Alerta mundial per dos vulnerabilitats crítiques de PHP: com protegir una web i WordPress
Dos vulnerabilitats crítiques de PHP han provocat una alerta internacional de ciberseguretat. Les fallades, identificades com CVE-2026-109618 i CVE-2026-109619, poden permetre l'execució remota de codi sense autenticació en servidors vulnerables. El projecte PHP va distribuir actualitzacions de seguretat el 21 d'octubre de 2026 i les autoritats europees recomanen aplicar-les immediatament.
Què ha passat amb PHP i per què afecta tantes webs?
PHP és el llenguatge que executen molts servidors per a generar pàgines web, gestionar aplicacions i connectar-se a bases de dades. Plataformes com WordPress, Drupal i Joomla poden dependre de PHP per a funcionar. Quan el problema està en el llenguatge del servidor, actualitzar únicament els complements o el gestor de continguts no corregix necessàriament la vulnerabilitat.
Els avisos de PHP i de l'Agència de la Unió Europea per a la Ciberseguretat (ENISA) indiquen que les dos fallades poden permetre que un atacant execute codi maliciós sense iniciar sessió. També poden exposar informació sensible del procés afectat. La puntuació de gravetat comunicada és de 9,2 sobre 10 en CVSS v4.0.
Quines versions de PHP són segures?
Les versions que incorporen les correccions publicades el 21 d'octubre són les següents:
| Branca de PHP | Versió corregida mínima |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Les versions PHP 8.1 i anteriors ja estan fora del suport de seguretat del projecte. En eixos casos, és necessari migrar a una branca compatible i mantinguda. PHP 8.2 també s'acosta al final del suport, previst per al 31 de desembre de 2026.
Com saber si la meua web WordPress està afectada
- Entra a l'administració de WordPress i obri Ferramentes → Salut del lloc → Informació → Servidor.
- Consulta la versió de PHP i compara-la amb la taula de versions corregides.
- Revisa el panell del proveïdor d'allotjament i confirma que la correcció de seguretat està aplicada realment al servidor que atén la web.
- Si el servidor no està corregit, contacta amb l'empresa d'allotjament i acorda una actualització urgent, comprovant abans la compatibilitat de la web i fent una còpia de seguretat.
No és un error exclusiu de WordPress: el projecte WordPress ha aclarit que no necessita publicar una nova versió del seu gestor per a solucionar estes dos fallades; el component que s'ha d'actualitzar és PHP.
Què ha de fer una empresa o responsable de webs ara mateix?
- Inventariar els servidors: identificar totes les aplicacions que executen PHP, incloses les que s'exposen a internet.
- Aplicar els pegats: actualitzar a una de les versions corregides, o a una versió posterior que incloga la reparació.
- Verificar després del canvi: comprovar la versió efectiva i que les webs, formularis, pagaments i serveis funcionen.
- Revisar indicis d'accés no autoritzat: examinar registres, fitxers modificats i alertes del proveïdor, especialment si el servidor ha estat exposat sense actualitzar.
- Reduir l'exposició si no es pot corregir: valorar l'aïllament temporal dels serveis vulnerables, amb l'assessorament del proveïdor o del responsable de seguretat.
Un tallafoc d'aplicacions web (WAF) pot aportar protecció complementària, però no substituïx el pegat. Tampoc no hi ha una configuració temporal universal que garantisca la protecció completa davant estes vulnerabilitats.
Actualització del 23 d’octubre: el projecte PHP també recomana desactivar temporalment session.upload_progress.enabled en les configuracions que necessiten esta precaució, fins a la pròxima versió de manteniment. És una protecció addicional per a un cas poc habitual, no un substitut de l’actualització de seguretat. En allotjament compartit cal consultar-ho amb el proveïdor.
Les visites a una web estan en perill?
El risc principal afecta els servidors que processen les peticions, no directament el navegador de qualsevol persona que consulta una pàgina. Tanmateix, una intrusió en el servidor podria comprometre dades o alterar el contingut de la web. Per això és important que els responsables dels llocs actuen amb rapidesa.
Preguntes freqüents sobre l'alerta PHP
Només afecta WordPress?
No. Afecta PHP en diferents configuracions de servidor, també quan s'utilitza en altres gestors i aplicacions.
És suficient actualitzar WordPress i els plugins?
No. Cal actualitzar PHP al servidor a una versió que incloga les correccions.
Si tinc un allotjament compartit, he de tocar el servidor?
Habitualment el proveïdor administra PHP. Cal confirmar amb ell la versió efectiva i si ja ha aplicat el pegat.
Fonts: Projecte PHP, ENISA i WordPress.org.