PHP publica pegats d'urgència per a dues fallades crítiques que afecten webs i botigues en línia

Què ha passat

El 21 d'octubre de 2026, l'equip de seguretat de PHP va publicar un avís titulat «Vulnerabilitats crítiques d'execució remota de codi, actualitza ara». PHP és el llenguatge sobre el qual funcionen WordPress, Drupal, Joomla o Magento.

Les noves versions 8.5.12, 8.4.27, 8.3.36 i 8.2.35 corregeixen dues fallades, CVE-2026-109618 i CVE-2026-109619, conegudes com a «PHP2Shell». Segons PHP, totes dues «poden permetre l'execució remota de codi sense autenticació»: un atacant podria executar les seves pròpies ordres al servidor web sense necessitat d'usuari ni contrasenya. El projecte demana a «tots els usuaris de PHP» que actualitzin «immediatament».

El 20 d'octubre, PHP havia anunciat els pegats per a l'endemà. Segons Huntress i The Hacker News, aquell mateix dia es va filtrar informació sobre les fallades, abans que hi hagués correcció.

Què sabem

• Què està en risc (segons PHP): totes les instal·lacions de PHP que atenen peticions web, incloses les configuracions més habituals en servidors i hostings (PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP i LiteSpeed). PHP considera més alt el risc amb mod_php.
• Gravetat: PHP puntua totes dues fallades amb 9,2 sobre 10 (CVSS v4.0) i les qualifica de crítiques.
• Versions corregides: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Les distribucions de Linux van rebre els pegats per avançat, així que els proveïdors poden tenir ja paquets actualitzats.
• Versions antigues: PHP 8.1 i anteriors ja no reben actualitzacions del projecte. PHP 8.2 deixa de tenir suport el 31 de desembre de 2026.
• Mesures temporals: PHP publica ajustos de configuració que redueixen l'exposició, però adverteix que «no fan segura una instal·lació»: «actualitzar és l'única opció segura».

Què no sabem encara

• Si ja hi ha webs compromeses. Segons The Hacker News, l'empresa watchTowr va informar el 21 d'octubre d'«intents d'explotació actius» de totes dues fallades, i Cloudflare d'«atacs incipients». Huntress, en canvi, no havia observat explotació als sistemes que vigila a les 16.30 (hora de l'est dels EUA) d'aquell dia. Cap font ha confirmat una intrusió amb èxit, i les fallades encara no figuraven al catàleg de vulnerabilitats explotades de CISA.
• Si hi ha víctimes a Espanya. No n'hi ha cap de confirmada.

Per què importa

La fallada no és en un connector ni en una web concreta, sinó en el mateix PHP. Això vol dir que una web ben feta i amb tots els connectors al dia pot continuar exposada si el PHP del servidor no s'ha actualitzat.

A més, la filtració ha retallat el marge habitual entre el pegat i els primers atacs. Quan els detalls circulen abans de la correcció, el temps de reacció es mesura en dies.

Què significa per a una pime

En una empresa petita, la web gairebé mai no la gestiona algú de dins: sol estar en un hosting compartit o en un servidor que va muntar una agència fa anys. És habitual que ningú a l'empresa sàpiga quina versió de PHP té.

Una web compromesa no és només un problema d'imatge: pot contenir les dades de clients de la botiga, formularis de contacte o l'accés a una intranet. I si hi ha dades personals afectades, pot haver-hi l'obligació de notificar-ho a l'AEPD.

Què hauria de fer la teva empresa aquesta setmana

1. Fes inventari: web corporativa, botiga en línia, intranet, àrea de clients, programes de gestió amb accés web. Apunta qui manté cadascuna.
2. Pregunta al teu hosting o agència si fan servir PHP i si ja és a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o en una versió amb el pegat del seu proveïdor de Linux). Demana la resposta per escrit.
3. Si feu servir PHP 8.1 o anterior, no hi ha versió oficial corregida: demana un pla de migració amb data. Mentrestant, que apliquin les mesures temporals que publica PHP.
4. Demana que revisin senyals d'intrusió des del 20 d'octubre, sobretot si l'actualització triga.
5. Comprova que hi ha una còpia de seguretat recent de la web i que es pot restaurar.

Si no tens clar quins serveis de la teva empresa estan exposats a internet ni qui els actualitza, és just el que revisa una auditoria de ciberseguretat.