{"id":10302,"date":"2026-10-22T11:42:14","date_gmt":"2026-10-22T10:42:14","guid":{"rendered":"https:\/\/josepgonzalez.com\/?p=10302"},"modified":"2026-10-22T12:17:44","modified_gmt":"2026-10-22T11:17:44","slug":"vulnerabilitat-php-php2shell-wordpress","status":"publish","type":"post","link":"https:\/\/josepgonzalez.com\/ca\/vulnerabilitat-php-php2shell-wordpress\/","title":{"rendered":"Vulnerabilitat de PHP (PHP2Shell): qu\u00e8 ha passat i com solucionar-la"},"content":{"rendered":"<p>Si tens un web, aquesta setmana haur\u00e0s vist titulars sobre una fallada cr\u00edtica a PHP. I amb ra\u00f3: el 21 d&#8217;octubre de 2026 l&#8217;equip de PHP va publicar peda\u00e7os d&#8217;urg\u00e8ncia per a dues vulnerabilitats que permeten executar codi en un servidor sense necessitat d&#8217;usuari ni contrasenya. T&#8217;explico qu\u00e8 ha passat amb la <strong>vulnerabilitat de PHP<\/strong>, a qui afecta i com solucionar-la, sense tecnicismes i sense alarmisme.<\/p>\n<h2>Qu\u00e8 ha passat amb la vulnerabilitat de PHP<\/h2>\n<p>Les fallades es diuen CVE-2026-109618 i CVE-2026-109619, i es coneixen com a <strong>PHP2Shell<\/strong>. Les dues tenen una gravetat de 9,2 sobre 10 i permeten l&#8217;execuci\u00f3 remota de codi sense autenticaci\u00f3. Dit en planer: alg\u00fa des de fora podria fer que el teu servidor executi ordres que no s\u00f3n teves.<\/p>\n<p>El m\u00e9s important en poques l\u00ednies:<\/p>\n<ul>\n<li><strong>On \u00e9s la fallada:<\/strong> a PHP, el llenguatge amb qu\u00e8 funciona el teu web, no a WordPress ni als teus connectors.<\/li>\n<li><strong>Gravetat:<\/strong> cr\u00edtica, 9,2 sobre 10.<\/li>\n<li><strong>A qui afecta:<\/strong> segons l&#8217;ag\u00e8ncia nord-americana CISA, a les instal\u00b7lacions de PHP que atenen peticions web.<\/li>\n<li><strong>Peda\u00e7os disponibles:<\/strong> PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.<\/li>\n<li><strong>Atacs:<\/strong> quan CISA va publicar la seva alerta no havia observat explotaci\u00f3, per\u00f2 altres mitjans parlen d&#8217;intents primerencs d&#8217;aprofitar-la. Millor no esperar a comprovar-ho.<\/li>\n<\/ul>\n<h2>Afecta el meu web WordPress?<\/h2>\n<p>Si el teu web fa servir PHP, i WordPress el fa servir, s\u00ed que et pot afectar mentre el teu servidor tingui una versi\u00f3 sense peda\u00e7. Aqu\u00ed hi ha la confusi\u00f3 m\u00e9s habitual: <strong>el problema no \u00e9s a WordPress<\/strong>, ni al teu tema, ni als teus connectors. Per aix\u00f2 actualitzar WordPress no ho arregla. El que cal actualitzar \u00e9s PHP al servidor, i aix\u00f2 es fa des del teu allotjament.<\/p>\n<p>El mateix val per a Drupal, Joomla, Magento o PrestaShop. Si nom\u00e9s ets visitant de webs, no has de fer res.<\/p>\n<h2>Com solucionar-ho pas a pas<\/h2>\n<ol>\n<li><strong>Fes una c\u00f2pia de seguretat<\/strong> completa d&#8217;arxius i base de dades abans de tocar res.<\/li>\n<li><strong>Comprova la teva versi\u00f3 de PHP.<\/strong> La veus al tauler del teu allotjament o, a WordPress, a Eines &gt; Salut del lloc &gt; Informaci\u00f3 &gt; Servidor.<\/li>\n<li><strong>Actualitza PHP<\/strong> a una versi\u00f3 corregida (8.5.12, 8.4.27, 8.3.36 o 8.2.35). Molts allotjaments apliquen el peda\u00e7 sense canviar el n\u00famero de versi\u00f3, aix\u00ed que pregunta&#8217;ls si ja inclou les correccions de CVE-2026-109618 i CVE-2026-109619.<\/li>\n<li><strong>Si uses PHP 8.1 o anterior,<\/strong> aquestes versions ja no tenen suport oficial. CISA recomana desconnectar els sistemes basats en PHP fins que es puguin actualitzar. El m\u00e9s assenyat \u00e9s migrar a 8.3 o superior i provar abans el teu web, perqu\u00e8 algun connector o tema antic pot donar problemes.<\/li>\n<li><strong>Activa un tallafoc (WAF)<\/strong> com a mesura temporal. Ajuda, per\u00f2 no substitueix l&#8217;actualitzaci\u00f3.<\/li>\n<li><strong>Vigila els dies seg\u00fcents:<\/strong> administradors que no coneixes, connectors o arxius que no has instal\u00b7lat, redireccions estranyes o avisos del teu allotjament o de Google.<\/li>\n<\/ol>\n<p>Si no pots actualitzar ara i el teu web no \u00e9s imprescindible aquests dies, el CERT-EU recomana posar-lo fora de l\u00ednia fins a resoldre-ho. \u00c9s dr\u00e0stic, per\u00f2 m\u00e9s barat que netejar un web infectat.<\/p>\n<h2>Per qu\u00e8 un bon manteniment web et dona tranquil\u00b7litat<\/h2>\n<p>Aquesta vulnerabilitat no ser\u00e0 l&#8217;\u00faltima. Cada poques setmanes apareix una fallada a PHP, a WordPress o en algun connector. La difer\u00e8ncia entre assabentar-te per un titular i tenir ja el problema resolt \u00e9s si alg\u00fa s&#8217;ocupa del teu web de manera cont\u00ednua.<\/p>\n<p>Un bon pla de <a href=\"https:\/\/josepgonzalez.com\/ca\/manteniment-wordpress\/\">manteniment WordPress<\/a> sol cobrir aix\u00f2:<\/p>\n<ul>\n<li><strong>C\u00f2pies de seguretat<\/strong> autom\u00e0tiques i comprovades, per poder tornar enrere si alguna cosa falla.<\/li>\n<li><strong>Actualitzacions de PHP, WordPress, tema i connectors<\/strong> amb proves pr\u00e8vies, perqu\u00e8 res es trenqui pel cam\u00ed.<\/li>\n<li><strong>Vigil\u00e0ncia<\/strong> de caigudes, programari malici\u00f3s i vulnerabilitats conegudes.<\/li>\n<li><strong>Alg\u00fa que t&#8217;avisi i actu\u00ef<\/strong> quan surt una fallada com aquesta, en lloc de descobrir-ho tu.<\/li>\n<li><strong>Revisi\u00f3 despr\u00e9s d&#8217;un incident,<\/strong> per si l&#8217;atacant va deixar alguna cosa amagada.<\/li>\n<\/ul>\n<p>Un web sense mantenir funciona b\u00e9&#8230; fins que deixa de fer-ho. I quan falla \u00e9s en el pitjor moment: en plena temporada, amb una campanya en marxa o amb clients entrant. Mantenir-lo al dia \u00e9s molt m\u00e9s barat i tranquil que reparar el dany. Si acabes de llan\u00e7ar el teu web, mira tamb\u00e9 els <a href=\"https:\/\/josepgonzalez.com\/ca\/5-passos-despres-de-crear-el-teu-web\/\">5 passos per fer despr\u00e9s de crear el teu web<\/a>.<\/p>\n<h2>Preguntes freq\u00fcents<\/h2>\n<h3>Actualitzar WordPress arregla la vulnerabilitat de PHP?<\/h3>\n<p>No. La fallada \u00e9s a PHP, que s&#8217;actualitza al servidor a trav\u00e9s del teu allotjament. Conv\u00e9 mantenir tamb\u00e9 WordPress i els connectors al dia, per\u00f2 \u00e9s una altra cosa.<\/p>\n<h3>Com s\u00e9 quina versi\u00f3 de PHP t\u00e9 el meu web?<\/h3>\n<p>Al tauler del teu allotjament, o a WordPress des d&#8217;Eines &gt; Salut del lloc &gt; Informaci\u00f3 &gt; Servidor. Si no la trobes, pregunta al teu prove\u00efdor.<\/p>\n<h3>El meu allotjament diu que ja est\u00e0 apeda\u00e7at, per\u00f2 la versi\u00f3 no ha canviat. \u00c9s normal?<\/h3>\n<p>S\u00ed, alguns prove\u00efdors i distribucions apliquen la correcci\u00f3 sense canviar el n\u00famero de versi\u00f3. Demana&#8217;ls confirmaci\u00f3 que inclou CVE-2026-109618 i CVE-2026-109619.<\/p>\n<h3>Puc continuar amb PHP 7.4 o 8.0?<\/h3>\n<p>No \u00e9s recomanable. S\u00f3n versions sense suport oficial i no figuren entre les corregides que cita CISA. Planifica la migraci\u00f3 com m\u00e9s aviat millor.<\/p>\n<h3>Es pot trencar el meu web en actualitzar PHP?<\/h3>\n<p>Pot passar, sobretot amb connectors o temes antics. Per aix\u00f2 es fa amb c\u00f2pia de seguretat i, si \u00e9s possible, provant abans en un entorn de proves.<\/p>\n<h2>Si prefereixes no preocupar-te d&#8217;aix\u00f2<\/h2>\n<p>Si no saps quina versi\u00f3 de PHP t\u00e9 el teu web o prefereixes que alg\u00fa s&#8217;encarregui d&#8217;actualitzar-la sense ensurts, escriu-me des de la <a href=\"https:\/\/josepgonzalez.com\/ca\/contacte\/\">p\u00e0gina de contacte<\/a> i ho revisem junts.<\/p>\n<p><em>Informaci\u00f3 actualitzada a 22 d&#8217;octubre de 2026. Els detalls poden canviar; consulta sempre l&#8217;av\u00eds oficial a php.net. Fonts: <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/10\/21\/critical-vulnerabilities-php-require-immediate-patching\" target=\"_blank\" rel=\"noopener\">alerta de CISA<\/a> i <a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/21\/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"noopener\">Help Net Security<\/a>.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Dues fallades cr\u00edtiques a PHP (PHP2Shell) posen en risc milions de webs. Qu\u00e8 ha passat, com actualitzar-lo i per qu\u00e8 compensa el manteniment web.<\/p>\n","protected":false},"author":1,"featured_media":10303,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[86,87,88],"tags":[],"class_list":["post-10302","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-marqueting-digital","category-seo-ca","category-wordpress-ca"],"_links":{"self":[{"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/posts\/10302","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/comments?post=10302"}],"version-history":[{"count":1,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/posts\/10302\/revisions"}],"predecessor-version":[{"id":10304,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/posts\/10302\/revisions\/10304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/media\/10303"}],"wp:attachment":[{"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/media?parent=10302"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/categories?post=10302"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/josepgonzalez.com\/ca\/wp-json\/wp\/v2\/tags?post=10302"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}