¿Qué es PHP y por qué impulsa gran parte de la web?

Solo quiero que la página web funcione. Pero detrás de gran parte de la World Wide Web hay un lenguaje de programación con más de tres décadas de antigüedad: PHP.

Todos aprendimos recientemente lo que sucede si están en Se han detectado vulnerabilidades en PHP.El mundo entero está enloqueciendo, y con razón. Dos vulnerabilidades críticas en PHP podrían permitir a los atacantes ejecutar código malicioso en servidores remotos sin autorización previa. Los desarrolladores actuaron de inmediato, pero quizás ahora sea el momento de hablar sobre qué es PHP, por qué una tecnología tan antigua sigue siendo dominante y cómo un fallo en un lenguaje de programación puede comprometer la World Wide Web.

¿Qué es PHP y qué significa su nombre?

PHP es un lenguaje de programación diseñado principalmente para crear sitios web y aplicaciones web. Su nombre es una abreviatura de PHP Hypertext Preprocessor (Preprocesador de Hipertexto PHP) y originalmente significaba Personal Home Page (Página de Inicio Personal). Esto demuestra que el lenguaje surgió de la necesidad práctica de crear sitios web más dinámicos que simples textos estáticos.

Los orígenes de este lenguaje se remontan a 1994, cuando el programador danés-canadiense Rasmus Lerdorf desarrolló herramientas sencillas para monitorizar las visitas a su sitio web personal. Estas herramientas evolucionaron gradualmente hasta convertirse en un lenguaje de programación que se ha convertido en uno de los pilares fundamentales de la World Wide Web.

PHP es un lenguaje de scripting. Esto significa que el código no se compila previamente en un programa independiente, sino que un servicio especial llamado intérprete lo lee y ejecuta en cada solicitud. Esto ahorra al programador mucho trabajo en comparación con los usuarios de lenguajes más complejos, lo que hace que PHP sea muy accesible para principiantes. Además, es de código abierto, lo que significa que su código fuente está disponible públicamente y cualquiera puede usar y mejorar el lenguaje de forma gratuita.

Según la empresa de investigación W3Techs PHP estaba presente en aproximadamente 69,3 sitios web de % donde se pudo identificar el lenguaje de programación del lado del servidor utilizado al 21 de octubre de 2026. Esto no representa el 69,3% de % de toda Internet, pero es un claro indicio de su prevalencia.

¿Cómo funciona PHP?

La clave está en el lado del servidor. Cuando abro una página web en mi navegador, este envía una solicitud al servidor, es decir, al ordenador que almacena la página y la sirve al visitante. Si la página está escrita en PHP, el servidor primero pasa el código al intérprete. El intérprete lo ejecuta, lee los datos de la base de datos si es necesario, compila la página final en HTML y la envía de vuelta al navegador. HTML es el lenguaje en el que se escriben todas las páginas web, y el navegador puede mostrarlas como texto, imágenes y botones. CSS determina su apariencia, mientras que JavaScript permite la interactividad, como responder a clics, abrir menús y actualizar el contenido.

Por lo tanto, el visitante nunca ve el código PHP en sí, solo el resultado. Esto también es importante desde el punto de vista de la seguridad, ya que el código suele contener datos para acceder a la base de datos. Si un atacante obtiene acceso al código, también obtendrá acceso a estos datos.

Insertamos el código PHP en una página web normal entre las etiquetas Todo lo que contienen es ejecutado por el intérprete, y todo lo demás permanece inalterado. Esta sencillez fue una de las principales razones de la rápida expansión del idioma en la década de 1990.

A menudo escuchamos el acrónimo LAMP. Representa la combinación clásica del sistema operativo Linux, el servidor web Apache, la base de datos MySQL y el lenguaje PHP. Se trata de un conjunto de herramientas gratuitas que ha impulsado gran parte de la web durante décadas y que aún hoy lo hace en muchos lugares.

PHP no es solo un lenguaje para sitios web sencillos.

Aunque PHP se originó en una época de web mucho más sencilla, sus capacidades actuales superan con creces su propósito original. Se puede utilizar para desarrollar tiendas online, aplicaciones empresariales, portales de usuario, sistemas de reservas e interfaces de programación para el intercambio de datos entre diferentes servicios.

PHP moderno admite la programación orientada a objetos. El programador puede dividir la lógica de programación en clases y objetos que representan componentes individuales de la aplicación. También admite tipado de datos, excepciones para el manejo de errores y muchos otros mecanismos que permiten un código de programación más organizado y predecible.

Un programador no tiene que desarrollar todas las funcionalidades desde cero. Existen frameworks como Laravel y Symfony que simplifican el desarrollo de aplicaciones más complejas. Composer, un gestor de dependencias, también desempeña un papel importante, ya que permite a los desarrolladores incluir librerías predefinidas y controlar sus versiones.

Sin bases de datos, su utilidad sería mucho menor.

Una de las tareas clave de PHP es conectar aplicaciones web con bases de datos. Cuando inicio sesión en una tienda en línea, el sistema necesita verificar mi cuenta de usuario. Cuando realizo un pedido, necesita almacenar los productos seleccionados, la dirección de envío y la información del pedido. PHP puede trabajar con sistemas como MySQL, MariaDB, PostgreSQL y SQLite para lograrlo.

Para acceder a las bases de datos, está disponible PDO, entre otras. Objetos de datos PHPSe trata de una interfaz de programación que permite trabajar con diferentes sistemas de datos. Para ello, el desarrollador debe prestar especial atención a la seguridad.

Si una aplicación inserta accidentalmente datos de usuario en un comando de base de datos, puede producirse una vulnerabilidad denominada inyección SQL. SQL es un lenguaje estandarizado para trabajar con bases de datos relacionales. Un atacante puede explotar esta vulnerabilidad para leer o modificar datos sin autorización.

La protección recomendada consiste en utilizar consultas preparadas, donde los datos del usuario se tratan por separado del propio comando.

¿Por qué PHP está tan estrechamente asociado con WordPress?

El mejor ejemplo de su popularidad es WordPress, uno de los sistemas de gestión de contenido más utilizados en la web. WordPress se basa en PHP y una base de datos. Cuando un editor publica un artículo, su contenido se almacena en la base de datos. PHP se encarga entonces de recuperar el contenido, verificar los permisos del usuario y preparar la página que ve el visitante.

De igual forma, Drupal y Joomla también se basan en PHP, al igual que la tienda online WooCommerce y el software MediaWiki que impulsa Wikipedia. PHP también permite el uso de extensiones, cuentas de usuario, formularios, tiendas online y numerosas funciones editoriales. Sin embargo, es importante distinguir entre las vulnerabilidades inherentes a PHP, los errores en WordPress y los problemas con plugins específicos.

Por ejemplo, actualizar WordPress no implica necesariamente actualizar también PHP en el servidor. Son capas de software diferentes que requieren un mantenimiento independiente. Esta distinción suele pasarse por alto, especialmente por usuarios menos exigentes que delegan la administración del servidor a su proveedor de hosting.

¿Qué revelaron las últimas vulnerabilidades críticas?

Las alertas de seguridad, identificadas como CVE-2026-109618 y CVE-2026-109619, son particularmente graves porque afectan al funcionamiento interno de PHP. CVE es una designación internacional estandarizada para vulnerabilidades de seguridad conocidas públicamente. Ambos fallos obtuvieron una puntuación CVSS de 9,2, que evalúa la gravedad de las vulnerabilidades en una escala de hasta 10.

La primera vulnerabilidad está relacionada con una gestión incorrecta de la memoria cuando esta se agota durante el procesamiento de una solicitud. La segunda se debe al uso de datos internos asociados a una solicitud anterior después de que su memoria ya haya sido liberada. En determinadas circunstancias, un atacante podría explotar esta vulnerabilidad para ejecutar código remoto sin iniciar sesión en la aplicación.

En el caso de PHP, advierten específicamente sobre el uso de mod_php, ya que se ha demostrado un ataque que puede activarse antes de que se ejecute el código de la aplicación web. Esto significa que incluso un sitio web bien programado no está necesariamente protegido si utiliza una versión vulnerable de PHP.

¿Perderá PHP su posición dominante debido a vulnerabilidades?

PHP no es ni una herramienta milagrosa ni una reliquia obsoleta. Es un lenguaje maduro, rápido y ampliamente utilizado que, gracias a su sencillez, ha abierto las puertas de la programación web a muchos. Pero precisamente esa popularidad es su talón de Aquiles, ya que cualquier error grave puede comprometer gran parte de la web. Para los lectores que gestionan su propio sitio web o tienda, el mensaje más importante es, por lo tanto, simple: actualicen con regularidad y no esperen al primer ataque.