Black October: el mes que va canviar el ritme de la ciberseguretat

D'on surt Black October?

La denominació Black October va començar a guanyar visibilitat després del 21 doctubre. Aquest dimecres l'equip de PHP va publicar pegats d'emergència per a dues vulnerabilitats crítiques, CVE-2026-109618 i CVE-2026-109619 (CVSS 9.2), batejades com PHP2Shell. Permeten executar codi al servidor sense autenticar-se i afecten pràcticament totes les branques de PHP de l'última dècada. Les versions corregides són 8.2.35, 8.3.36, 8.4.27 i 8.5.12.

PHP mou al voltant del 70 % dels llocs web, així que limpacte va ser immediat. Diverses agències van demanar pegats immediatament o desconnectar els llocs fins a poder-ho fer, i administracions de diferents països van deixar webs fora de línia com a precaució. A les mateixes hores es van acumular altres avisos greus (GitLab, Node.js, LiteLLM, eMudhra), i la suma de tot això va donar nom a l'episodi.

Segons diverses cròniques, l'etiqueta va néixer en una publicació a la X de matinada del 22 d'octubre que descrivia les 48 hores anteriors com les pitjors que es recordaven en seguretat. El mitjà Forkast adverteix que no va aconseguir localitzar aquest missatge original, així que cal prendre l'origen exacte amb cautela. El que sí que està documentat és la seva difusió: Axios el feia servir el 22, CNBC i The Guardian el 23, i avui ja existeix una entrada a Wikipedia amb aquest nom.

I a Espanya? Segons Escudo Digital, no hi va haver una apagada massiva de portals ministerials, però INCIBE va elevar a crític el seu avís i, seguint les seves pautes i les del CCN-CERT, moltes administracions locals, universitats i centres de recerca van obrir finestres de manteniment per a pegats.

El que va passar a l'octubre

Black October no va ser un atac, sinó una concentració d'incidents i avisos crítics, sobretot entre el 17 i el 22 d'octubre. Aquestes són les notícies que ho van definir:

Una dada inquietant: Amazon va detectar intents d'explotar PHP2Shell el 17 d'octubre, quatre dies abans dels pegats oficials.

Tres lectures de Black October

1. La IA ja juga als dos equips

Feia més d'una dècada que hi havia errors de PHP2Shell. Els van trobar investigadors de Wiz i Calif a l'agost, amb ajut de models avançats d'IA. En paral·lel, Microsoft va documentar com Storm-0940 feia servir un framework de pentesting amb IA agèntica per automatitzar el reconeixement i l'accés. La mateixa tecnologia que accelera la defensa accelera l?atac.

2. Una onada de divulgació, no d'atacs

Forkast ho va resumir bé: l'etiqueta amaga el rellotge. Moltes de les bretxes revelades aquella setmana van començar setmanes o mesos abans; en alguns casos, al maig o al setembre. Pegat PHP2Shell no expulsa un intrús que ja és a dins. Per a un SOC, Black October va ser primer un problema de recerca i després un de pegat.

3. La cadena de subministrament és el nou perímetre

LiteLLM, el CLI d'OVHcloud, ConnectWise o UpdraftCentral tenen alguna cosa en comú: l'atacant no va entrar per la porta de la víctima, sinó mitjançant una eina de confiança. Una actualització legítima, un paquet o una clau de gestió remota són suficients per arribar a centenars d'organitzacions alhora.

Què hauria de revisar la teva empresa ara

Si tens una web, una intranet o qualsevol aplicació al PHP, la pregunta no és si t'afecta, sinó si ja estàs protegit i com ho demostres.

• Versió de PHP del servidor. Confirma amb el teu hosting que corre 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior. Actualitzar connectors de WordPress no corregeix l'intèrpret.
• Configuració complementària. PHP va recomanar el 23 d'octubre desactivar session.upload_progress.enabled fins a la següent versió de correcció.
• Sistemes heretats. Allò que no es pugui actualitzar, s'aïlla o es desconnecta. És el que va demanar l?exdirector de CISA Chris Krebs a les empreses petites.
• Eines de desenvolupament i gestió. Revisa GitLab autogestionat, Node.js, LiteLLM i qualsevol eina de gestió remota de webs.
• Secrets i credencials. Trenca claus d'API, tokens i contrasenyes que podrien haver estat exposats.
• Mirar enrere. Revisa logs dels últims mesos, no només aquesta setmana. Si la vostra retenció de registres és curta, aquest és el primer punt a millorar.
• Inventari. No es pot pegat el que no se sap que existeix: quins sistemes tens, quines versions i qui hi té accés.

Reflexió: com evolucionarà la ciberseguretat

Black October no serà una excepció, sinó una bestreta. Si la IA és capaç de trobar en setmanes fallades que feia deu anys que estaven ocults en codi revisat per milers de persones, el més lògic és esperar més onades com aquesta. Hi ha molt de codi antic sostenint Internet, i ara hi ha eines capaces de llegir-lo a escala.

El temps de reacció es mesura en hores. En el cas de PHP2Shell, l'explotació es va reportar fins i tot abans que arribessin els pegats. El cicle de pegats una vegada al mes deixa de ser suficient per als sistemes exposats a Internet. Guanyarà qui sàpiga què té, on i com actualitzar-ho ràpidament.

La defensa també s?automatitza, però amb criteri humà. Els SOC es recolzaran cada cop més a IA per acotar l'exposició, correlacionar esdeveniments i prioritzar. Però decidir què es desconnecta, a qui s'avisa i quin risc s'assumeix continuarà sent feina de persones.

Els nostres agents d'IA són una nova superfície d'atac. Les empreses comencen a donar a eines autònomes accés a codi, credencials i producció. Això exigeix permisos mínims, registre de cada acció i entorns aïllats, igual que amb qualsevol usuari privilegiat.

I, sobretot, el que és bàsic torna a importar. Inventari, actualitzacions, autenticació multifactor, còpies de seguretat provades i logs que es conservin el temps suficient. No és el més vistós, però és el que separa qui surt d'un Black October amb un ensurt de qui apareix a la llista de bretxes següent.

A Infordisa existim per ajudar. Si no tens clar com ha quedat la teva infraestructura després d'aquest octubre, el nostre SOC et pot ajudar a revisar-la.

Fonts

• Black October (information security) – Wikipedia
• AI's 'Black October': Critical PHP flaws set off global security scramble – CNBC