Alerta PHP2Shell: CVE-2026-109618 i pegat PHP per a la teva web

Què ha passat

El 21 d’octubre de 2026 el projecte PHP va publicar pegats d’emergència per a dues vulnerabilitats crítiques d’execució remota de codi (RCE) que no requereixen autenticació, batejades per la comunitat com a PHP2Shell:

CVE-2026-109618: un fallo en la gestió de la memòria (corrupció per out-of-memory) que pot deixar les dades internes d’una petició inicialitzades a mitges, i el sistema les tracta com si fossin vàlides.
CVE-2026-109619: un use-after-free: queda estat intern apuntant a memòria ja alliberada, i la següent petició que processi el mateix worker pot acabar utilitzant-la.

La gravetat és alta (CVSS 9,2) i no és teòrica: Amazon va detectar explotació real abans de la publicació del pegat, i l’empresa Sansec va reproduir l’atac amb èxit contra WordPress, Drupal, Joomla, Magento, Laravel, Symfony, phpMyAdmin i Nextcloud. El NCSC britànic va arribar a recomanar valorar apagar els serveis que no es poguessin pegar.

Versions amb el pegat publicat: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Si el teu hosting fa servir cPanel, també hi ha versió corregida per a PHP 7.4 i superiors, i les distribucions Linux amb suport a llarg termini solen fer backport de l’arranjament.

Qui està afectat

Pràcticament qualsevol web que funcioni sobre PHP i no s’hagi actualitzat: WordPress, WooCommerce, PrestaShop, Drupal, Joomla, Magento, Laravel, Symfony, phpMyAdmin, Nextcloud i un llarg etcètera.

El punt clau és aquest: és un fallo del llenguatge PHP, no de cada aplicació. Actualitzar WordPress o phpMyAdmin no n’hi ha prou per si sol; cal actualitzar el PHP del servidor i reiniciar php-fpm, Apache o LiteSpeed, perquè el pegat només fa efecte quan es reinicien els workers. Si la teva web és en un hosting gestionat (WordPress.com, SiteGround i similars), el normal és que el proveïdor ja ho hagi fet, però val la pena confirmar-ho.

Actualització 23 d’octubre: tercer CVE reconegut

El 23 d’octubre el projecte PHP va reconèixer oficialment una tercera vulnerabilitat, CVE-2026-115560: una altra execució remota de codi, aquesta vegada lligada a session.upload_progress quan l’aplicació canvia el serialitzador de sessió amb ini_set() abans de session_start(). No és un bypass dels pegats del 21 d’octubre: és un vector nou i estret, que PHP descriu com a poc habitual en desplegaments normals. L’arranjament arribarà a la propera release regular de cada branca.

Mentrestant, la mitigació és una línia al php.ini del servidor (un ini_set() a l’aplicació no arriba a temps: l’upload progress corre abans del codi de l’app), i reiniciar els workers:

session.upload_progress.enabled = 0

Si ja vas desactivar upload progress seguint l’avís del 21 d’octubre, no has de fer res més per aquest vector. Si la teva aplicació no toca serialitzadors de sessió, el risc és baix; tot i així, desactivar upload progress si no l’uses és una bona pràctica.

A més, a les pròpies versions pegades (8.4.27 i 8.5.12) hi ha una regressió verificada de SimpleXML (double-free, php-src #24488): pot provocar crashes si la teva aplicació usa SimpleXML, però no és execució remota de codi. PHP recomana no revertir els pegats del 21 d’octubre; l’arranjament és en camí (PR #24494).

Font: avís informatiu de PHP del 23 d’octubre i el kit defensiu de Syhunt.

Què fer avui

Esbrina quina versió de PHP fa servir la teva web (més avall t’ho explico).
Si és anterior a 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12, actualitza el PHP del servidor des del panell del teu hosting o demana-ho al teu proveïdor.
Reinicia php-fpm, Apache o LiteSpeed després d’actualitzar. Sense reinici, el pegat no protegeix.
Si fas servir cPanel, tria una versió ea-php74 o superior ja corregida.
Si la teva web la manté una agència o un freelance, escriu-los avui mateix i demana confirmació per escrit que el PHP està actualitzat i els workers reiniciats.
Si vas fer la web amb el Kit Digital, contacta amb el teu agent digitalitzador o el teu proveïdor de manteniment i demana la mateixa confirmació. No és una obligació legal nova, però és una comprovació raonable que et correspon demanar.

Com comprovar la teva web

Només als teus propis dominis, mai escanejant webs alienes:

WordPress: Escriptori → Eines → Salut del lloc → Informació → versió de PHP.
Panell de hosting (cPanel, Plesk): busca el selector «Versió PHP».
Per SSH: php -v. Compte: la versió de la línia de comandes pot diferir de la que fa servir el servidor web; el fiable és un phpinfo() temporal o preguntar al hosting.
Preguntar al teu proveïdor de hosting directament.
Comprovadors en línia (verificats el 22-10-2026): senseforat.cat, una eina gratuïta i passiva en català que llança una sola petició des de fora, sense tocar res, per saber si una web mostra PHP i amb quina versió davant de PHP2Shell; php2shell.sh d’Imperva, Brandefense, Arvion i Bugshield. Un avís honest: llegeixen la versió PHP que el teu servidor exposa públicament, i molts servidors l’oculten, així que un «no detectat» no vol dir «segur». Fes-los servir només amb dominis propis i confirma amb els mètodes anteriors.

Node.js i phpMyAdmin

El mateix dia, Node.js va publicar les seves pròpies actualitzacions de seguretat: 10 vulnerabilitats (4 altes) a les branques 26.x, 24.x i 22.x, i la més greu és execució remota de codi al decodificador Brotli. Les versions corregides són 26.12.1, 24.22.1 i 22.23.4. Node 18 i Node 20 estan fora de suport i no rebran pegat: si alguna cosa teva hi corre, toca migrar.

phpMyAdmin no té pegat propi: es protegeix actualitzant el PHP del servidor on corre, igual que la resta.

Altres que també hi ajuden

No cal que tot surti d’aquí. Aquests recursos els he verificat avui i els comparteixo tal com són:

senseforat.cat — eina gratuïta i passiva en català: llança una sola petició des de fora, sense tocar res, per saber si una web mostra PHP i amb quina versió davant de PHP2Shell. Guarda un registre públic de resultats (màxim 10 escaneigs per minut) i vigila a més les webs dels 947 municipis de Catalunya amb dades obertes de la Generalitat.
YesWeLab — experiment amb fonts públiques (php.net, BOE, NVD, W3Techs) que estima que unes 115.500 webs del Kit Digital (forquilla 82.900–166.700) continuen en versions de PHP sense pegat per a PHP2Shell. Senyala que les bases de la solució «Sitio web» (2.000 €) exigien hosting, accessibilitat i SEO, però la paraula «seguretat» no hi apareix ni una vegada; recull la recomanació de CISA de desconnectar sistemes amb PHP 8.1 o anterior; i ofereix un script gratuït perquè els agents digitalitzadors inventariïn el CMS i les versions de la seva cartera de webs.
transparencia.omitsis.com — un bon exemple del model, fet per Omitsis, un dels meus clients: un avaluador gratuït de transparència per a fundacions, ONG i associacions que revisa fins a 30 pàgines i PDFs i entrega un informe amb la norma concreta de cada punt.

Som bombers, no competidors

Quan l’incendi és d’aquesta magnitud, no es pregunta de quina colla ets. PHP2Shell no és una oportunitat comercial: és un desastre natural a escala global que pot afectar milers de milions de persones de manera directa o indirecta — la botiga de sota, l’ajuntament del poble, la web de l’associació del barri. Aquests dies els enginyers no som proveïdors: som bombers. Ningú competeix amb ningú: tots estirem de la mateixa mànega.

Per això aquesta pàgina enllaça sense pudor amb recursos fets per altres equips: si la teva web està en risc, et serveix igual vingui de qui vingui. Hi anem tots plegats.

Fonts

Si necessites ajuda amb la teva web —comprovar la versió de PHP, actualitzar amb seguretat o revisar el servidor—, escriu-me i et dono un cop de mà.

Alerta PHP2Shell: actualitza el PHP de la teva web

Comprova la teva web