El 21 d’octubre de 2026, l’equip de seguretat de PHP va publicar una actualització extraordinària per corregir dues vulnerabilitats crítiques que afecten un dels llenguatges de programació més utilitzats a Internet.
Els errors, identificats com a CVE-2026-109618 i CVE-2026-109619, han rebut una puntuació de gravetat de 9,2 sobre 10 segons el sistema CVSS 4.0. En determinades condicions, podrien permetre que un atacant executés codi maliciós en un servidor sense necessitat d’autenticar-se.
L’abast potencial és important. PHP és present en nombroses aplicacions corporatives, portals web, botigues en línia i gestors de continguts com WordPress, Drupal i Joomla.
Per a les empreses, aquest incident planteja una pregunta immediata: sabem realment quins servidors i aplicacions utilitzen PHP i si estan actualitzats?
En aquest article expliquem què ha passat, quines versions estan afectades i quines mesures haurien d’adoptar les organitzacions per protegir la seva infraestructura tecnològica.
Què ha passat amb la seguretat de PHP?
PHP és un llenguatge de programació que permet executar aplicacions web, processar formularis, gestionar sessions d’usuari i connectar pàgines amb bases de dades, entre altres funcions.
El problema descobert no es troba en una pàgina web concreta ni en un complement de WordPress, sinó en components interns del mateix llenguatge.
Les dues vulnerabilitats afecten la gestió de memòria i el tractament de determinats errors durant l’execució de PHP.
En condicions específiques, un atacant podria aprofitar aquests errors per manipular el comportament del servidor i aconseguir executar instruccions no autoritzades.
CVE-2026-109618: corrupció de memòria
Aquesta vulnerabilitat està relacionada amb la manera com PHP gestiona determinades situacions en què s’assoleix un límit de memòria.
Quan es produeix un error d’aquest tipus, algunes dades internes poden quedar parcialment inicialitzades i ser utilitzades posteriorment de manera incorrecta.
L’equip de seguretat ha confirmat que, en entorns Apache amb mod_php, s’ha demostrat l’execució remota de codi mitjançant sol·licituds sense autenticar. També se n’ha confirmat l’explotació en PHP-FPM a través de determinades rutes d’execució d’aplicacions.
CVE-2026-109619: estat intern no restablert correctament
El segon error afecta informació interna que pot continuar referenciada després que la memòria corresponent hagi estat alliberada.
Si una sol·licitud posterior utilitza aquest estat incorrecte, es podria produir una corrupció de memòria aprofitable per un atacant.
En tots dos casos parlem de vulnerabilitats que poden afectar el mateix servidor, més enllà de l’aplicació web que s’hi estigui executant.
Quines versions de PHP estan afectades?
L’equip oficial de PHP va publicar el 21 d’octubre quatre versions noves que incorporen les correccions de seguretat.
Les versions corregides són:
- PHP 8.5: actualitzar a la versió 8.5.12 o posterior.
- PHP 8.4: actualitzar a la versió 8.4.27 o posterior.
- PHP 8.3: actualitzar a la versió 8.3.36 o posterior.
- PHP 8.2: actualitzar a la versió 8.2.35 o posterior.
Les instal·lacions que utilitzen versions anteriors dins d’aquestes branques s’han de considerar afectades si encara no han rebut la correcció de seguretat corresponent.
La situació és especialment delicada per a PHP 8.1 i versions anteriors, que ja no disposen de suport oficial del projecte PHP. Alguns fabricants ofereixen correccions específiques per a aquestes versions mitjançant suport ampliat, però cal verificar-ho individualment.
A més, PHP 8.2 arribarà al final del seu suport de seguretat oficial el 31 de desembre de 2026, per la qual cosa convé planificar-ne la migració a una branca amb més recorregut.
És important recordar que algunes distribucions Linux incorporen pegats de seguretat sense modificar necessàriament el número principal de versió. Per tant, comprovar únicament el resultat de php -v no sempre permet determinar si un sistema està protegit.
Per què aquestes vulnerabilitats representen un risc per a les empreses?
Una vulnerabilitat que permet executar codi de manera remota pot tenir conseqüències importants, especialment quan el servidor afectat està connectat a Internet.
Segons els permisos del procés compromès i les proteccions existents, un atacant podria intentar:
- Accedir a informació emmagatzemada o processada per les aplicacions.
- Manipular fitxers i components del servidor.
- Interferir en el funcionament dels serveis corporatius.
- Instal·lar eines malicioses o establir mecanismes de persistència.
- Utilitzar el sistema compromès com a punt de partida per a altres atacs.
Això no significa que totes les instal·lacions de PHP hagin estat compromeses. Significa que les organitzacions amb versions vulnerables han d’avaluar la seva exposició i actuar amb rapidesa.
El risc també depèn de la configuració del servidor, de la tecnologia utilitzada per executar PHP i de les mesures d’aïllament aplicades.
WordPress, aplicacions corporatives i servidors: on és el risc?
Moltes empreses utilitzen PHP sense ser-ne plenament conscients. No es tracta únicament de la seva pàgina web corporativa.
Aquest llenguatge també es pot trobar en plataformes de gestió, aplicacions internes i productes de tercers.
Webs corporatives i botigues en línia
WordPress, Drupal, Joomla i nombroses plataformes de comerç electrònic utilitzen PHP per executar part de les seves funcionalitats.
Encara que el gestor de continguts i les seves extensions estiguin actualitzats, el servidor pot continuar utilitzant una versió vulnerable del llenguatge.
Per això, actualitzar WordPress no equival a actualitzar PHP. Són components diferents i requereixen comprovacions independents.
Aplicacions empresarials
Algunes eines de gestió documental, inventari, monitoratge o administració incorporen PHP com a part de la seva arquitectura.
En aquests casos, el departament tecnològic ha de verificar si el fabricant ha publicat una actualització o si existeix alguna dependència que impedeixi instal·lar immediatament la versió corregida.
Servidors i contenidors Docker
Els entorns de virtualització i contenidors afegeixen una altra dificultat: PHP pot estar integrat dins d’una imatge Docker que no s’actualitza automàticament amb el sistema operatiu amfitrió.
Una empresa podria tenir el seu servidor Linux completament actualitzat i mantenir, al mateix temps, un contenidor amb una versió vulnerable de PHP.
Per tant, també s’han de revisar les imatges utilitzades, les seves dependències i la política d’actualització dels contenidors desplegats en producció.
Què han de fer les empreses per protegir els seus servidors PHP?
Davant de vulnerabilitats d’aquesta gravetat, la resposta ha de ser ràpida, però també organitzada per evitar interrupcions innecessàries en serveis crítics.
Aquestes són les mesures que recomanem prioritzar.
1. Identificar tots els sistemes que utilitzen PHP
El primer pas consisteix a localitzar les instal·lacions existents, incloent-hi servidors físics, màquines virtuals, allotjaments web, aplicacions internes i contenidors.
És especialment important identificar els serveis accessibles des d’Internet i aquells que processen informació sensible.
2. Comprovar les versions i els pegats instal·lats
No n’hi ha prou de conèixer la versió principal del llenguatge. També cal verificar si els paquets instal·lats inclouen les correccions de seguretat publicades per PHP o pel fabricant de la distribució.
En entorns administrats per tercers, és recomanable sol·licitar al proveïdor una confirmació de les versions corregides i de la seva data d’instal·lació.
3. Aplicar les actualitzacions de seguretat
La recomanació oficial és instal·lar com més aviat millor una versió corregida.
En sistemes que utilitzen versions sense suport, cal revisar si existeix manteniment ampliat amb els pegats corresponents o planificar-ne la migració.
Els mecanismes de mitigació temporal poden reduir determinats vectors d’atac, però el mateix equip de PHP adverteix que no substitueixen la instal·lació de les correccions.
4. Comprovar la compatibilitat de les aplicacions
Actualitzar PHP pot afectar aplicacions antigues, biblioteques, extensions i desenvolupaments propis.
Sempre que sigui viable, convé validar els canvis en un entorn de proves abans de traslladar-los a producció, sense endarrerir innecessàriament la correcció dels sistemes exposats.
Una actualització ben planificada hauria de preveure còpies de seguretat verificades, proves funcionals i un procediment de recuperació si apareix alguna incompatibilitat.
5. Revisar els registres i l’activitat sospitosa
La instal·lació del pegat corregeix la vulnerabilitat, però no demostra que el servidor no hagi estat compromès prèviament.
En sistemes potencialment exposats és recomanable revisar els registres del servidor web, els errors de PHP, els processos inesperats i qualsevol modificació sospitosa de fitxers.
Si es detecten indicis de compromís, cal iniciar un procediment de resposta a incidents abans de considerar finalitzada la intervenció.
6. Mantenir una política d’actualitzacions contínua
Aquest incident demostra la importància de disposar d’un inventari tecnològic actualitzat i de procediments per aplicar correccions de seguretat.
No hauria de ser necessari esperar una alerta internacional per descobrir que una aplicació corporativa utilitza una versió de programari obsoleta.
Un servei de manteniment informàtic per a empreses permet organitzar aquestes revisions, gestionar actualitzacions i coordinar intervencions sobre sistemes crítics.
És suficient disposar d’un tallafoc per evitar aquests atacs?
Els tallafocs i les solucions de protecció d’aplicacions web poden contribuir a reduir l’exposició davant de determinats atacs, però no eliminen els errors presents en el codi de PHP.
Un tallafoc d’aplicacions web (WAF) pot bloquejar determinats patrons de trànsit maliciós. Tanmateix, la seva eficàcia depèn de l’existència de regles capaces d’identificar l’intent d’explotació.
A més, les vulnerabilitats descobertes afecten mecanismes interns del llenguatge i poden presentar diferents vies d’explotació.
Per aquest motiu, la instal·lació de les versions corregides continua sent la mesura fonamental.
Les proteccions perimetrals, la segmentació de xarxa, la limitació de privilegis i el monitoratge s’han de considerar capes addicionals dins d’una estratègia de seguretat més àmplia.
La importància del manteniment preventiu en la seguretat empresarial
Una de les principals lliçons d’aquest incident és que la seguretat tecnològica no depèn únicament d’instal·lar antivirus o protegir l’accés a la xarxa.
També és necessari conèixer els components sobre els quals funcionen les aplicacions empresarials i mantenir-los actualitzats.
En organitzacions amb múltiples servidors, proveïdors i aplicacions, aquesta responsabilitat pot estar repartida entre diferents equips.
Per exemple, el proveïdor d’allotjament pot encarregar-se del sistema operatiu, mentre que el manteniment d’una aplicació específica depèn d’un altre proveïdor o del departament tecnològic intern.
Si aquestes responsabilitats no estan clarament definides, determinades actualitzacions poden quedar pendents sense que ningú tingui una visió global de la situació.
Des d’Inmove IT Solutions ajudem les empreses a gestionar les seves infraestructures tecnològiques mitjançant serveis d’administració de sistemes informàtics, manteniment i supervisió.
El nostre enfocament se centra a prevenir incidències, controlar l’estat dels sistemes i facilitar la continuïtat dels serveis empresarials.
Preguntes freqüents sobre les vulnerabilitats crítiques de PHP
Aquests són alguns dels dubtes més habituals que poden sorgir entre els responsables d’empreses després de la publicació de les alertes de seguretat.
Totes les pàgines web que utilitzen PHP són vulnerables?
No necessàriament. Depèn de la versió instal·lada, de les correccions aplicades i de la configuració de l’entorn. No obstant això, les instal·lacions que executen versions afectades sense els pegats corresponents s’han de considerar en risc, especialment si són accessibles des d’Internet.
Actualitzar WordPress protegeix davant d’aquestes vulnerabilitats?
No per si sol. WordPress i PHP són components diferents. Encara que WordPress, els seus temes i els seus plugins estiguin actualitzats, és imprescindible comprovar que el servidor executa una versió corregida de PHP.
Com puc saber quina versió de PHP utilitza la meva empresa?
La versió es pot consultar des de les eines d’administració de l’allotjament, des del mateix servidor o mitjançant ordres com php -v. Tanmateix, en distribucions amb pegats retroportats també cal comprovar l’estat de seguretat dels paquets instal·lats.
Les versions antigues de PHP continuen sent segures?
Les versions que han arribat al final del seu suport oficial deixen de rebre correccions del projecte PHP. Alguns proveïdors ofereixen suport ampliat, però cal comprovar que les vulnerabilitats recents estan corregides. Mantenir una versió obsoleta sense manteniment incrementa el risc.
És necessari aturar una aplicació si no es pot actualitzar immediatament?
Depèn de la seva exposició i de l’avaluació del risc. Els organismes de ciberseguretat recomanen considerar la desconnexió temporal de sistemes vulnerables quan no és possible corregir-los i no existeixen garanties suficients per mantenir-los en funcionament.
Un contenidor Docker amb PHP també es pot veure afectat?
Sí. Si una imatge conté una versió vulnerable de PHP, el contenidor pot estar exposat encara que el sistema operatiu amfitrió estigui actualitzat. Cal comprovar les imatges, instal·lar versions corregides i tornar a desplegar els contenidors afectats.
Inmove IT Solutions: protecció i manteniment d’infraestructures empresarials
Les vulnerabilitats CVE-2026-109618 i CVE-2026-109619 recorden que fins i tot les tecnologies àmpliament utilitzades poden presentar errors greus de seguretat.
La diferència entre una vulnerabilitat corregida a temps i un incident de seguretat pot dependre de la capacitat d’una empresa per identificar els seus actius, gestionar les seves actualitzacions i respondre amb rapidesa.
A Inmove IT Solutions oferim solucions de manteniment i gestió de sistemes orientades a empreses que necessiten mantenir els seus serveis tecnològics operatius i protegits.
Saps si els teus servidors i aplicacions utilitzen versions de PHP afectades? Podem ajudar-te a revisar la teva infraestructura, valorar els riscos i planificar les actualitzacions necessàries, tenint en compte les necessitats de continuïtat del teu negoci.
Descobreix els nostres serveis de manteniment i suport informàtic empresarial.
Necessites assistència especialitzada? Contacta amb nosaltres i estudiarem les necessitats tecnològiques de la teva empresa.
