NCSC de Países Bajos apaga su web por fallos en PHP

El centro de ciberseguridad de Países Bajos apagó su propia web

El National Cyber Security Centre (NCSC) de Países Bajos retiró su sitio NCSC.NL de forma temporal y preventiva por las vulnerabilidades detectadas en PHP, el lenguaje que sostiene buena parte de la web. Lo llamativo del caso no es la caída de un sitio: es que la agencia que emite las alertas de seguridad del país decidió aplicarse a sí misma la recomendación que estaba dando a todos los demás.

En el aviso publicado en su propia web, el organismo explica que la medida es "por precaución", que ya hay parches disponibles y que la información técnica se está centralizando en su página de avisos, en su repositorio de GitHub y en su comunidad. Mientras el sitio principal está fuera de línea, el NCSC mantiene canales alternativos para organizaciones que usan su servicio CSIRT.

Para un founder, la señal es directa: si una agencia estatal con equipos dedicados de seguridad elige apagar antes que arriesgar, la ventana para revisar tu propio stack no es opcional.

¿Qué son CVE-2026-109618 y CVE-2026-109619?

Los dos fallos, bautizados colectivamente como PHP2Shell, están registrados como CVE-2026-109618 y CVE-2026-109619, cada uno con una calificación de 9.2 en CVSS v4.0, según reportó Infosecurity Magazine. Ambos permiten ejecución remota de código (RCE) sin autenticación: un atacante puede correr código en el servidor sin necesidad de credenciales.

El primer fallo, según Help Net Security, se origina en el manejo de memoria agotada: el procesamiento puede interrumpirse mientras los datos internos de la petición están solo parcialmente inicializados, y las rutinas de limpieza tratan datos inválidos como válidos. El segundo permite que el estado interno de una petición sobreviva después de que su memoria fue liberada, y una petición posterior atendida por el mismo worker use ese estado obsoleto.

La superficie afectada es amplia: PHP-FPM, Apache con modphp, php-cgi, FrankenPHP y LiteSpeed. Las instalaciones con modphp son las de mayor riesgo, porque el exploit demostrado funciona antes de que se ejecute una sola línea del código de la aplicación.

¿Por qué un fallo en PHP afecta a casi toda la web?

Porque PHP no es un lenguaje de nicho. Según datos de W3Techs citados por Infosecurity Magazine, PHP está presente en aproximadamente el 69,7% de los sitios web cuyo lenguaje de servidor es identificable. Wiz estimó, en declaraciones recogidas por la BBC, que "alrededor del 70%" de internet está afectado, aunque la propia BBC aclara que no pudo verificar esa cifra de forma independiente.

La empresa de ciberseguridad Huntress lo resumió con precisión: PHP "alimenta silenciosamente WordPress, Drupal, Joomla y Magento, plataformas de hosting compartido, paneles de control y muchísimo software que ni siquiera anuncia que corre PHP por debajo".

Ese es el problema real para una startup: no se trata de actualizar un plugin. Se trata de encontrar cada instancia de PHP en tu infraestructura, incluidas las que no sabías que tenías. Don Smith, de la unidad de amenazas de Sophos, advirtió a la BBC que el desafío inmediato no es instalar el parche, sino localizar y gestionar todos los puntos donde PHP está corriendo, a veces sin que la organización lo sepa.

¿Qué sitios se cayeron y qué dijeron las autoridades?

El alcance fue internacional. Según la BBC, quedaron fuera de línea el gobierno de Finlandia, los ayuntamientos de Edimburgo, Oxford y Bristol, varias universidades europeas, el foro 4chan y páginas de programas de la propia BBC. El Puerto de Rotterdam, el mayor hub de transporte de Europa, también bajó su web.

En Países Bajos, NL Times reportó que además del NCSC se desconectaron el sitio del Tweede Kamer (la cámara baja del parlamento), el club de fútbol Fortuna Sittard, el sindicato policial ACP, la asociación de farmacéuticos KNMP, la empresa de transporte público EBS y partes de la red compartida de IT para educación superior e investigación.

CERT-EU advirtió que las vulnerabilidades permiten "ejecución remota de código sin autenticación", y el NCSC británico pidió a las organizaciones que, si no pueden remediar de inmediato, consideren sacar el sistema de línea. La Casa Blanca dijo que las agencias federales trabajan con laboratorios de IA para acelerar la solución, y la Wikimedia Foundation confirmó que estaba abordando los fallos y que retiró varios sistemas como precaución.

Un detalle relevante del timeline: según Infosecurity Magazine, los identificadores CVE se filtraron en un foro un día antes de la divulgación programada, lo que redujo el margen de reacción de los equipos de seguridad.

¿Qué significa esto para tu startup?

Si tu producto corre sobre WordPress, Drupal, Joomla, Magento o cualquier stack LAMP, este episodio te toca directamente. Y si usas hosting gestionado, la responsabilidad no desaparece: actualizar WordPress, sus plugins o tu tema no reemplaza la actualización del PHP del servidor, según advirtió Hackread.

Hay tres implicancias concretas:

• Tu inventario puede estar incompleto. El fallo vive en el runtime, no en la aplicación. Contenedores viejos, appliances, paneles de control y servicios de terceros pueden estar corriendo PHP sin figurar en tu documentación.
• El riesgo no es solo una caída. Un atacante que logra RCE obtiene los permisos del proceso que atiende las peticiones, lo que expone archivos de aplicación y credenciales accesibles a ese proceso. Shahak Shalev, de Malwarebytes, lo describió como "una mina de oro" para los atacantes, que pueden usar la reputación de un sitio real para phishing y distribución de malware.
• La ventana de exposición es corta. Dane Knecht, CTO de Cloudflare, dijo que la compañía ya estaba viendo intentos de explotación tempranos y actualizando mitigaciones.

Acciones concretas para las próximas horas

1. Actualiza a las versiones corregidas. Según Help Net Security, los parches están en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si dependes de paquetes de tu distribución o de un proveedor de soporte extendido (LTS), confirma con ellos que el fix ya está incluido.
2. Si usas PHP 8.1 o anterior, migra. El proyecto PHP ya no da soporte a esas ramas. La PHP Foundation publicó el parche solo para las versiones más recientes y pidió a quienes usan PHP 8.1 o anterior que actualicen, según la BBC. Existen backports mínimos de código para PHP 7.4, 8.0 y 8.1, pensados para quienes compilan desde el código fuente.
3. Pregunta a tu proveedor de hosting. Si estás en hosting gestionado, exige confirmación por escrito de que el runtime de PHP fue parcheado. No asumas que la actualización del CMS cubre el servidor.
4. Mitigaciones temporales, con reservas. Si no puedes parchear de inmediato, Hackread señala que los avisos oficiales mencionan desactivar el progreso de subida de sesiones y, en PHP 8.5, desactivar los backtraces de errores fatales, reiniciando después todos los workers de PHP. Los propios mantenedores advierten que ningún cambio de configuración cubre todas las rutas de ataque y que ocultar mensajes de error no evita la explotación.
5. Revisa señales de compromiso. Como recomendó Don Smith de Sophos, verifica si un atacante ya pudo haber ganado un punto de apoyo en tus sistemas antes de asumir que el parche cierra el caso.

Conclusión

El apagón del NCSC neerlandés es un recordatorio incómodo: la seguridad de infraestructura no se resuelve con una capa de producto, sino con inventario, disciplina de parcheo y capacidad de reacción. Los fallos PHP2Shell llevaban más de una década sin detectarse y fueron encontrados con ayuda de modelos de IA de frontera, lo que anticipa un patrón: la velocidad con la que se descubren fallos profundos está subiendo.

Para una startup con equipo pequeño, la lección práctica es simple. Sabe qué corre en tus servidores, ten un canal directo con tu proveedor de hosting y define de antemano quién decide apagar un sistema cuando la alternativa es quedar expuesto. Esa decisión se toma mejor en frío que a las tres de la mañana.

Fuentes

• NCSC.nl - Actueel (fuente original)
• BBC - Websites taken down worldwide as critical cyber-security update issued
• NL Times - Dutch parliament website taken offline as cybersecurity warning triggers precautions
• Help Net Security - PHP2Shell: Critical PHP vulnerabilities patched, update now!
• Infosecurity Magazine - Critical PHP Vulnerabilities Leaked Ahead of Scheduled Security Patches
• Hackread - PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities