El Gobierno de Castilla-La Mancha ha activado medidas para proteger los portales web de la Junta y está desconectando de forma progresiva los servicios afectados, tras una alerta de nivel crítico del Centro Criptológico Nacional (CCN-CERT) sobre una vulnerabilidad de PHP de alcance mundial que podría permitir la ejecución remota de código.
Las claves en 20 segundos
- El CCN-CERT emitió una alerta de nivel crítico por una vulnerabilidad de PHP que afecta a aplicaciones web en todo el mundo, no solo a la Junta.
- La Agencia de Transformación Digital de Castilla-La Mancha está apagando de forma progresiva y temporal los servicios web expuestos y no indispensables.
- La recuperación será gradual, servicio por servicio, y la Junta no ha fijado un plazo para completarla.
- El Gobierno regional recomienda al sector privado adoptar medidas similares y promete informar de la evolución.
Una alerta mundial, no solo de la Junta
La nota oficial precisa que el problema no es específico de la Junta de Comunidades, sino una vulnerabilidad del lenguaje de programación PHP que afecta potencialmente a aplicaciones web de todo el mundo y que podría permitir a un atacante ejecutar código de forma remota. No se ha hecho público ningún identificador técnico (como un código CVE) ni la hora exacta en que el CCN-CERT emitió la alerta, dos datos que ayudarían a valorar la urgencia real de la amenaza y que la Junta no ha detallado por ahora.
La respuesta recae en la Agencia de Transformación Digital de Castilla-La Mancha, que sigue la recomendación de actualizar las aplicaciones afectadas y suspender, mientras tanto, los servicios expuestos que no sean indispensables. La propia Agencia describe el apagado como «progresivo», sin un calendario cerrado, y advierte de que la restitución de cada servicio solo se hará tras comprobar que recupera todas las garantías de seguridad.
No es la primera vez que un ciberataque toca a la administración regional
Castilla-La Mancha ya sufrió un episodio similar en septiembre de 2023, cuando un ciberataque afectó a Geacam, la empresa pública de gestión ambiental, y obligó al Gobierno regional a buscar soluciones para restablecer la normalidad. Desde entonces la Junta ha reforzado su discurso sobre ciberseguridad: en 2025 financió la creación de una Cátedra de Ciberseguridad en la UCLM, con sede en la Escuela Superior de Informática de Ciudad Real, que en noviembre de ese año organizó su primera jornada de especialización. Y en diciembre de 2025, la Junta presentó para la Agencia de Transformación Digital un presupuesto de 191 millones de euros para 2026, un 9% más que el año anterior. Esa cifra, conviene recordarlo, es el presupuesto anunciado entonces para todo el ejercicio, no un gasto específico destinado a esta incidencia.
Qué puede hacer el sector privado
El Gobierno regional ha extendido su recomendación más allá de la propia administración: pide a las empresas que adopten medidas equivalentes a las suyas, es decir, revisar y actualizar sus aplicaciones basadas en PHP y suspender temporalmente los servicios expuestos que no resulten imprescindibles mientras no quede garantizada su seguridad. La Junta se ha comprometido a informar a la ciudadanía de cómo evoluciona la incidencia, aunque por ahora no ha concretado cuándo prevé recuperar la totalidad de sus portales.
Preguntas frecuentes
¿Qué ha pasado con las webs de la Junta de Castilla-La Mancha?
El Gobierno regional ha activado medidas de protección y está desconectando de forma progresiva los servicios web afectados por una vulnerabilidad crítica.
¿Qué vulnerabilidad ha provocado la alerta?
Una vulnerabilidad del lenguaje PHP de alcance mundial que podría permitir la ejecución remota de código, según el CCN-CERT. La Junta no ha publicado un identificador técnico ni la hora exacta de la alerta.
¿Cuánto tardarán en recuperarse los servicios?
La Junta no ha fijado un plazo. La recuperación será gradual, servicio por servicio, tras comprobar su seguridad.
¿Es la primera vez que la administración regional sufre un incidente de este tipo?
No. En septiembre de 2023 un ciberataque afectó a la empresa pública Geacam.
Fuente: Gobierno de Castilla-La Mancha.
