Hay algo inquietante en la forma en que se informan los incidentes importantes de ciberseguridad: no con gran revuelo, sino más bien a través de un boletín técnico que poca gente lee, para que, horas más tarde, la situación se convierta en una auténtica emergencia. Eso es exactamente lo que está ocurriendo en España esta semana. El país ha sufrido millones de intentos de ataque contra sistemas de la administración pública, empresas privadas y portales sanitarios en cuestión de horas tras recibir una alerta sobre una vulnerabilidad en PHP, el lenguaje de programación que utiliza alrededor del 70 % de todos los sitios web del mundo.
Las dos vulnerabilidades detectadas no son errores menores. El equipo europeo CERT-EU les ha otorgado una puntuación de gravedad de 9,2 sobre 10, lo que equivale a una «alerta roja» en el ámbito de la ciberseguridad. Este caso resulta especialmente preocupante porque las vulnerabilidades permiten a un atacante externo ejecutar código malicioso de forma remota sin necesidad de credenciales ni de instalar una «puerta trasera». Basta con que un servidor esté expuesto y carezca de parches. En la práctica, esto significa que cualquiera que sepa dónde buscar puede acceder actualmente a miles de sistemas en toda España.
El Instituto Nacional de Ciberseguridad (INCIBE) ha declarado de forma inequívoca que los servidores deben aislarse de las redes públicas si no se puede aplicar un parche de inmediato, o bien que los sistemas deben actualizarse a las versiones más recientes de PHP. Se trata de una instrucción clara y directa. Aún no está claro cuántas organizaciones cuentan con la agilidad operativa y la capacidad técnica necesarias para hacerlo antes de que se produzca el próximo intento de ataque. El 12 % de las organizaciones españolas ya están siendo objeto de ataques activos, según datos de Check Point Research. Se trata de una amenaza actual, no de una hipotética para el futuro.
El uso de la inteligencia artificial por ambas partes del conflicto es lo que distingue esta crisis de otras. Estas vulnerabilidades fueron descubiertas por investigadores mediante herramientas basadas en IA. Los análisis disponibles actualmente indican que los ciberdelincuentes están aprovechando estas vulnerabilidades más rápido de lo que podría hacerlo cualquier equipo humano. El número de intentos de piratería aumentó de docenas a millones en cuestión de horas tras el descubrimiento de las vulnerabilidades, según Matthew Prince, director ejecutivo de Cloudflare. Sin duda, esta estadística es motivo de preocupación.
| Tipo de amenaza | Vulnerabilidades críticas en el lenguaje de programación PHP |
| Número de vulnerabilidades | Dos (2) vulnerabilidades críticas |
| Puntuación de gravedad (CERT-EU) | 9.2 sobre 10 |
| Porcentaje de webs afectadas | ~70% de las páginas web del mundo usan PHP |
| Organizaciones españolas atacadas | 12% (según Check Point Research) |
| Tipo de ataque | Ejecución remota de código malicioso sin credenciales |
| Papel de la IA | Usada tanto para detectar las vulnerabilidades como para explotarlas |
| Organismo que emite alerta | INCIBE (Instituto Nacional de Ciberseguridad) |
| Medida recomendada | Actualización inmediata de PHP o aislamiento de servidores |
| Respuesta del Gobierno | Ministerio de Transformación Digital: sin incidencias graves en webs estatales |
| Caso destacado en España | Servicio Andaluz de Salud (SAS) suspendió acceso a su portal como precaución |
| Impacto en SAS | Sin datos de pacientes comprometidos; atención sanitaria no afectada |
| Escalada de ataques | De decenas a millones de intentos en horas (Cloudflare) |
| Otros objetivos en España (2026) | Endesa, Hacienda, Puerto de Vigo, Basic Fit, Inditex, Ahorramás |
| Contexto global | Ataques simultáneos en múltiples países europeos |
| Fecha del evento | Octubre 2026 |
Las instituciones públicas en España han reaccionado con distintos grados de urgencia. Según el Ministerio de Transformación Digital, hasta el momento no se han producido incidentes ni interrupciones significativas que hayan afectado a los sitios web de los organismos estatales o los ministerios del Gobierno. Se trata de una buena noticia, pero hay algunas salvedades. Como medida de precaución proactiva, el Servicio Andaluz de Salud optó por bloquear temporalmente el acceso a su portal oficial. Aclaró que ni los datos de los pacientes ni la prestación de asistencia sanitaria se habían visto comprometidos. Cerrar el portal de un sistema sanitario regional es una decisión difícil, pero también ilustra la presión real a la que se ven sometidos actualmente los servicios públicos.
Es posible que, en un futuro próximo, más empresas decidan no mantener la continuidad del servicio. Aunque el problema en sí no es nuevo, sí lo es la velocidad a la que se desarrollan estos ataques. El ritmo ha cambiado drásticamente debido a la automatización impulsada por la inteligencia artificial; tareas que antes requerían días de exploración manual ahora solo llevan unos minutos. Este cambio de escala supone un reto para muchas empresas medianas y organismos de la administración local a la hora de gestionarlo con sus recursos actuales.
España no es un caso aislado. Organizaciones de todo el mundo se ven afectadas por esta vulnerabilidad específica de PHP, y se están registrando ataques simultáneos en varios países diferentes. Sin embargo, cabe destacar que el nivel de respuesta coordinada —en la que participan ministerios, servicios públicos regionales y el INCIBE (Instituto Nacional de Ciberseguridad)— ha sido más rápida de lo habitual. El daño real podría ser limitado si las actualizaciones se implementan con prontitud y los servidores más vulnerables se aíslan en el transcurso de las próximas horas. Al menos, eso es lo que se prevé.
