Category: Ciberseguretat

Si el vostre web, la vostra botiga en línia o la vostra intranet funcionen amb PHP, com passa amb la majoria de llocs WordPress, convé revisar avui mateix quina versió utilitzen. El 21 d’octubre de 2026, el projecte PHP va anunciar pedaços d’emergència per a dues vulnerabilitats crítiques, conegudes com a PHP2Shell.

Què ha passat

Es tracta de dues fallades, CVE-2026-109618 i CVE-2026-109619, totes dues amb una puntuació crítica (9,2 sobre 10). Poden permetre que un atacant executi codi al servidor sense necessitat d’iniciar sessió. Una s’origina en un error en gestionar la manca de memòria; l’altra, en dades d’una petició anterior que no s’alliberen correctament.

La clau per a una empresa és que l’atac es pot produir abans que s’executi el codi de la seva aplicació. Per això, una contrasenya robusta al tauler d’administració no és suficient com a defensa.

A qui afecta

A qualsevol servidor que executi PHP en les seves formes habituals (PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP o LiteSpeed). Segons l’anàlisi de Fortinet, la configuració amb mod_php és la que presenta més risc. S’han comptabilitzat desenes de milions de serveis a Internet amb versions potencialment afectades, tot i que aquesta xifra inclou serveis que poden estar protegits mitjançant pedaços del proveïdor.

Un detall important: les versions 8.1 i anteriors ja no reben actualitzacions de seguretat estàndard. Si el vostre web encara funciona amb una d’aquestes versions, l’actualització de PHP deixa de ser opcional.

Quines versions corregeixen el problema

Branca de PHP    Versió corregida

8.2                          8.2.35
8.3                          8.3.36
8.4                          8.4.27
8.5                          8.5.12

Alguns proveïdors d’allotjament web i distribucions apliquen el pedaç sense canviar el número de versió, de manera que la xifra que veieu al vostre tauler de control pot resultar enganyosa. El més segur és preguntar al vostre proveïdor si el paquet inclou la correcció.

Què hauríeu de fer ara

1. Esbrineu quina versió de PHP utilitza cada web i qui la gestiona. A WordPress, la podeu consultar a la secció Eines → Salut del lloc.
2. Actualitzeu a una versió corregida o confirmeu per escrit amb el vostre proveïdor que el pedaç ja està aplicat.
3. Reinicieu els serveis PHP després d’actualitzar i comproveu que el servidor ja utilitza la nova versió.
4. Activeu un tallafoc d’aplicacions web (WAF) o un IPS mentrestant, com a protecció addicional, mai com a substitut del pedaç.
5. Reviseu si hi ha hagut alguna intrusió prèvia: peticions sospitoses, processos inesperats, fitxers modificats o connexions sortints que no reconeixeu. Instal·lar el pedaç no expulsa un atacant que ja hagi aconseguit entrar.
6. Apliqueu l’ajust temporal recomanat per PHP per a una tercera fallada relacionada (CVE-2026-115560): desactivar session.upload_progress.enabled.

Com us podem ajudar

A Procesos fa més de 35 anys que cuidem la infraestructura de les empreses a Barcelona. Si no sabeu quina versió de PHP utilitza el vostre web, o voleu que revisem el vostre servidor i comprovem que no hi ha rastres d’intrusió, sol·liciteu un diagnòstic i us donarem una resposta clara.

Demaneu el vostre diagnòstic →

 

Fonts: Fortinet, «Understanding PHP2Shell vulnerabilities». Dades a 4 de novembre de 2026; consulteu l’avís oficial de PHP per si hi ha novetats.

Un correu electrònic del «vostre banc», un avís d’un «proveïdor» amb una factura adjunta o un missatge d’un «director» que demana una transferència urgent. El phishing, que consisteix a enganyar una persona perquè faciliti dades o dugui a terme una acció, continua sent una de les formes més habituals d’entrar en una empresa. I no cal ser una gran companyia: les pimes són un objectiu habitual perquè sovint tenen menys defenses.

Per què funciona

El phishing no ataca el sistema, sinó la pressa i la confiança. Els missatges actuals ja no tenen les faltes d’ortografia de fa uns anys: es redacten amb cura, imiten el to d’un company real i, cada vegada més, es recolzen en eines que generen textos molt convincents.

Les variants que veiem més sovint

• Correu electrònic clàssic: enllaços a una pàgina falsa que imita l’accés a Microsoft 365, al banc o a un servei de missatgeria.
• Frau del CEO o de la factura: algú es fa passar per un directiu o un proveïdor per demanar un pagament o un canvi de compte bancari.
• SMS i WhatsApp (smishing): paquets retinguts, multes o avisos del banc amb un enllaç.
• Codis QR (quishing): un codi QR en un correu electrònic o en un cartell que porta a un web fals.
• Trucades (vishing): una veu que diu que és del servei de suport tècnic o del banc i demana un codi.

Set senyals per detectar-lo

1. Urgència o amenaça: «el vostre compte es bloquejarà avui», «pagament immediat».
2. Remitent gairebé correcte: comproveu l’adreça completa, no només el nom que es mostra.
3. Enllaços que no coincideixen: passeu el ratolí per sobre sense fer clic i mireu l’adreça real.
4. Petició inusual: credencials, codis de verificació, canvis d’IBAN o targetes regal.
5. Fitxers adjunts inesperats, sobretot comprimits o amb macros.
6. Salutació genèrica en un missatge que us hauria de conèixer pel vostre nom.
7. Un canal diferent de l’habitual: un cap que, de sobte, escriu per WhatsApp des d’un número nou.

Si teniu dubtes, no respongueu al missatge: truqueu al remitent a través d’un número de telèfon que ja conegueu.

Què cal fer si ja heu fet clic

1. Desconnecteu l’equip de la xarxa, però no l’apagueu.
2. Si heu introduït una contrasenya, canvieu-la immediatament des d’un altre dispositiu i reviseu les sessions obertes.
3. Aviseu el responsable d’informàtica o el vostre proveïdor sense esperar. Com més aviat se sàpiga, menys danys hi haurà.
4. Si s’ha fet un pagament, contacteu amb el banc de seguida per intentar aturar l’operació.
5. Podeu consultar l’INCIBE per telèfon (017) o a través del seu web.

Com protegir-se com a empresa

• Verificació en dos passos (MFA) al correu electrònic, la VPN i els taulers d’administració. És la mesura que més redueix els efectes d’una contrasenya robada.
• Filtre de correu i antispam actualitzat, amb anàlisi d’enllaços i fitxers adjunts.
• Antivirus i supervisió a cada equip, per aturar les amenaces que superin el filtre.
• Còpies de seguretat aïllades, que un atacant no pugui esborrar ni xifrar.
• Procediment de pagaments: qualsevol canvi de compte bancari s’ha de confirmar per una segona via.
• Formació breu i periòdica, amb simulacres de phishing. Tres minuts al mes funcionen millor que una xerrada anual.

Com us podem ajudar

A Procesos combinem el filtratge del correu, la supervisió, les còpies de seguretat protegides i la formació dels equips. Si voleu saber fins a quin punt està exposada la vostra empresa, comencem amb un diagnòstic.

Demaneu el vostre diagnòstic →