más, que a mí me parece el más preocupante de todos. Según W3Techs, más de un tercio de las webs con PHP siguen con PHP 7 o incluso PHP 5, versiones que el proyecto ya no actualiza, de modo que el parche que salió el miércoles sencillamente no existe para ellas y todo depende de que su proveedor de alojamiento tenga contratado algún soporte extendido o de que alguien, por fin, se decida a cambiar de versión. Ese alguien suele ser el que lleva años diciendo «ya lo haré».

🙋 ¿Y yo qué tengo que hacer?

Depende de en qué lado estés.

Si solo navegas, nada. PHP vive en los servidores, no en tu móvil ni en tu ordenador, así que no hay nada que instalar ni que actualizar en casa. Que una web salga estos días «en mantenimiento» es, de hecho, buena señal: la están arreglando. Tampoco hace falta ir cambiando contraseñas por si acaso. Cuando escribo esto, el 22 de octubre, no se conoce ningún robo de datos por este fallo; si algún servicio tuyo te avisa de un problema, entonces sí.

Lo único que te diría: si una web de las de siempre empieza a hacer cosas raras (te manda a otra página, te descarga algo que no has pedido o te pide la contraseña una y otra vez), ciérrala y vuelve más tarde.

Si tienes una web, sea un WordPress, una tienda online o la página del negocio, aquí hay una trampa que conviene tener clara. Actualizar WordPress o sus plugins no actualiza PHP. Son cosas distintas, y PHP lo actualiza quien te da el alojamiento.

• Pregúntale a tu hosting si ya ha instalado el parche. Instalado, no «programado».
• Mira en su panel qué versión de PHP usa tu web: tiene que ser la 8.2.35, la 8.3.36, la 8.4.27 o la 8.5.12, o una posterior.
• Si te sale la 8.1 o una anterior, toca mudarse a una versión con soporte. Y ya que te pones, ojo, que la 8.2 deja de recibir actualizaciones el 31 de diciembre de 2026.

🙌 Resumiendo

Treinta y dos años después, aquellas herramientas para contar visitas a un currículum están en tantos sitios que un fallo suyo hace que gobiernos de medio mundo desenchufen sus webs por precaución. Lerdorf no quería hacer un lenguaje. Le salió el que mueve la mayor parte de la web.

Si solo navegas, puedes estar tranquilo. Si tienes una web, te toca hacerle una pregunta a tu hosting. Una sola. Pero hazla.

Gracias por leer hasta aquí. Y si tienes web y no sabes ni dónde se mira eso de la versión de PHP, escríbeme y lo vemos. 👋

📚 De dónde salen los datos

Las fechas de la historia salen de la propia web de PHP; las cifras de uso, de W3Techs, y lo del fallo, del aviso oficial y de la prensa que lo siguió el mismo día:

• La historia de PHP contada por el propio proyecto: el currículum de Lerdorf, PHP/FI, Gutmans y Suraski, y los 60.000 dominios de 1998 — php.net
• Los avisos y versiones de seguridad del 20 y el 21 de octubre de 2026, con las versiones que corrigen los dos fallos — php.net
• El 69,3 % de las webs con PHP y el reparto por versiones — W3Techs
• Las webs del Gobierno de Canadá que también se quedaron fuera de línea — CBC
• Las webs oficiales que se apagaron en Países Bajos, Francia, Finlandia, Dinamarca y España — Xataka
• Qué tiene que hacer quien solo navega y quien tiene una web, y por qué actualizar WordPress no es actualizar PHP — Malwarebytes
• Quién encontró los fallos según OpenAI y los primeros intentos de ataque que vio watchTowr — The Record