Taula de continguts
Dues vulnerabilitats crítiques a PHP, batejades com a PHP2Shell, permeten prendre el control d’un servidor web sense necessitat d’usuari ni contrasenya. Si la teva empresa té web, et toca revisar-la.
Aquest dimecres, 21 d’octubre, el projecte PHP va publicar actualitzacions urgents per corregir dues vulnerabilitats crítiques. No és un problema menor: PHP és el llenguatge amb què funcionen la majoria de pàgines web del món, des de les fetes amb WordPress fins a botigues en línia amb PrestaShop o Magento, intranets i ERPs web. Segons dades de W3Techs, el fa servir el 70,5% dels llocs web dels quals es té informació.
Això vol dir que milions de webs, també moltes de pimes del nostre entorn, podrien estar exposades si no s’actualitzen.
Des del SOC d’Infordisa vam emetre l’alerta el mateix dia de la publicació, amb tots els detalls tècnics: PHP2Shell, execució remota de codi a PHP.
Què és PHP2Shell?
PHP2Shell és el nom amb què es coneixen dues vulnerabilitats, identificades com a CVE-2026-109618 i CVE-2026-109619. Totes dues permeten l’execució remota de codi sense autenticació: dit planerament, un atacant podria executar ordres al servidor on hi ha la web sense haver d’iniciar sessió enlloc.
La gravetat és màxima:
- El sistema internacional de puntuació CVSS les qualifica amb un 9,2 sobre 10 (crítica).
- L’INCIBE-CERT les ha classificat amb una importància de 5 sobre 5.
- Els detalls de les vulnerabilitats es van filtrar a internet el 20 d’octubre, abans que hi hagués pegat disponible.
- Cloudflare ja ha detectat els primers intents d’explotació.
- Palo Alto Networks ha comptabilitzat més de 22,6 milions d’instàncies exposades potencialment vulnerables.
Per què és tan greu?
Qui aprofiti aquestes vulnerabilitats podria modificar el contingut d’una web, instal·lar-hi codi maliciós o accedir a les bases de dades que hi ha darrere: dades de clients, comandes, formularis de contacte o transaccions.
La reacció internacional dona la mesura del problema. El Ministeri per a la Transformació Digital ha demanat a entitats públiques i privades que actualitzin de seguida, i organismes com el CERT-EU o el Centre Nacional de Ciberseguretat del Regne Unit han emès avisos similars. A Bèlgica i als Països Baixos, administracions i empreses han arribat a desconnectar webs de manera preventiva fins a poder-les protegir.
Quines versions de PHP estan afectades?
L’equip de PHP indica que totes les versions podrien estar afectades. La situació de cada branca és aquesta:
- PHP 8.2, 8.3, 8.4 i 8.5: tenen versió corregida (8.2.35, 8.3.36, 8.4.27 i 8.5.12). Cal assegurar-se que s’hi ha actualitzat.
- PHP 7.4, 8.0 i 8.1: ja no tenen suport oficial, però donada la gravetat s’han publicat pegats mínims, i molts proveïdors d’allotjament els han aplicat. Tot i així, són versions obsoletes i convé planificar-ne la migració.
- PHP 5.6, 7.0, 7.1, 7.2 i 7.3: no disposen de cap pegat de seguretat. Si la teva web encara funciona amb alguna d’aquestes versions, l’actualització és urgent.
Què has de fer?
- Comprova quina versió de PHP fa servir la teva web. Normalment ho pots veure al panell de control del teu allotjament, en un apartat semblant a Servidor > PHP.
- Actualitza a la versió més recent compatible, preferiblement PHP 8.4 o 8.5.
- Abans de canviar, revisa la compatibilitat de la web, el CMS, el tema i els plugins amb la versió escollida, i fes una còpia de seguretat. Un canvi de versió sense provar pot deixar la web sense funcionar.
- Si tens servidor propi, aplica les actualitzacions de la teva distribució. Si és un allotjament compartit, confirma amb el proveïdor que ha aplicat el pegat.
- Si no pots actualitzar immediatament, aplica les mitigacions temporals que detallem a l’alerta del SOC i, com a últim recurs, valora desconnectar la web fins que estigui protegida.
- Revisa si hi ha indicis d’intrusió en webs que hagin estat exposades sense actualitzar.
No estàs sol
Mantenir PHP al dia no és només una qüestió tècnica: és una de les bases de la seguretat de qualsevol web. Si no saps quina versió fa servir la teva pàgina, si tens dubtes sobre la compatibilitat o vols que revisem la teva exposició, a INFORDISA t’hi ajudem. Existim per ajudar.
Vols rebre alertes de seguretat com aquesta al teu correu?
Subscriu-te al Servei d’avisos del SOC d’INFORDISA.
