Si tens un web, aquesta setmana hauràs vist titulars sobre una fallada crítica a PHP. I amb raó: el 21 d’octubre de 2026 l’equip de PHP va publicar pedaços d’urgència per a dues vulnerabilitats que permeten executar codi en un servidor sense necessitat d’usuari ni contrasenya. T’explico què ha passat amb la vulnerabilitat de PHP, a qui afecta i com solucionar-la, sense tecnicismes i sense alarmisme.
Què ha passat amb la vulnerabilitat de PHP
Les fallades es diuen CVE-2026-109618 i CVE-2026-109619, i es coneixen com a PHP2Shell. Les dues tenen una gravetat de 9,2 sobre 10 i permeten l’execució remota de codi sense autenticació. Dit en planer: algú des de fora podria fer que el teu servidor executi ordres que no són teves.
El més important en poques línies:
- On és la fallada: a PHP, el llenguatge amb què funciona el teu web, no a WordPress ni als teus connectors.
- Gravetat: crítica, 9,2 sobre 10.
- A qui afecta: segons l’agència nord-americana CISA, a les instal·lacions de PHP que atenen peticions web.
- Pedaços disponibles: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
- Atacs: quan CISA va publicar la seva alerta no havia observat explotació, però altres mitjans parlen d’intents primerencs d’aprofitar-la. Millor no esperar a comprovar-ho.
Afecta el meu web WordPress?
Si el teu web fa servir PHP, i WordPress el fa servir, sí que et pot afectar mentre el teu servidor tingui una versió sense pedaç. Aquí hi ha la confusió més habitual: el problema no és a WordPress, ni al teu tema, ni als teus connectors. Per això actualitzar WordPress no ho arregla. El que cal actualitzar és PHP al servidor, i això es fa des del teu allotjament.
El mateix val per a Drupal, Joomla, Magento o PrestaShop. Si només ets visitant de webs, no has de fer res.
Com solucionar-ho pas a pas
- Fes una còpia de seguretat completa d’arxius i base de dades abans de tocar res.
- Comprova la teva versió de PHP. La veus al tauler del teu allotjament o, a WordPress, a Eines > Salut del lloc > Informació > Servidor.
- Actualitza PHP a una versió corregida (8.5.12, 8.4.27, 8.3.36 o 8.2.35). Molts allotjaments apliquen el pedaç sense canviar el número de versió, així que pregunta’ls si ja inclou les correccions de CVE-2026-109618 i CVE-2026-109619.
- Si uses PHP 8.1 o anterior, aquestes versions ja no tenen suport oficial. CISA recomana desconnectar els sistemes basats en PHP fins que es puguin actualitzar. El més assenyat és migrar a 8.3 o superior i provar abans el teu web, perquè algun connector o tema antic pot donar problemes.
- Activa un tallafoc (WAF) com a mesura temporal. Ajuda, però no substitueix l’actualització.
- Vigila els dies següents: administradors que no coneixes, connectors o arxius que no has instal·lat, redireccions estranyes o avisos del teu allotjament o de Google.
Si no pots actualitzar ara i el teu web no és imprescindible aquests dies, el CERT-EU recomana posar-lo fora de línia fins a resoldre-ho. És dràstic, però més barat que netejar un web infectat.
Per què un bon manteniment web et dona tranquil·litat
Aquesta vulnerabilitat no serà l’última. Cada poques setmanes apareix una fallada a PHP, a WordPress o en algun connector. La diferència entre assabentar-te per un titular i tenir ja el problema resolt és si algú s’ocupa del teu web de manera contínua.
Un bon pla de manteniment WordPress sol cobrir això:
- Còpies de seguretat automàtiques i comprovades, per poder tornar enrere si alguna cosa falla.
- Actualitzacions de PHP, WordPress, tema i connectors amb proves prèvies, perquè res es trenqui pel camí.
- Vigilància de caigudes, programari maliciós i vulnerabilitats conegudes.
- Algú que t’avisi i actuï quan surt una fallada com aquesta, en lloc de descobrir-ho tu.
- Revisió després d’un incident, per si l’atacant va deixar alguna cosa amagada.
Un web sense mantenir funciona bé… fins que deixa de fer-ho. I quan falla és en el pitjor moment: en plena temporada, amb una campanya en marxa o amb clients entrant. Mantenir-lo al dia és molt més barat i tranquil que reparar el dany. Si acabes de llançar el teu web, mira també els 5 passos per fer després de crear el teu web.
Preguntes freqüents
Actualitzar WordPress arregla la vulnerabilitat de PHP?
No. La fallada és a PHP, que s’actualitza al servidor a través del teu allotjament. Convé mantenir també WordPress i els connectors al dia, però és una altra cosa.
Com sé quina versió de PHP té el meu web?
Al tauler del teu allotjament, o a WordPress des d’Eines > Salut del lloc > Informació > Servidor. Si no la trobes, pregunta al teu proveïdor.
El meu allotjament diu que ja està apedaçat, però la versió no ha canviat. És normal?
Sí, alguns proveïdors i distribucions apliquen la correcció sense canviar el número de versió. Demana’ls confirmació que inclou CVE-2026-109618 i CVE-2026-109619.
Puc continuar amb PHP 7.4 o 8.0?
No és recomanable. Són versions sense suport oficial i no figuren entre les corregides que cita CISA. Planifica la migració com més aviat millor.
Es pot trencar el meu web en actualitzar PHP?
Pot passar, sobretot amb connectors o temes antics. Per això es fa amb còpia de seguretat i, si és possible, provant abans en un entorn de proves.
Si prefereixes no preocupar-te d’això
Si no saps quina versió de PHP té el teu web o prefereixes que algú s’encarregui d’actualitzar-la sense ensurts, escriu-me des de la pàgina de contacte i ho revisem junts.
Informació actualitzada a 22 d’octubre de 2026. Els detalls poden canviar; consulta sempre l’avís oficial a php.net. Fonts: alerta de CISA i Help Net Security.
