Per què t'ha d'importar si ets pime o autònom al sector tech
Si el teu negoci en línia, la teva botiga de comerç electrònic o la teva pàgina web corporativa utilitzen PHP (Hypertext Preprocessor), el que ve a continuació et concerneix de manera urgent. PHP és el llenguatge de programació més emprat en el desenvolupament web, present al voltant del 70% dels llocs a Internet (apnews.com). Dos errors altament greus han estat identificats, amb una puntuació de 9,2 a l'escala CVSS (Common Vulnerability Scoring System) v4.0, la qual cosa els situa en la categoria de “crítics” (gub.uy).
Aquests errors afecten funcionalitats bàsiques del nucli de PHP i permeten a atacants executar codi remot sense autenticació. A la pràctica, podrien accedir als teus servidors o modificar els teus continguts sense que ho detectis a temps. Per això, la Fundació PHP ha instat a aplicar els pegats de forma immediata (apnews.com).
Context i detalls tècnics de les fallades
L’anunci oficial es va fer el 20 d’octubre de 2026, quan l’equip de seguretat de PHP va advertir que el dimarts següent —el 21 d’octubre a les 14:00 UTC— es publicaria una actualització d’emergència per resoldre les vulnerabilitats identificades com a CVE‑2026‑109618 i CVE‑2026‑109619 (discourse.thephp.foundation). Totes dues vulnerabilitats van ser qualificades amb 9,2 sobre 10 a l'escala CVSS v4.0 (tenable.com)
CVE‑2026‑109618 (OOM Corruption): s'aprofita de com PHP gestiona errors de manca de memòria (out‑of‑memory). La neteja posterior pot interpretar dades incompletes com a vàlides, causant corrupció de memòria i execució de codi maliciós (tenable.com).
CVE‑2026‑109619 (Stale Global State): és un use‑after‑free. Restes d'estat global d'una petició anterior poden ser reutilitzades per un treballador per executar codi maliciós en una petició posterior (zaproxy.org).
Aquestes vulnerabilitats afecten totes les instal·lacions que atenen peticions web: PHP‑FPM, Apache amb mod_php, php‑cgi, FrankenPHP, LiteSpeed, etc. (tenable.com). La denominació informal del conjunt és PHP2Shell (es.wikipedia.org).
Implicacions pràctiques per a petites empreses i autònoms
Les explotacions d'aquest tipus d'error permeten a atacants executar codi als teus servidors sense necessitat de credencials. Això significa que podrien inserir portes del darrere, instal·lar codi maliciós, modificar la teva web o robar informació. L'escala del problema és àmplia: moltes webs, des de portals estàndard fins a WordPress, Drupal, PrestaShop o Moodle, poden haver estat afectades gub.uy
Organismes com CISA (agència nord-americana de ciberseguretat) han llançat alertes urgents per corregir aquestes vulnerabilitats o, si no és possible, aïllar els sistemes afectats fins a aplicar la solució (content.govdelivery.com). A Europa i altres països, diversos CERT nacionals han emès avisos similars elpais.com
Passos recomanats per protegir el teu lloc web
Recomanem seguir els passos següents per minimitzar riscos i restablir la seguretat:
- Identifica els sistemes que fan servir PHP: comprova servidors, hostings i components que puguin estar executant PHP vulnerable content.govdelivery.com
- Actualitza a versions aplicades: les versions que corregeixen els errors són PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 (content.govdelivery.com).
- Si no podeu actualitzar immediatament: restringiu temporalment l'accés des d'Internet, utilitzeu firewalls d'aplicacions web (WAF) o xarxes privades, i monitoritzeu processos sospitosos
- content.govdelivery.com
- Reinicieu serveis després d'actualitzar: assegureu-vos de reiniciar PHP‑FPM, Apache, etc., en cas contrari els binaris antics podrien seguir operant reddit.com.
- Vigila indicadors de possible explotació: com a shell inesperats, descàrregues no autoritzades, modificacions d'arxius o comportaments estranys content.govdelivery.com
Conclusió
Aquests dos errors crítics en PHP —CVE‑2026‑109618 i CVE‑2026‑109619— constitueixen una amenaça real per a qualsevol lloc web exposat. Aplicar els pegats oficials disponibles des del 21 d'octubre del 2026 ha de ser prioritat per garantir la continuïtat de la teva activitat digital. Des de CADT Software, et podem ajudar a revisar el teu entorn, aplicar les actualitzacions i reforçar la seguretat de les teves aplicacions web. No deixis que una vulnerabilitat sense pegat comprometi el teu projecte i posa't en contacte amb nosaltres per actuar amb eficàcia i rapidesa.
