«Apagado progresivo»: cómo respondieron los gobiernos autonómicos españoles a la alerta de PHP de 2026
El CCN-CERT pidió apagar los servicios PHP expuestos no indispensables hasta actualizar: qué hicieron Castilla-La Mancha y Andalucía
Este artículo es educativo y no sustituye una auditoría formal de smart contracts, asesoría legal, asesoría financiera ni una revisión de seguridad específica del protocolo.
El 21 de octubre de 2026, el CCN-CERT pidió a las organizaciones actualizar de inmediato todas sus aplicaciones PHP y, mientras no pudieran, apagar los servicios expuestos que no fueran indispensables. Dos días después, la Junta de Comunidades de Castilla-La Mancha anunció el «apagado progresivo y temporal de los servicios afectados». En Andalucía, el Servicio Andaluz de Empleo suspendió durante una mañana el acceso a saempleo.es y a otras páginas corporativas como medida preventiva.
Ninguno de los dos organismos informó de un ataque contra sus sistemas. Lo que muestran es la distancia entre el día en que existe un parche y el día en que una organización puede aplicarlo y comprobarlo en muchos servicios. Para organizaciones con ramas antiguas de PHP, o que no pueden actualizar el mismo día del parche, un apagado escalonado con una restauración escalonada es una forma controlada de aplicar lo que recomendó el propio CCN-CERT: apagar lo que no sea indispensable hasta actualizarlo.
Alcance: este artículo se basa solo en lo que publicaron el CCN-CERT, la Junta de Comunidades de Castilla-La Mancha y el Servicio Andaluz de Empleo entre el 21 y el 23 de octubre de 2026. «Apagado» significa una medida preventiva, con las palabras de las propias instituciones. Ninguna de estas fuentes informa de una intrusión confirmada ni del porcentaje de servidores que se desconectaron.
Qué pasó, por fechas
- 21 de octubre de 2026: el proyecto PHP publica las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación. Indica que PHP 8.1 y anteriores ya no reciben actualizaciones.
- 21 de octubre: el CCN-CERT publica la alerta AL 11/26, con nivel de peligrosidad «CRÍTICO», y recomienda actualizar de inmediato todas las aplicaciones basadas en PHP.
- 22 de octubre: el Servicio Andaluz de Empleo (SAE) publica un aviso: el acceso a saempleo.es y a otras páginas corporativas se ha suspendido temporalmente. El aviso se actualiza después para indicar que el acceso se ha restablecido.
- 23 de octubre: la Junta de Castilla-La Mancha informa de que su Agencia de Transformación Digital está apagando los servicios afectados de forma progresiva y temporal, sin plazo concreto para la recuperación completa.
Qué pidió el CCN-CERT
La alerta empieza con dos frases: «El CCN-CERT recomienda a todas las organizaciones actualizar inmediatamente todas las aplicaciones basadas en PHP. Hasta que se realice la actualización, los administradores deben apagar los servicios expuestos cuyo uso no sea indispensable.»
En sus recomendaciones añade una variante más suave para el mismo caso: cuando no sea posible aplicar los parches de forma inmediata, las organizaciones «deberían aislar las aplicaciones conectadas a Internet cuyo uso no sea indispensable hasta que esté disponible la solución». El primer paso que enumera es identificar todas las aplicaciones basadas en PHP.
Hay dos detalles que importan a quien opera sistemas. La instrucción es selectiva: afecta a servicios expuestos que no son indispensables, así que alguien tiene que decidir cuáles son. Y la alerta, tal como está publicada, cita los identificadores como «CVE-2026-109618 y CVE-2026-109618», el mismo número dos veces. El aviso del proyecto PHP enumera dos, CVE-2026-109618 y CVE-2026-109619, así que los equipos que crucen escáneres o tickets con la alerta deberían comprobar los identificadores en la fuente.
Castilla-La Mancha: un apagado progresivo y temporal
La nota del Gobierno regional del 23 de octubre dice que la Agencia de Transformación Digital «está procediendo al apagado progresivo y temporal de los servicios afectados para reestablecerlos lo antes posible». Lo presenta como una medida de contingencia que sigue la recomendación del CCN-CERT, adoptada para evitar la exposición de los servicios mientras se actualizan las aplicaciones afectadas.
La nota también explica cómo volverán los servicios: «El restablecimiento de los sistemas se llevará a cabo de forma progresiva, una vez realizadas las comprobaciones necesarias». Y añade que «no se ha determinado un plazo concreto para la recuperación completa».
Es explícita sobre el alcance: «El problema no es específico de la Junta de Comunidades, sino que puede afectar tanto a organismos públicos como a entidades privadas a nivel mundial». La Agencia recomienda además al sector privado que adopte las mismas medidas. La nota no dice qué sistemas ni qué versiones de PHP usa la Junta.
Andalucía: el portal de empleo durante una mañana
El aviso del SAE, fechado el 22 de octubre, se titula «SAE informa: el acceso a la web saempleo.es y otras páginas corporativas se ha suspendido temporalmente». Describe el paso como «medidas preventivas en respuesta al aviso de incidencias sobre los sistemas php detectados a nivel mundial».
Tiene dos rasgos que lo convierten en un patrón útil. La suspensión fue parcial: el aviso indica que las áreas privadas de personas y empresas, la cita previa y Gescontrat@ seguían accesibles mediante enlaces directos, y que las personas podían usar también la app y los puntos de empleo. Y fue breve: el aviso actualizado dice que el acceso quedó suspendido durante la mañana y que se ha restablecido el acceso a los servicios telemáticos a través de saempleo.es.
Lo que «progresivo» dice de la capacidad de parcheo
Un apagado progresivo reconoce, en términos operativos, que una organización no puede actualizarlo todo a la vez. No es un fallo de una administración concreta. Un gobierno autonómico mantiene muchos portales y aplicaciones, a menudo construidos por proveedores distintos sobre pilas distintas, y en cada uno hay que identificar el runtime de PHP, actualizarlo, probarlo y comprobarlo antes de volver a ponerlo en línea.
Las ramas con soporte añaden una segunda restricción. Las versiones corregidas cubren de PHP 8.2 a 8.5. Un servicio que siga en 8.1 o anterior no recibe una versión corregida: el proyecto PHP indica que esas ramas ya no reciben actualizaciones y solo ofrece backports mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quien compila desde el código fuente. Si no, necesita un proveedor con correcciones portadas o una migración a una rama con soporte. Las políticas de plataforma publicadas muestran cómo lo sigue la informática autonómica. El documento de plataforma tecnológica de la agencia gallega AMTEGA (versión 02.12, junio de 2026) clasifica PHP 8.1 y anteriores como «Obsoleto», indica 8.2 como versión corporativa actual con soporte de seguridad hasta diciembre de 2026 y sitúa 8.5 en su hoja de ruta para el segundo o tercer trimestre de 2026. Ese documento es anterior a esta alerta y no dice nada de la respuesta de la Xunta; no hemos encontrado ninguna fuente sobre si Galicia apagó servicios.
El coste lo paga la ciudadanía que no puede acceder a un servicio. El caso del SAE muestra cómo reducirlo: mantener accesibles por otras vías los trámites que la gente necesita, decirlo en el aviso y restaurar la web pública en cuanto termine la comprobación.
Procedimiento para un apagado controlado
- Mantén un inventario de cada runtime de PHP, también el que va dentro de productos de proveedores, con su rama y su responsable. El primer paso del CCN-CERT fue identificar todas las aplicaciones basadas en PHP.
- Clasifica de antemano los servicios como indispensables o no, para aplicar el criterio del CCN-CERT en minutos y no debatirlo en plena alerta.
- Para los servicios que deben seguir en marcha, planifica antes de necesitarlo su aislamiento de Internet, la alternativa que da el CCN-CERT.
- Prepara la plantilla del aviso público: qué se suspende, por qué, qué canales alternativos funcionan y dónde se publicarán novedades. El aviso del SAE es un modelo compacto.
- Apaga en un orden definido y registra cada servicio con la hora en que quedó fuera de línea.
- Antes de restaurar, comprueba la versión de PHP que ejecuta de verdad el servicio en producción. Restaura por fases, como describe la nota de Castilla-La Mancha, y registra la hora en que vuelve cada servicio.
- Después, compara las dos horas de cada servicio. Esa diferencia es tu ritmo real de parcheo.
Lectura relacionada
Lo que este artículo no afirma
- Ningún ataque. Ninguna de las tres fuentes dice que la Junta de Castilla-La Mancha, el SAE ni ningún otro organismo citado sufriera un ataque o una intrusión.
- Ningún porcentaje. Ninguna fuente oficial da la proporción de servidores o webs públicas que se desconectaron en España, así que aquí no se da ninguna.
- Ningún detalle de la pila. La nota de Castilla-La Mancha y el aviso del SAE no dicen qué versiones de PHP usan esos organismos.
- Ningún juicio sobre los organismos citados. Apagar los servicios expuestos no indispensables fue el paso que recomendó el CCN-CERT.
Preguntas para esta semana
- ¿Qué servicios públicos nuestros usan PHP, también dentro de productos que compramos, y en qué rama?
- ¿Cuáles hemos clasificado como indispensables, y quién lo aprobó?
- Si tuviéramos que apagarlos mañana, ¿qué diría el aviso a los usuarios y qué canales alternativos funcionarían?
- ¿Cómo demostraríamos, antes de restaurar, que cada servicio ejecuta una versión corregida?
Cierre
La alerta del CCN-CERT dio a las organizaciones españolas dos opciones: actualizar ya o apagar lo que no sea indispensable hasta poder hacerlo. Castilla-La Mancha y el SAE eligieron la segunda, por fases y en público. La pregunta útil es cuántas horas necesitaría tu organización para que la primera fuera posible.
Si quieres hablar de cómo funcionan el ritmo de parcheo y los apagados controlados en tus sistemas, la página de contacto está abierta. En el mensaje, menciona este artículo y el sistema en el que estás pensando, sin credenciales ni detalles operativos confidenciales.
Registro de fuentes
Fuentes consultadas el 25 de octubre de 2026. Las citas se reproducen tal como aparecen en los documentos publicados.
- CCN-CERT: CCN-CERT AL 11/26 Actualización inmediata de vulnerabilidad crítica en PHP (21 de octubre de 2026)
- Junta de Castilla-La Mancha: El Gobierno regional activa las medidas necesarias para proteger los portales web de la Junta (23 de octubre de 2026)
- Servicio Andaluz de Empleo: SAE informa, acceso a saempleo.es suspendido temporalmente (22 de octubre de 2026, actualizado)
- PHP: archivo de noticias de 2026, aviso del 21 de octubre de 2026
- AMTEGA: Plataforma tecnológica de sistemas, versión 02.12 (PDF, junio de 2026)
¿Necesitas aplicar esto a tu lanzamiento o workflow?
Solicita una revisión técnica y mapeamos el primer paso seguro.
