Dos fallos críticos en PHP fuerzan mantenimientos de emergencia en videojuegos y webs

Dos vulnerabilidades críticas en el lenguaje de programación PHP han forzado hoy, 21 de octubre de 2026, la desconexión preventiva de múltiples servicios web y videojuegos en todo el mundo. Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619, cuentan con una puntuación de 9,2 sobre 10 en la escala CVSS. Las desconexiones responden a una medida preventiva de seguridad y no a confirmaciones de que estos portales o plataformas hayan sido hackeados.

El problema reside en el modo en que el intérprete gestiona ciertos errores de memoria durante el procesamiento de una petición. Si se dan las condiciones adecuadas, la brecha permite a un atacante ejecutar código de forma remota en la máquina sin necesidad de haber iniciado sesión previamente. El equipo responsable de PHP ha publicado versiones corregidas para las ramas 8.2, 8.3, 8.4 y 8.5. De acuerdo con la BBC, las fallas habrían sido descubiertas por investigadores de las firmas Calif y Wiz, quienes habrían empleado herramientas de inteligencia artificial durante el proceso de localización.

Impacto directo en videojuegos y servidores online

El sector del videojuego ha reaccionado apagando sistemas de autenticación y funciones de red. Square Enix desconectó de forma temporal los servidores de inicio de sesión de Final Fantasy XIV para aplicar el parche de seguridad, aunque los usuarios que ya estaban dentro del mundo virtual pudieron continuar jugando. Además, el equipo del juego pausó de manera temporal el contador de demolición automática de viviendas en todos sus servidores, una disposición reservada habitualmente a catástrofes naturales en el mundo real. Este incidente llega poco después del mantenimiento de 24 horas del 12 de octubre de 2026 para el parche 7.57 y de otra intervención adicional con correcciones rápidas desplegada el 20 de octubre de 2026.

Aplicaciones y títulos de Pokémon como Pokémon HOME, Pokémon Sleep y Pokémon Champions tuvieron que desconectarse o someterse a mantenimiento de emergencia. Otros títulos en línea, como Umamusume: Pretty Derby, también entraron en mantenimiento temporal para desplegar la actualización. Según detalló Game Rant al momento de redactar su información, algunos servicios de la infraestructura de suscripción Nintendo Switch Online continuaban inaccesibles tanto en la consola Nintendo Switch original como en Nintendo Switch 2.

Alertas de seguridad e interrupciones en la red

La exposición del software es amplia en la infraestructura digital global. Según datos de W3Techs, PHP está presente en el 69,3% de las páginas de internet cuyo lenguaje del lado del servidor puede identificarse. Cloudflare asegura haber detectado tráfico de ataque real dirigido contra clientes expuestos a estas vulnerabilidades para intentar esquivar las defensas perimetrales.

Plataformas como DeviantArt y Wikipedia realizaron periodos de mantenimiento para introducir las correcciones pertinentes, volviendo DeviantArt a estar en línea aproximadamente a las 12:14 PM Eastern. En el ámbito institucional, organismos públicos de Países Bajos, Finlandia, Dinamarca y Francia, junto con el portal del CCN-CERT en España y la CNIL francesa, retiraron temporalmente servicios o mostraron avisos de mantenimiento. Agencias de ciberseguridad como el NCSC británico y la NSA Cyber recomiendan desconectar o dejar fuera de línea los sistemas vulnerables cuando no sea posible aplicar las correcciones o mitigaciones necesarias de inmediato.

La primera ministra japonesa, Sanae Takaichi, declaró en redes sociales, según recoge Game Rant, que las empresas debían tomar medidas inmediatas mediante parches rápidos o un cierre temporal para proteger a los usuarios.