Si el vostre web, la vostra botiga en línia o la vostra intranet funcionen amb PHP, com passa amb la majoria de llocs WordPress, convé revisar avui mateix quina versió utilitzen. El 21 d’octubre de 2026, el projecte PHP va anunciar pedaços d’emergència per a dues vulnerabilitats crítiques, conegudes com a PHP2Shell.
Què ha passat
Es tracta de dues fallades, CVE-2026-109618 i CVE-2026-109619, totes dues amb una puntuació crítica (9,2 sobre 10). Poden permetre que un atacant executi codi al servidor sense necessitat d’iniciar sessió. Una s’origina en un error en gestionar la manca de memòria; l’altra, en dades d’una petició anterior que no s’alliberen correctament.
La clau per a una empresa és que l’atac es pot produir abans que s’executi el codi de la seva aplicació. Per això, una contrasenya robusta al tauler d’administració no és suficient com a defensa.
A qui afecta
A qualsevol servidor que executi PHP en les seves formes habituals (PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP o LiteSpeed). Segons l’anàlisi de Fortinet, la configuració amb mod_php és la que presenta més risc. S’han comptabilitzat desenes de milions de serveis a Internet amb versions potencialment afectades, tot i que aquesta xifra inclou serveis que poden estar protegits mitjançant pedaços del proveïdor.
Un detall important: les versions 8.1 i anteriors ja no reben actualitzacions de seguretat estàndard. Si el vostre web encara funciona amb una d’aquestes versions, l’actualització de PHP deixa de ser opcional.
Quines versions corregeixen el problema
Branca de PHP Versió corregida
8.2 8.2.35
8.3 8.3.36
8.4 8.4.27
8.5 8.5.12
Alguns proveïdors d’allotjament web i distribucions apliquen el pedaç sense canviar el número de versió, de manera que la xifra que veieu al vostre tauler de control pot resultar enganyosa. El més segur és preguntar al vostre proveïdor si el paquet inclou la correcció.
Què hauríeu de fer ara
- Esbrineu quina versió de PHP utilitza cada web i qui la gestiona. A WordPress, la podeu consultar a la secció Eines → Salut del lloc.
- Actualitzeu a una versió corregida o confirmeu per escrit amb el vostre proveïdor que el pedaç ja està aplicat.
- Reinicieu els serveis PHP després d’actualitzar i comproveu que el servidor ja utilitza la nova versió.
- Activeu un tallafoc d’aplicacions web (WAF) o un IPS mentrestant, com a protecció addicional, mai com a substitut del pedaç.
- Reviseu si hi ha hagut alguna intrusió prèvia: peticions sospitoses, processos inesperats, fitxers modificats o connexions sortints que no reconeixeu. Instal·lar el pedaç no expulsa un atacant que ja hagi aconseguit entrar.
- Apliqueu l’ajust temporal recomanat per PHP per a una tercera fallada relacionada (CVE-2026-115560): desactivar session.upload_progress.enabled.
Com us podem ajudar
A Procesos fa més de 35 anys que cuidem la infraestructura de les empreses a Barcelona. Si no sabeu quina versió de PHP utilitza el vostre web, o voleu que revisem el vostre servidor i comprovem que no hi ha rastres d’intrusió, sol·liciteu un diagnòstic i us donarem una resposta clara.
Fonts: Fortinet, «Understanding PHP2Shell vulnerabilities». Dades a 4 de novembre de 2026; consulteu l’avís oficial de PHP per si hi ha novetats.