Dos fallos críticos en PHP: Bélgica apaga webs oficiales y cae hasta su portal de ciberseguridad

El servicio de ciberseguridad de la Unión Europea (CERT-EU) emitió este miércoles una alerta por dos vulnerabilidades consideradas “críticas” en PHP, un lenguaje usado para desarrollar y mantener páginas web y aplicaciones. Según la advertencia, los fallos podrían permitir a ciberdelincuentes acceder de forma remota a los servidores de las páginas afectadas, tomar su control o robar información de sus usuarios.

La medida comenzó en Flandes: el ministro-presidente Matthias Diependaele anunció en la red social X que ordenó retirar de forma temporal todas las webs oficiales del Gobierno regional que funcionan con ese lenguaje. Diependaele justificó la decisión con una frase entrecomillada: “La continuidad y la seguridad de los servicios digitales para nuestros ciudadanos son nuestra prioridad absoluta”. Prometió publicar cuanto antes la lista de sitios y servicios afectados; entre ellos ya figura el portal del Parlamento flamenco.

La desconexión también alcanzó al Gobierno federal: las webs de los servicios públicos de Asuntos Exteriores, Finanzas y Empleo quedaron inaccesibles durante la jornada y sin una previsión de cuándo volverán. Entre las páginas caídas estuvo además la del Centro para la Ciberseguridad de Bélgica (CCB), el organismo que coordina la respuesta a este tipo de amenazas.

El CCB precisó que, por ahora, no tiene constancia de incidentes reales en Bélgica. Su portavoz, Katrien Eggers, explicó a la agencia Belga que recomendaron instalar cuanto antes el parche que los desarrolladores de PHP publicaron poco después de las 16.00 hora local, y aconsejaron a quienes no puedan hacerlo de inmediato que desconecten sus webs.

En el sector de los medios se apagaron varias webs del grupo DPG Media, la de la radiotelevisión pública flamenca VRT y las de las revistas de Roularta, como Le Vif y Trends Tendances. Las familias de Flandes se encontraron además con Smartschool, la plataforma que usan los colegios para comunicarse con padres y alumnos, sin servicio durante toda la jornada.

Dos hospitales de Amberes, el AZ Monica y el universitario UZA, retiraron también sus páginas, mientras que las de los centros de Valonia y Bruselas seguían accesibles; el banco vdk bank hizo lo propio con su web corporativa, aunque aseguró que la banca en línea sigue operativa tanto para particulares como para empresas. En la vecina Países Bajos, la desconexión preventiva afectó al Parlamento, al portal gubernamental MijnOverheid y a DigiD, el sistema de identificación digital con el que los ciudadanos acceden a servicios públicos como los de la administración tributaria o la sanidad.