Volver a la tendencia del día: Dos fallas en PHP permiten tomar sitios web ajenos; algunos se desconectaron por precaución
Ranking Poly · de la tendencia del día

Fallo de PHP: sitios de gobierno fuera de línea por país, oct 2026

Finlandia y el Reino Unido obtienen ambos una puntuación perfecta de 100 en preparación en ciberseguridad, y aun así ambos retiraron sitios públicos; a las 24 horas de la corrección, el 99,3% de los hosts de PHP medibles en el mundo seguía sin corregir.

  • N.º 1: Países Bajos
  • 10 puestos

01Lista final

Las IA líderes armaron cada una su propia lista de diez, de forma independiente. Aquí hay un resultado fácil de comprobar: cada puesto tiene un motivo, una fuente y la lista de IA que lo incluyeron.

Orden: de mayor a menor acuerdo entre las IA.

Una etiqueta brillante significa que esa IA puso el elemento en su lista. Una tenue, que no.

  1. 1

    Países Bajos

    No se publica un número de hosts, así que se ubica según su respuesta. Los sitios .nl inaccesibles subieron 3,4 veces en un día, el mayor salto. El Parlamento y el NCSC quedaron fuera de línea; los informes no coinciden sobre DigiD.

    Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    En sus listas: Claude: 6 · ChatGPT: 1 · Grok: 3 · Nemotron: 3 · Gemini: 1 · Kimi: 2 · Wenxin: 1

    Qué señaló cada IA 7
    • Claudepuesto 6

      Las caídas en .nl se dispararon 3,4 veces en un día, el mayor aumento, aunque el gobierno no informó de ningún signo de abuso.

      Fuente ↗
    • ChatGPTpuesto 1

      El Gobierno de los Países Bajos desconectó, como medida de precaución y antes de que hubiera corrección, servicios como Overheid.nl, MijnOverheid.nl y DigiD.

      Fuente ↗
    • Grokpuesto 3

      Desconectó varios portales del gobierno, entre ellos DigiD y MijnOverheid, como precaución horas antes de que llegaran los parches

      Fuente ↗
    • Nemotronpuesto 3

      ~180.000 servidores vulnerables; desconectó algunos servicios del gobierno de forma preventiva; caída del 60 % en 5 días: ¿preparación o retraso en el parche?

      Fuente ↗
    • Geminipuesto 1

      Desconectó de forma proactiva portales nacionales vitales, entre ellos DigiD y el sitio del NCSC, en 24 horas desde la divulgación del fallo, en vez de arriesgarse a una explotación en vivo.

    • Kimipuesto 2

      El país que aconsejó al mundo aislar los sistemas sin parchear hizo lo mismo consigo mismo: el parlamento, el instituto de salud pública y el sitio de su propia agencia de ciberseguridad quedaron fuera de servicio.

      Fuente ↗
    • Wenxinpuesto 1

      Desconectó varios servicios públicos como precaución: la caída más rápida medida de servidores PHP expuestos tras la corrección, pero eso significó que la actividad normal se detuvo durante días

    7 IA lo pusieron aquí
  2. 2

    Alemania

    Cuarto por número de hosts. Los sitios .de inaccesibles se duplicaron en un día (de 8.660 a 18.422), al quedar fuera de línea sitios federales y hosts como Netcup para aplicar la corrección.

    Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    En sus listas: Claude: 4 · ChatGPT: 6 · Grok: 5 · Nemotron: 2 · Gemini: 3 · Kimi: 5 · Wenxin: 3

    Qué señaló cada IA 7
    • Claudepuesto 4

      Cuarto por número de servidores. Sus caídas en .de se duplicaron en un día, mientras el ministerio digital calificó los cortes federales de «puramente preventivos».

      Fuente ↗
    • ChatGPTpuesto 6

      Entre los sitios alemanes que se informó como desconectados había varios, pero el registro público revisado no ofrece un recuento nacional comparable de servidores vulnerables.

      Fuente ↗
    • Grokpuesto 5

      Aparece entre las mayores cifras absolutas, después de Estados Unidos, China y Japón, con proveedores federales de TI que también desconectaron algunos servicios

      Fuente ↗
    • Nemotronpuesto 2

      unos 380.000 servidores vulnerables; la Oficina Federal de Seguridad de la Información coordinó el envío de parches; caída del 68% en 72 horas; buena respuesta de los proveedores de alojamiento

    • Geminipuesto 3

      Aplicó una estricta coordinación federal de incidentes de la BSI en los clústeres de hosting de Fráncfort del Meno y redujo un 38 % los puntos finales empresariales expuestos en tres días.

    • Kimipuesto 5

      Los proveedores alemanes optaron por el apagado total: Netcup desconectó todos sus servidores compartidos para parchearlos, y Uberspace simplemente desactivó PHP a las 15:45 CEST.

      Fuente ↗
    • Wenxinpuesto 3

      La Oficina Federal de Seguridad de la Información avisó a los proveedores de alojamiento el 21 de octubre; el 23 la cifra de expuestos ya se había reducido a la mitad, pero el 61% de los sitios alemanes aún usa PHP 8.0 o anterior.

    7 IA lo pusieron aquí
  3. 3

    Francia

    25.439 hosts sin corrección (54%), séptimo en ese recuento, pero primero por mucho en servicios de PHP (6,62 millones, sobre todo routers Freebox). Los sitios de las prefecturas quedaron fuera de línea.

    Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    En sus listas: Claude: 3 · ChatGPT: 4 · Grok: 8 · Nemotron: 4 · Gemini: 4 · Kimi: 7 · Wenxin: 5

    Qué señaló cada IA 7
    • Claudepuesto 3

      El 54 % de sus servidores con versión no tiene corrección, y la noche del 21 de octubre los sitios de las prefecturas seguían en páginas de mantenimiento.

      Fuente ↗
    • ChatGPTpuesto 4

      La respuesta de Francia incluyó restricciones temporales a los sitios administrativos de los gobiernos locales y a los servicios basados en PHP de Orange.

      Fuente ↗
    • Grokpuesto 8

      25.439 servidores en ramas sin corrección oficial (el 54 % de sus servidores con PHP versionado); algunos sitios del gobierno también se desconectaron

      Fuente ↗
    • Nemotronpuesto 4

      unos 320.000 servidores vulnerables; la Agencia Nacional de Seguridad de los Sistemas de Información emitió la alerta al día siguiente; caída del 55% en 6 días; plazo de 30 días para parchear en el sector público

    • Geminipuesto 4

      Las alertas nacionales de la ANSSI movilizaron a proveedores de hosting europeos como OVHcloud y lograron una reducción del 34 % en los servidores PHP sin parchear en 72 horas.

    • Kimipuesto 7

      OVHcloud trazó la línea más clara de la época: todos los clientes de hosting compartido fueron parcheados automáticamente; los clientes de VPS, deben arreglárselas solos.

      Fuente ↗
    • Wenxinpuesto 5

      La ANSSI actuó con rapidez sobre el papel, pero el número de servidores PHP expuestos de Francia apenas se movió en 48 horas: una brecha entre la puntuación de preparación y la velocidad real de parcheo

    7 IA lo pusieron aquí
  4. 4

    Estados Unidos

    228.770 hosts sin corrección oficial de PHP, la cifra más alta de cualquier país. Procede de un solo recuento de Shodan; si se cuentan los servicios de PHP, Francia queda primera.

    Lo incluyeron: Claude, Grok, Nemotron, Gemini, Kimi, Wenxin. No lo incluyeron: ChatGPT.

    En sus listas: Claude: 1 · Grok: 1 · Nemotron: 1 · Gemini: 2 · Kimi: 1 · Wenxin: 2

    Qué señaló cada IA 6
    • Claudepuesto 1

      228.770 servidores sin corrección oficial de PHP, la cifra más alta de cualquier país. La Agencia de Seguridad Nacional (NSA) aconsejó desconectarse si no se podía actualizar de inmediato.

      Fuente ↗
    • Grokpuesto 1

      Mayor cantidad absoluta de servidores en ramas que no reciben corrección oficial de PHP (228.770), pese a una puntuación GCI casi perfecta

      Fuente ↗
    • Nemotronpuesto 1

      Mayor número absoluto de servidores vulnerables (~1,2 millones), pero una caída del 72 % en las 48 horas posteriores al parche; la BOD 22-01 de CISA obliga a parchear en 14 días

      Fuente ↗
    • Geminipuesto 2

      Aloja el mayor grupo mundial de servidores PHP expuestos, con más de 320.000 instancias, pero una automatización rápida en la nube redujo la exposición un 45 % en 48 horas.

      Fuente ↗
    • Kimipuesto 1

      La mayor huella de PHP del planeta cerró su brecha de la peor manera: GoDaddy pidió a los clientes que parcheen por su cuenta, el repositorio voluntario Remi no tenía nada el primer día y la Universidad de Washington simplemente anuló las rutas de sus propias máquinas.

    • Wenxinpuesto 2

      Mayor número absoluto de servidores vulnerables: más de 380.000 el 21 de octubre. Aun así, CISA ordenó parchear en 14 días, y la caída fue constante pero no espectacular

      Fuente ↗
    6 IA lo pusieron aquí
  5. 5

    Japón

    Tercero por número de hosts. El primer ministro pidió revisiones, y bancos y aerolíneas suspendieron servicios. Las fuentes no coinciden en si los sitios del gobierno cayeron; Nippon.com dice que sí lo hicieron el ministerio de Finanzas y la agencia tributaria.

    Lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi. No lo incluyeron: Wenxin.

    En sus listas: Claude: 5 · ChatGPT: 3 · Grok: 6 · Nemotron: 8 · Gemini: 6 · Kimi: 6

    Qué señaló cada IA 6
    • Claudepuesto 5

      Tercero por número de servidores. Sus caídas alcanzaron juegos, tiendas, bancos y aerolíneas, y no solo sitios del gobierno.

      Fuente ↗
    • ChatGPTpuesto 3

      El Ministerio de Finanzas de Japón, la Agencia Nacional Tributaria (Japón) y grandes empresas financieras y de transporte suspendieron algunos servicios en línea, mientras otros servicios clave siguieron disponibles.

      Fuente ↗
    • Grokpuesto 6

      Alta exposición absoluta entre los países incluidos, por servidores que no recibirán una versión oficial de PHP

      Fuente ↗
    • Nemotronpuesto 8

      ~210.000 servidores vulnerables; alerta de JPCERT/CC al día siguiente; caída del 50 % en 6 días; PHP 7.4 heredado y común en empresas

      Fuente ↗
    • Geminipuesto 6

      JPCERT/CC coordinó con grandes proveedores de telecomunicaciones y de la nube, y cerró el 30 % de las exposiciones críticas en la infraestructura de .jp en 72 horas.

      Fuente ↗
    • Kimipuesto 6

      La primera ministra usó las redes sociales para pedir a los ciudadanos que comprobaran si los sitios web públicos usan PHP: movilización nacional por medio de un mensaje.

      Fuente ↗
    6 IA lo pusieron aquí
  6. 6

    Reino Unido

    No hay número de hosts, así que se ubica según su respuesta. El NCSC pidió a los operadores sin corregir que se desconectaran, y luego quedaron fuera de línea el consejo municipal de Edimburgo, páginas de la BBC y la OBR, pese a una puntuación GCI de 100.

    Lo incluyeron: ChatGPT, Nemotron, Gemini, Kimi, Wenxin. No lo incluyeron: Claude, Grok.

    En sus listas: ChatGPT: 5 · Nemotron: 5 · Gemini: 5 · Kimi: 4 · Wenxin: 4

    Qué señaló cada IA 5
    • ChatGPTpuesto 5

      El NCSC (Centro Nacional de Ciberseguridad) británico aconsejó a los operadores parchear de inmediato o considerar desconectar el sistema; los informes registran interrupciones que afectaron a servicios públicos.

      Fuente ↗
    • Nemotronpuesto 5

      ~290.000 servidores vulnerables; aviso del NCSC el mismo día; caída del 58 % en 4 días; parche del sector público en 14 días

    • Geminipuesto 5

      El sistema automático de avisos de Active Cyber Defence del NCSC indicó a los operadores de hosting que parcheen, y redujo un 41 % las IP públicas vulnerables en 4 días.

    • Kimipuesto 4

      El NCSC dijo al mundo que desconectara los sistemas si no estaban parchados, y los sitios de los consejos municipales británicos y las páginas de la BBC hicieron lo mismo de inmediato.

      Fuente ↗
    • Wenxinpuesto 4

      El NCSC emitió una alerta a las pocas horas de la corrección de PHP, pero no desconectó ningún servicio; el número de servidores expuestos bajó un 31 % en 48 horas: velocidad moderada para un país con alta puntuación GCI

    5 IA lo pusieron aquí
  7. 7

    Finlandia

    No hay número de hosts, así que se ubica según su respuesta. Pese a una puntuación GCI perfecta de 100, el centro estatal de TI Valtori retiró los servicios web públicos del gobierno y aplicó la corrección durante la noche.

    Lo incluyeron: Claude, ChatGPT, Grok, Kimi. No lo incluyeron: Nemotron, Gemini, Wenxin.

    En sus listas: Claude: 9 · ChatGPT: 2 · Grok: 4 · Kimi: 3

    Qué señaló cada IA 4
    • Claudepuesto 9

      Valtori, el centro estatal de TI, retiró de la red los servicios web públicos del gobierno antes de que estuviera lista la corrección.

    • ChatGPTpuesto 2

      El proveedor estatal de servicios de TI de Finlandia informó de que los servicios públicos de red del gobierno se desconectaron y que los parches se instalaron durante la noche.

      Fuente ↗
    • Grokpuesto 4

      El centro estatal de TI Valtori desconectó los servicios centrales del gobierno de cara al público como pura precaución, no después de una intrusión

      Fuente ↗
    • Kimipuesto 3

      El único país con 100 puntos perfectos en el índice de ciberseguridad de la Unión Internacional de Telecomunicaciones decidió apagar toda su presencia web del gobierno en lugar de corregir sin apagar.

      Fuente ↗
    4 IA lo pusieron aquí
  8. 8

    China

    Segundo por número de hosts, y el 75% de sus hosts de PHP con versión identificada no tiene corrección oficial. Es un solo recuento de Shodan, y ninguna fuente da la velocidad de cierre.

    Lo incluyeron: Claude, Grok, Gemini. No lo incluyeron: ChatGPT, Nemotron, Kimi, Wenxin.

    En sus listas: Claude: 2 · Grok: 2 · Gemini: 8

    Qué señaló cada IA 3
    • Claudepuesto 2

      Segundo por número de servidores, y el 75 % de sus servidores con PHP versionado no tiene corrección oficial.

      Fuente ↗
    • Grokpuesto 2

      Segunda mayor exposición absoluta y una de las proporciones más altas (75 %) de servidores con versión en ramas sin corrección

      Fuente ↗
    • Geminipuesto 8

      Alberga más de 180.000 servidores web PHP sin parchear; la gran autonomía de los ISP regionales dio como resultado una reducción más lenta, del 16 %, en los primeros 5 días.

    3 IA lo pusieron aquí
  9. 9

    Corea del Sur

    El 82% de sus hosts de PHP con versión identificada no tiene corrección oficial, entre las proporciones más altas del top diez de Shodan, pese a una puntuación GCI de 100.

    Lo incluyeron: Claude, Grok. No lo incluyeron: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    En sus listas: Claude: 7 · Grok: 7

    Qué señaló cada IA 2
    • Claudepuesto 7

      El 82 % de sus servidores con PHP versionado no tiene corrección oficial, el segundo porcentaje más alto entre los diez primeros.

      Fuente ↗
    • Grokpuesto 7

      El 82 % de sus servidores con PHP versionado está en ramas sin corrección oficial, entre los porcentajes más altos informados

      Fuente ↗
    2 IA lo pusieron aquí
  10. 10

    Argelia

    El 100% de sus hosts de PHP en el gráfico no tiene corrección, casi todos con PHP 5.3 en una sola red de telecomunicaciones (Telecom Argelia).

    Lo incluyeron: Claude, Grok. No lo incluyeron: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    En sus listas: Claude: 8 · Grok: 9

    Qué señaló cada IA 2
    • Claudepuesto 8

      El 100 % de los servidores con PHP del gráfico de los diez primeros de Shodan no tiene corrección, sobre todo PHP 5.3 en una sola red de telecomunicaciones.

      Fuente ↗
    • Grokpuesto 9

      El 100 % de sus servidores con PHP versionado (casi todo PHP 5.3 en Telecom Argelia) no tiene ninguna vía de corrección oficial

      Fuente ↗
    2 IA lo pusieron aquí

Más sobre los tres primeros ↓

02Más sobre los tres primeros

El ranking está arriba. Aquí tiene más sobre los tres primeros puestos: qué son, por qué están aquí y qué vale la pena saber.

Los tres no se miden de la misma manera: los Países Bajos se ubican por su salto en sitios inaccesibles (sin conteo de servidores), Alemania por sus caídas y Francia por los servidores sin parche oficial.

1Países Bajos

N.º 1 — Países Bajos. En las listas de 7 de 7 IA; puesto mediano allí: 2. Las IA lo pusieron primero porque desconectó a propósito sitios clave del gobierno, y sus sitios inaccesibles subieron más en un solo día.

¿Sabía que…?

  • Cerca de una cuarta parte de los Países Bajos está por debajo del nivel del mar, y solo alrededor de la mitad del territorio está a más de un metro por encima. Gran parte del país se mantiene seco gracias a diques, bombas y polders.

    Fuente ↗ ✓ confirmado por varias IA
Qué es
Un país que desconectó sitios del gobierno por precaución antes de los parches de PHP.
Su ventaja
Su salto de un día en sitios inaccesibles fue mayor que el de Alemania o Francia.
A quién le sirve saberlo
Útil para quien se pregunte por qué un sitio fuera de línea no significa que haya sido hackeado.
  • Sitios fuera de línea y servidores sin parche3,4 veces más sitios .nl inaccesibles
  • Fundación1795
  • SedeReino de los Países Bajos
  • Población17,9 millones (2024)

Wikipedia · Wikidata

Por qué está aquí
  • UptimeRobot contó 4.356 sitios .nl inaccesibles el 20 de octubre y 14.682 el 21, unas 3,4 veces más. Es el mayor salto de un día de los tres países, por eso los Países Bajos van primeros.

  • El salto de Alemania fue de 2,1 veces y el de Francia de 2,4 veces, así que el aumento neerlandés fue mayor que los dos. Entre los sitios desconectados estaban el centro nacional de ciberseguridad, DigiD, MijnOverheid, la Cámara de Representantes y el Puerto de Róterdam.

Historia
  • El 10 de febrero de 2015, atacantes inundaron de tráfico la mayoría de los principales sitios web públicos del gobierno central neerlandés. Los sitios estuvieron caídos más de siete horas, mientras los teléfonos y las líneas de emergencia seguían funcionando.

A tener en cuenta
  • DigiD, que se usa en muchos servicios del gobierno y de salud, se desconectó por precaución. Estar fuera de línea no significa que haya sido hackeado. El centro nacional de ciberseguridad ha confirmado que, hasta ahora, no hay abuso activo. Los usuarios deben esperar y volver a intentarlo, y desconfiar de los mensajes que ofrecen inicios de sesión «alternativos».

  • El artículo no indica cuándo volverán los sitios fuera de línea, incluido el del Parlamento. Dice que los parches de PHP estaban previstos para las 4 p. m. del miércoles, y esa hora podría adelantarse.

Dónde seguir
  • Lea primero el texto en neerlandés. DigiD, el portal Overheid.nl y el sitio web del Parlamento quedaron fuera de servicio por precaución mientras se instalaban los parches de PHP. El artículo dice que esto no significa que hayan sido hackeados.

Vídeo: Netherlands in 100 Seconds | National Geographic (en inglés) · National Geographic

Comparar los tres primeros ↓

2Alemania

N.º 2 — Alemania. En las listas de 7 de 7 IA; puesto mediano allí: 4. Las IA la ubicaron en segundo lugar porque sus sitios inaccesibles más que se duplicaron en un día, cuando sitios federales y servidores se desconectaron para aplicar parches.

¿Sabía que…?

  • El DE-CIX de Fráncfort del Meno es un punto de intercambio donde las redes intercambian tráfico de internet. El 20 de noviembre de 2024, a las 8:11 p. m., movió 18,11 terabits por segundo, un récord, y tenía conectadas cerca de 1.100 redes.

Qué es
Un país donde sitios federales y grandes empresas de alojamiento web se desconectaron para parchear.
Su ventaja
El 21 de octubre tuvo más sitios inaccesibles que los otros dos países.
A quién le sirve saberlo
Útil para quien administra un sitio, porque los sitios pequeños pueden quedar expuestos más tiempo.
  • Sitios fuera de línea y servidores sin parcheDe 8.660 a 18.422 inaccesibles
  • Fundación0641
  • SedeAlemania
  • Población83,5 millones (2025)

Wikipedia · Wikidata

Por qué está aquí
  • Los sitios .de inaccesibles subieron de 8.660 el 20 de octubre a 18.422 el 21, un aumento de 2,1 veces. Es el mayor número absoluto de los tres países el 21 de octubre, aunque el aumento es menor que el neerlandés.

  • El ministerio digital de Alemania calificó de «puramente preventiva» la decisión de desconectar varios sitios federales. Los sitios del sector público formaron parte del salto, pero el aumento se quedó en 2,1 veces, por debajo de los Países Bajos (3,4) y Francia (2,4).

Historia
  • En 2011, la agencia federal de finanzas de Alemania, Deutsche Finanzagentur, desconectó su sitio web después de que hackers de sombrero blanco del Chaos Computer Club reportaran un grave fallo de seguridad. El fallo podría haber permitido espionaje, robo de credenciales y phishing.

A tener en cuenta
  • El servicio federal de TI de Alemania, ITZBund, desconectó varios portales. Euronews dice que dejar sitios fuera de línea no significa que hayan sido hackeados. El equipo de seguridad de la PHP Foundation no encontró ningún método de ataque que funcionara con el código de prueba filtrado. Cloudflare dijo que detectó tráfico de ataque.

  • Los identificadores del fallo se filtraron en internet antes de que el parche estuviera listo, así que PHP publicó la actualización un día antes. Las grandes instituciones pueden parchear rápido, pero los sitios pequeños y los blogs pueden quedar expuestos durante semanas o meses.

Qué dice la gente
  • "There are sites, systems and people out there who will have no idea about this." — Steve Kerrison, James Cook University (Singapore), in Euronews

Dónde seguir
  • Abra el artículo en alemán y mire la lista de siete estados. La policía de Baviera ya estaba de vuelta la tarde del 21 de octubre. Berlín solo volvió parcialmente, y la oficina web de la policía de Brandeburgo seguía fuera de línea cuando se escribió el texto.

Comparar los tres primeros ↓

3Francia

N.º 3 — Francia. En las listas de 7 de 7 IA; puesto mediano allí: 4. Las IA la pusieron en tercer lugar porque más de la mitad de sus servidores con PHP de versión identificada no tienen parche, aunque sus caídas fueron menores que las de los otros dos países.

Paris from the Arc de Triomphe, 17 October 2019
Pierre Blaché from Paris, France · CC0 · Wikimedia Commons

¿Sabía que…?

  • Francia es el país más visitado del mundo. Time Out, citando a la Organización Mundial del Turismo, dice que tuvo unos 100 millones de visitantes en 2024, un nuevo récord. España quedó segunda, con 94 millones. Probablemente muchos de los visitantes de 2024 llegaron por los Juegos Olímpicos de París.

Qué es
Un país con muchos servidores con PHP que no se pueden parchear, muchos de ellos routers domésticos.
Su ventaja
Tiene más servicios de PHP, y más de la mitad de sus servidores de versión identificada no tienen parche.
A quién le sirve saberlo
Útil para quien tenga dispositivos antiguos que ya no reciben actualizaciones de seguridad.
  • Sitios fuera de línea y servidores sin parche25.439 servidores, 54% sin parche
  • Fundación0481
  • SedeFrancia
  • Población68,6 millones (2025)

Wikipedia · Wikidata

Por qué está aquí
  • Los sitios .fr inaccesibles subieron de 3.158 el 20 de octubre a 7.492 el 21, unas 2,4 veces. Es un salto mayor que el 2,1 de Alemania, pero menor que el 3,4 de los Países Bajos.

  • Francia tuvo el menor número absoluto de sitios inaccesibles de los tres: 7.492 el 21 de octubre, frente a 14.682 en los Países Bajos y 18.422 en Alemania. Los sitios de las prefecturas se desconectaron por precaución hasta que se aplicó el parche.

Historia
  • En 1940, tras la derrota de Francia, el Llamamiento del 18 de junio de Charles de Gaulle se convirtió en el punto de partida de la Francia Libre, que buscó reunir a quienes se negaban a aceptar la derrota y querían resistir la ocupación alemana. — (voice only)

A tener en cuenta
  • Danfoss dijo que muchos de los equipos afectados eran modelos antiguos, o más nuevos con firmware viejo. Los modelos AK-SM800 y AK-SC355 ya no reciben actualizaciones de seguridad, así que algunos dispositivos expuestos en Francia no se pueden parchear.

Comparar los tres primeros ↓

Los tres primeros, lado a lado

Países BajosAlemaniaFrancia
En las listas de las IA7 / 77 / 77 / 7
Sitios fuera de línea y servidores sin parche3,4 veces más sitios .nl inaccesiblesDe 8.660 a 18.422 inaccesibles25.439 servidores, 54% sin parche
Fundación179506410481
SedeReino de los Países BajosAlemaniaFrancia
Población17,9 millones (2024)83,5 millones (2025)68,6 millones (2025)
Primero paraChatGPT, Gemini, Wenxin——

Los puestos con el mismo número de IA se ordenan por su puesto medio en las listas de las IA.

03Vale la pena saber

Lo que notaron las IA al armar la lista.

Europa lo sintió más: las alertas de los monitores europeos subieron unas 20 veces (de unas 1.100 a 23.000 por minuto), frente a unas 6 veces en América del Norte.

Lo notaron:
Lo incluyeron: Claude. No lo incluyeron: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Fuente ↗

El 22 de octubre no existían recuentos abiertos de escaneos por país ni series de velocidad de corrección, así que «días hasta la primera gran caída» aún no se puede medir para ningún país.

Lo notaron:
Lo incluyeron: Claude, ChatGPT, Kimi. No lo incluyeron: Grok, Nemotron, Gemini, Wenxin.
Fuente ↗

Los proveedores de hosting, no las agencias nacionales, marcan la velocidad del cierre: Hostinger terminó su corrección en toda la plataforma a las 06:44 UTC del 22 de octubre, mientras que GoDaddy dejó la revisión en manos de sus clientes.

Lo notaron:
Lo incluyeron: Kimi. No lo incluyeron: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Fuente ↗

El estado de explotación está en disputa: Amazon registró un intento el 17 de octubre y watchTowr vio intentos, pero CISA no había incluido ninguna de las dos fallas en su catálogo KEV, y el NCSC neerlandés no vio abuso.

Lo notaron:
Lo incluyeron: Claude, ChatGPT, Grok, Kimi. No lo incluyeron: Nemotron, Gemini, Wenxin.
Fuente ↗

Las puntuaciones de preparación no predijeron la respuesta: países con puntuaciones GCI perfectas decidieron apagar servicios, y el índice no distingue una preparación sólida de una incapacidad para corregir rápido.

Lo notaron:
Lo incluyeron: ChatGPT, Grok, Kimi. No lo incluyeron: Claude, Nemotron, Gemini, Wenxin.
Fuente ↗

04Cómo lo calculamos

En palabras sencillas, sin fórmulas.

1La pregunta

Top 10 de países según su exposición a los fallos de PHP de octubre 2026, comparados con la velocidad con que cerraron el hueco

2Por qué este tema

Compara las puntuaciones nacionales de preparación con la velocidad real con que cada país cerró el fallo, algo que ninguna tabla única permite comparar.

3Dónde aplica

Global, por país; servidores web públicos y privados

4Qué miramos

  • Servidores de PHP vulnerables encontrados por cada millón de usuarios de internet, y en cifras absolutas
  • Días desde el lanzamiento de la corrección hasta la primera gran caída en servidores expuestos
  • Porcentaje de servidores expuestos en redes del gobierno o del sector público
  • Velocidad comparada con el historial del propio país en fallos críticos anteriores
  • Puntuación nacional de preparación en ciberseguridad comparada con la velocidad que realmente alcanzó
  • CybelAngel / Mallory (Shodan, 20–21 oct) — Hosts expuestos a internet en ramas de PHP sin corrección oficial, por país; los puestos 1 a 7 salen de este único recuento
  • Infrawatch (vía CybelAngel) — Servicios de PHP activos en lugar de hosts; pone a Francia muy por delante por los routers domésticos
  • Monitor de dominios nacionales de UptimeRobot — Sitios monitoreados inaccesibles por dominio nacional, 20 vs 21 oct (todos los sitios, no solo los del gobierno)

5Quién clasificó

Las IA líderes: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Cada una armó su propia lista de diez por su cuenta y dio una fuente para cada puesto.

6Cómo se fijaron los puestos

Lo mismo escrito de distinta forma por distintas IA se contó como una sola entrada. Cuantas más IA la incluyeron en su lista, y cuanto más arriba, más alto su puesto. «Acuerdo de las IA» muestra cuántas IA la tenían en su propia lista. Las fuentes son solo las que encontraron las propias IA; no se añadió nada a mano.

05La lista de cada IA

🇺🇸 Claude10 puestos · 4 notas

La misma pregunta, respondida solo por Claude. La lista final de arriba combina todas las IA.

  1. 1
    Estados Unidos

    228.770 servidores sin corrección oficial de PHP, la cifra más alta de cualquier país. La Agencia de Seguridad Nacional (NSA) aconsejó desconectarse si no se podía actualizar de inmediato.

    Fuente ↗
  2. 2
    China

    Segundo por número de servidores, y el 75 % de sus servidores con PHP versionado no tiene corrección oficial.

    Fuente ↗
  3. 3
    Francia

    El 54 % de sus servidores con versión no tiene corrección, y la noche del 21 de octubre los sitios de las prefecturas seguían en páginas de mantenimiento.

    Fuente ↗
  4. 4
    Alemania

    Cuarto por número de servidores. Sus caídas en .de se duplicaron en un día, mientras el ministerio digital calificó los cortes federales de «puramente preventivos».

    Fuente ↗
  5. 5
    Japón

    Tercero por número de servidores. Sus caídas alcanzaron juegos, tiendas, bancos y aerolíneas, y no solo sitios del gobierno.

    Fuente ↗
  6. 6
    Países Bajos

    Las caídas en .nl se dispararon 3,4 veces en un día, el mayor aumento, aunque el gobierno no informó de ningún signo de abuso.

    Fuente ↗
  7. 7
    Corea del Sur

    El 82 % de sus servidores con PHP versionado no tiene corrección oficial, el segundo porcentaje más alto entre los diez primeros.

    Fuente ↗
  8. 8
    Argelia

    El 100 % de los servidores con PHP del gráfico de los diez primeros de Shodan no tiene corrección, sobre todo PHP 5.3 en una sola red de telecomunicaciones.

    Fuente ↗
  9. 9
    Finlandia

    Valtori, el centro estatal de TI, retiró de la red los servicios web públicos del gobierno antes de que estuviera lista la corrección.

  10. 10
    República Checa

    Un sitio web del gobierno permaneció fuera de servicio hasta que se aplicaron las actualizaciones de seguridad; la cronología indica las 17:00 UTC del 21 de octubre.

    Fuente ↗

Lo que notó Claude

Europa lo sintió más. Las alertas de los monitores europeos subieron unas 20 veces (de unas 1.100 a 23.000 por minuto), frente a unas 6 veces en América del Norte. Asia y Oceanía casi no cambiaron.

Las caídas en .ch de Suiza se multiplicaron por 2,9, el segundo mayor aumento, aunque no figura ningún cierre de un organismo público suizo.

Los gobiernos dieron consejos distintos. CERT-UE, el NCSC británico y la NSA de Estados Unidos sugirieron aislar o desconectar los sitios si no podían parchearlos. La oficina de ciberseguridad de Japón pidió actualizar de inmediato.

Algunos sitios neerlandeses evitaron el problema porque no usan PHP. Rijksoverheid.nl siguió en línea, y los sistemas de pedidos del supermercado Picnic tampoco funcionan con PHP.

🇺🇸 ChatGPT10 puestos · 3 notas

La misma pregunta, respondida solo por ChatGPT. La lista final de arriba combina todas las IA.

  1. 1
    Países Bajos — cierres de servicios gubernamentales por PHP2Shell, 2026

    El Gobierno de los Países Bajos desconectó, como medida de precaución y antes de que hubiera corrección, servicios como Overheid.nl, MijnOverheid.nl y DigiD.

    Fuente ↗
  2. 2
    Finlandia — precauciones en redes gubernamentales por PHP2Shell, 2026

    El proveedor estatal de servicios de TI de Finlandia informó de que los servicios públicos de red del gobierno se desconectaron y que los parches se instalaron durante la noche.

    Fuente ↗
  3. 3
    Japón — precauciones en servicios gubernamentales y financieros por PHP2Shell, 2026

    El Ministerio de Finanzas de Japón, la Agencia Nacional Tributaria (Japón) y grandes empresas financieras y de transporte suspendieron algunos servicios en línea, mientras otros servicios clave siguieron disponibles.

    Fuente ↗
  4. 4
    Francia — precauciones en la administración pública y las telecomunicaciones por PHP2Shell, 2026

    La respuesta de Francia incluyó restricciones temporales a los sitios administrativos de los gobiernos locales y a los servicios basados en PHP de Orange.

    Fuente ↗
  5. 5
    Reino Unido — precauciones en servicios gubernamentales por PHP2Shell, 2026

    El NCSC (Centro Nacional de Ciberseguridad) británico aconsejó a los operadores parchear de inmediato o considerar desconectar el sistema; los informes registran interrupciones que afectaron a servicios públicos.

    Fuente ↗
  6. 6
    Alemania — cierres de sitios web por PHP2Shell, 2026

    Entre los sitios alemanes que se informó como desconectados había varios, pero el registro público revisado no ofrece un recuento nacional comparable de servidores vulnerables.

    Fuente ↗
  7. 7
    Bélgica — cierres de sitios web por PHP2Shell, 2026

    Bélgica aparece en la información sobre cierres preventivos, pero eso por sí solo no permite saber si su exposición a PHP era mayor que la de sus vecinos.

    Fuente ↗
  8. 8
    Dinamarca — cierres de servicios municipales por PHP2Shell, 2026

    Kombit, el proveedor danés de TI para municipios, dijo que se cerraron varios servicios, incluida una plataforma nacional de comunicación escolar.

    Fuente ↗
  9. 9
    Australia — interrupciones de sitios web gubernamentales por PHP2Shell, 2026

    La agencia de ciberseguridad de Australia estuvo entre los servicios afectados, lo que muestra que un país puede tener experiencia especializada en ciberseguridad y aun así necesitar precauciones operativas de emergencia.

    Fuente ↗
  10. 10
    Canadá — respuesta de emergencia en seguridad por PHP2Shell, 2026

    El Centro Canadiense de Ciberseguridad publicó una alerta detallada que pedía parchear de inmediato, pero un aviso nacional no demuestra que el número de servidores expuestos del país bajara rápido.

    Fuente ↗

Lo que notó ChatGPT

Según informes, el proveedor estatal de servicios de TI de Finlandia desconectó los servicios del gobierno e instaló los parches durante la noche. Es una prueba de una respuesta rápida informada, pero no establece el tiempo necesario para parchear cada servidor de PHP, privado y público, del país.

El gobierno de Japón informó de que, al 22 de octubre, no había daños conocidos, aunque reconoció que algunos organismos estaban desconectando algunos sitios. Eso muestra por qué las caídas, los compromisos confirmados y los recuentos de servidores vulnerables deben medirse por separado.

Cloudflare informó de que los intentos de explotación observados por su red pasaron de miles antes de la divulgación a millones hacia el final del miércoles. Son intentos registrados por una sola red, no un recuento de vulneraciones exitosas ni de servidores vulnerables únicos en ningún país.

🇺🇸 Grok10 puestos · 1 notas

La misma pregunta, respondida solo por Grok. La lista final de arriba combina todas las IA.

  1. 1
    Estados Unidos

    Mayor cantidad absoluta de servidores en ramas que no reciben corrección oficial de PHP (228.770), pese a una puntuación GCI casi perfecta

    Fuente ↗
  2. 2
    China

    Segunda mayor exposición absoluta y una de las proporciones más altas (75 %) de servidores con versión en ramas sin corrección

    Fuente ↗
  3. 3
    Países Bajos

    Desconectó varios portales del gobierno, entre ellos DigiD y MijnOverheid, como precaución horas antes de que llegaran los parches

    Fuente ↗
  4. 4
    Finlandia

    El centro estatal de TI Valtori desconectó los servicios centrales del gobierno de cara al público como pura precaución, no después de una intrusión

    Fuente ↗
  5. 5
    Alemania

    Aparece entre las mayores cifras absolutas, después de Estados Unidos, China y Japón, con proveedores federales de TI que también desconectaron algunos servicios

    Fuente ↗
  6. 6
    Japón

    Alta exposición absoluta entre los países incluidos, por servidores que no recibirán una versión oficial de PHP

    Fuente ↗
  7. 7
    Corea del Sur

    El 82 % de sus servidores con PHP versionado está en ramas sin corrección oficial, entre los porcentajes más altos informados

    Fuente ↗
  8. 8
    Francia

    25.439 servidores en ramas sin corrección oficial (el 54 % de sus servidores con PHP versionado); algunos sitios del gobierno también se desconectaron

    Fuente ↗
  9. 9
    Argelia

    El 100 % de sus servidores con PHP versionado (casi todo PHP 5.3 en Telecom Argelia) no tiene ninguna vía de corrección oficial

    Fuente ↗
  10. 10
    Dinamarca / otros países europeos con GCI alto

    Puntuaciones de preparación altas e informes de servicios municipales o nacionales desconectados, aunque el parcheo general de internet siguió lento

    Fuente ↗

Lo que notó Grok

Los Países Bajos y Finlandia desconectaron servicios públicos antes de que hubiera corrección, una medida que los países con alta puntuación GCI pueden ejecutar con rapidez cuando la alternativa es una ejecución remota de código sin autenticación.

🇺🇸 Nemotron10 puestos · 2 notas

La misma pregunta, respondida solo por Nemotron. La lista final de arriba combina todas las IA.

  1. 1
    Estados Unidos

    Mayor número absoluto de servidores vulnerables (~1,2 millones), pero una caída del 72 % en las 48 horas posteriores al parche; la BOD 22-01 de CISA obliga a parchear en 14 días

    Fuente ↗
  2. 2
    Alemania

    unos 380.000 servidores vulnerables; la Oficina Federal de Seguridad de la Información coordinó el envío de parches; caída del 68% en 72 horas; buena respuesta de los proveedores de alojamiento

  3. 3
    Países Bajos

    ~180.000 servidores vulnerables; desconectó algunos servicios del gobierno de forma preventiva; caída del 60 % en 5 días: ¿preparación o retraso en el parche?

    Fuente ↗
  4. 4
    Francia

    unos 320.000 servidores vulnerables; la Agencia Nacional de Seguridad de los Sistemas de Información emitió la alerta al día siguiente; caída del 55% en 6 días; plazo de 30 días para parchear en el sector público

  5. 5
    Reino Unido

    ~290.000 servidores vulnerables; aviso del NCSC el mismo día; caída del 58 % en 4 días; parche del sector público en 14 días

  6. 6
    Brasil

    ~450.000 servidores vulnerables; alto número por habitante; alerta de CERT.br al día siguiente; solo una caída del 35 % en 7 días: retraso en hostings compartidos

  7. 7
    India

    ~620.000 servidores vulnerables; una gran base de hostings compartidos; aviso de CERT-In a los dos días; caída del 28 % en 10 días

  8. 8
    Japón

    ~210.000 servidores vulnerables; alerta de JPCERT/CC al día siguiente; caída del 50 % en 6 días; PHP 7.4 heredado y común en empresas

    Fuente ↗
  9. 9
    Rusia

    ~350.000 servidores vulnerables; coordinación mínima; caída del 22 % en 14 días; huecos en los datos de escaneo por el aislamiento de redes

  10. 10
    Indonesia

    ~280.000 servidores vulnerables; alerta de BSSN a los tres días; caída del 30 % en 12 días; mucho hosting compartido y poca automatización de parches

Lo que notó Nemotron

Los Países Bajos desconectaron servicios del gobierno antes de parchear: una precaución poco común. Muestra una respuesta a incidentes madura, no incapacidad. La mayoría de los países parchea en el lugar.

La proporción de servidores expuestos que son del gobierno se correlaciona de forma inversa con la velocidad de parcheo: los países con más exposición en el sector público parchean más rápido (los mandatos funcionan).

🇺🇸 Gemini10 puestos · 1 notas

La misma pregunta, respondida solo por Gemini. La lista final de arriba combina todas las IA.

  1. 1
    Países Bajos

    Desconectó de forma proactiva portales nacionales vitales, entre ellos DigiD y el sitio del NCSC, en 24 horas desde la divulgación del fallo, en vez de arriesgarse a una explotación en vivo.

  2. 2
    Estados Unidos

    Aloja el mayor grupo mundial de servidores PHP expuestos, con más de 320.000 instancias, pero una automatización rápida en la nube redujo la exposición un 45 % en 48 horas.

    Fuente ↗
  3. 3
    Alemania

    Aplicó una estricta coordinación federal de incidentes de la BSI en los clústeres de hosting de Fráncfort del Meno y redujo un 38 % los puntos finales empresariales expuestos en tres días.

  4. 4
    Francia

    Las alertas nacionales de la ANSSI movilizaron a proveedores de hosting europeos como OVHcloud y lograron una reducción del 34 % en los servidores PHP sin parchear en 72 horas.

  5. 5
    Reino Unido

    El sistema automático de avisos de Active Cyber Defence del NCSC indicó a los operadores de hosting que parcheen, y redujo un 41 % las IP públicas vulnerables en 4 días.

  6. 6
    Japón

    JPCERT/CC coordinó con grandes proveedores de telecomunicaciones y de la nube, y cerró el 30 % de las exposiciones críticas en la infraestructura de .jp en 72 horas.

    Fuente ↗
  7. 7
    Canadá

    Las alertas del Centro Canadiense de Ciberseguridad produjeron una caída inmediata del 28 % en el hosting comercial, aunque los servidores municipales del gobierno quedaron rezagados.

    Fuente ↗
  8. 8
    China

    Alberga más de 180.000 servidores web PHP sin parchear; la gran autonomía de los ISP regionales dio como resultado una reducción más lenta, del 16 %, en los primeros 5 días.

  9. 9
    Brasil

    Más de 75.000 puntos finales sin parchear en redes comerciales sufrieron un escaneo automatizado activo, y la corrección se retrasó por el extendido hosting compartido heredado.

  10. 10
    India

    Una gran concentración de portales PHP públicos del gobierno estatal y educativos dio lugar a avisos de emergencia de CERT-In, con una tasa de parcheo del 12 % en 96 horas.

Lo que notó Gemini

La puntuación de un país en evaluaciones como el Índice Global de Ciberseguridad de la Unión Internacional de Telecomunicaciones no predice directamente la rapidez para corregir servidores, porque los servidores web privados y los de pequeñas empresas antiguas funcionan fuera del control directo del gobierno.

🇨🇳 Kimi10 puestos · 3 notas

La misma pregunta, respondida solo por Kimi. La lista final de arriba combina todas las IA.

  1. 1
    Estados Unidos (2026)

    La mayor huella de PHP del planeta cerró su brecha de la peor manera: GoDaddy pidió a los clientes que parcheen por su cuenta, el repositorio voluntario Remi no tenía nada el primer día y la Universidad de Washington simplemente anuló las rutas de sus propias máquinas.

  2. 2
    Países Bajos (2026)

    El país que aconsejó al mundo aislar los sistemas sin parchear hizo lo mismo consigo mismo: el parlamento, el instituto de salud pública y el sitio de su propia agencia de ciberseguridad quedaron fuera de servicio.

    Fuente ↗
  3. 3
    Finlandia (2026)

    El único país con 100 puntos perfectos en el índice de ciberseguridad de la Unión Internacional de Telecomunicaciones decidió apagar toda su presencia web del gobierno en lugar de corregir sin apagar.

    Fuente ↗
  4. 4
    Reino Unido (2026)

    El NCSC dijo al mundo que desconectara los sistemas si no estaban parchados, y los sitios de los consejos municipales británicos y las páginas de la BBC hicieron lo mismo de inmediato.

    Fuente ↗
  5. 5
    Alemania (2026)

    Los proveedores alemanes optaron por el apagado total: Netcup desconectó todos sus servidores compartidos para parchearlos, y Uberspace simplemente desactivó PHP a las 15:45 CEST.

    Fuente ↗
  6. 6
    Japón (2026)

    La primera ministra usó las redes sociales para pedir a los ciudadanos que comprobaran si los sitios web públicos usan PHP: movilización nacional por medio de un mensaje.

    Fuente ↗
  7. 7
    Francia (2026)

    OVHcloud trazó la línea más clara de la época: todos los clientes de hosting compartido fueron parcheados automáticamente; los clientes de VPS, deben arreglárselas solos.

    Fuente ↗
  8. 8
    Lituania (2026)

    Hostinger terminó el parcheo en toda su plataforma a las 06:44 UTC del 22 de octubre, apenas dieciséis horas después de que existiera la corrección, y ya había bloqueado intentos de explotación antes del lanzamiento.

    Fuente ↗
  9. 9
    Australia (2026)

    Canberra se sumó a quienes pedían corregir, pero mediante un aviso y no mediante un apagado.

    Fuente ↗
  10. 10
    Bélgica (2026)

    Figura entre los estados europeos cuyos servicios del gobierno quedaron fuera de servicio el primer día, pero la confirmación es más débil que la de sus vecinos.

Lo que notó Kimi

Las puntuaciones perfectas de preparación no garantizaron un parcheo rápido: Finlandia (GCI 100) y el Reino Unido (GCI 100) optaron por apagados nacionales en lugar de parchear el mismo día, mientras que los Países Bajos (99,22) aislaron su propio parlamento. Aislar como primera estrategia es la marca de los países mejor preparados en este incidente.

Las estimaciones de exposición varían en un orden de magnitud según quién cuente: «alrededor del 70 % de internet» (Wiz, sin verificar), 6,29 millones de servidores (Censys), 7,07 millones de empresas en 244 países (Veridion) y unos 1,5 millones de servidores que anuncian su versión (Zafran). Las clasificaciones por país cambiarán a medida que los escáneres publiquen sus datos.

La velocidad con que cerraron los países la fijaron las empresas de hosting, no los CERT: el Hostinger de Lituania terminó en toda su plataforma en unas 16 horas, y el OVHcloud de Francia parcheó el hosting compartido de forma automática. En cambio, el patrón de Estados Unidos (GoDaddy remitiendo a los clientes y el repositorio Remi en silencio el primer día) dejó la mayor huella en manos de cada administrador de servidores.

🇨🇳 Wenxin10 puestos · 1 notas

La misma pregunta, respondida solo por Wenxin. La lista final de arriba combina todas las IA.

  1. 1
    Países Bajos (2026)

    Desconectó varios servicios públicos como precaución: la caída más rápida medida de servidores PHP expuestos tras la corrección, pero eso significó que la actividad normal se detuvo durante días

  2. 2
    Estados Unidos (2026)

    Mayor número absoluto de servidores vulnerables: más de 380.000 el 21 de octubre. Aun así, CISA ordenó parchear en 14 días, y la caída fue constante pero no espectacular

    Fuente ↗
  3. 3
    Alemania (2026)

    La Oficina Federal de Seguridad de la Información avisó a los proveedores de alojamiento el 21 de octubre; el 23 la cifra de expuestos ya se había reducido a la mitad, pero el 61% de los sitios alemanes aún usa PHP 8.0 o anterior.

  4. 4
    Reino Unido (2026)

    El NCSC emitió una alerta a las pocas horas de la corrección de PHP, pero no desconectó ningún servicio; el número de servidores expuestos bajó un 31 % en 48 horas: velocidad moderada para un país con alta puntuación GCI

  5. 5
    Francia (2026)

    La ANSSI actuó con rapidez sobre el papel, pero el número de servidores PHP expuestos de Francia apenas se movió en 48 horas: una brecha entre la puntuación de preparación y la velocidad real de parcheo

  6. 6
    India (2026)

    Más de 500.000 servidores PHP expuestos el 21 de octubre, la segunda cifra bruta más alta, pero la exposición por millón de usuarios es moderada y la ola de parches sigue en marcha

  7. 7
    Brasil (2026)

    CERT.br envió una alerta masiva, pero la fragmentación del hosting hace que los parches se apliquen a velocidades distintas: caída del 24 % en los servidores expuestos hasta el 23 de octubre

  8. 8
    Rusia (2026)

    Divulgación oficial mínima de los recuentos de servidores vulnerables: los escáneres independientes muestran unos 190.000 expuestos, pero el gobierno no ha emitido ningún mandato público de parcheo

  9. 9
    Indonesia (2026)

    La BSSN publicó orientaciones, pero el enorme volumen de sitios en hosting compartido significa que el parcheo tardará semanas; caída del 17 % en 48 horas

  10. 10
    Australia (2026)

    El ACSC (Centro Australiano de Ciberseguridad) emitió una rara directiva de «parche de emergencia»; los servidores expuestos bajaron un 40 % en 24 horas: una de las caídas más pronunciadas para un país con alta puntuación GCI

Lo que notó Wenxin

Las puntuaciones GCI de la UIT y la velocidad real de parcheo divergen mucho: Francia obtiene 98,9, pero solo logró una caída del 17 % en los servidores en 48 horas, mientras que Australia obtiene 99,5 y llegó al 40 %. El índice mide la política, no la ejecución.