Alerta de seguretat · Crítica

Alerta PHP2Shell: vulnerabilitat crítica a PHP que afecta WordPress i milions de webs

Publicat el 31 d'octubre de 2026 · Equip PeakCyberArch

Dues fallades al mateix PHP, el llenguatge amb què funcionen WordPress, Drupal, Joomla o PrestaShop, permeten a un atacant executar codi al servidor sense usuari ni contrasenya. Ja hi ha escanejos massius buscant webs sense actualitzar. T'expliquem què és, com saber si t'afecta i què cal fer avui.

Què ha passat?

El 21 d'octubre de 2026 l'equip de PHP va publicar actualitzacions d'emergència per a dues fallades crítiques batejades com a PHP2Shell. Les van trobar investigadors de seguretat a l'agost amb ajuda de models d'intel·ligència artificial i les van comunicar de manera responsable abans de fer-les públiques. L'error feia més d'una dècada que era amagat al codi de PHP.

Tan bon punt se'n van publicar els detalls, diverses organitzacions de ciberseguretat van detectar escanejos i atacs a gran escala. La premsa internacional n'ha dit «Black October»: la IA accelera tant el descobriment de vulnerabilitats com la creació d'atacs, i el marge entre que surt un pedaç i comencen els atacs s'ha reduït a hores o pocs dies.

A qui afecta?

La fallada és a PHP, no en una aplicació concreta. Per això pot afectar qualsevol cosa que funcioni amb PHP, tot i que el risc exacte depèn de la configuració de cada servidor:

• Webs i botigues en línia: WordPress, WooCommerce, Drupal, Joomla, PrestaShop, Magento.
• Eines internes: Nextcloud, phpMyAdmin, correu web Roundcube, intranets i aplicacions a mida amb Laravel o Symfony.
• Equips amb tauler web: alguns NAS, routers i altres dispositius porten PHP a la interfície d'administració.
• Webs amb PHP 8.1 o anterior: ja no reben pedaços oficials. L'única solució és migrar a una versió amb suport.

Com saber quina versió de PHP fa servir la teva web

1. A WordPress: Eines → Salut del lloc → Informació → Servidor, apartat «Versió de PHP».
2. Al tauler del teu hosting (cPanel, Plesk, DirectAdmin…): busca «Versió de PHP» o «Select PHP Version».
3. En un servidor propi: php -v. Comprova també la versió que fa servir realment la web (PHP-FPM o el mòdul d'Apache), que de vegades no coincideix.
4. Si no saps qui gestiona la teva web: demana al teu proveïdor, per escrit, la versió exacta de PHP i la data en què es va actualitzar.

Versions corregides

Què cal fer avui

1. Fes una còpia de seguretat recent i guarda-la fora del servidor abans de tocar res.
2. Actualitza PHP a una versió corregida, o demana al teu hosting que et confirmi que ja ho ha fet.
3. Reinicia el servei (PHP-FPM, Apache o el contenidor) perquè la versió nova entri en ús, i torna a comprovar la versió que realment serveix la web.
4. Si no pots actualitzar ara, limita l'accés: desconnecta l'aplicació d'internet o deixa-la accessible només per VPN. Un tallafoc d'aplicacions web (WAF) ajuda com a mesura temporal, però no substitueix el pedaç.
5. Busca senyals d'intrusió des del 21 d'octubre: administradors nous que no coneixes, fitxers .php estranys (sobretot a les carpetes de pujades), contingut modificat, pics de trànsit o peticions estranyes als registres.
6. Si creus que ja t'han atacat: no esborris res, aïlla el servidor i contacta amb un professional perquè ho analitzi.

Les webs que fem no fan servir PHP: funcionen sense cap servidor per mantenir, sobre la xarxa de Cloudflare, així que aquest tipus de fallada no les afecta. Si estàs cansat d'apagar focs, també et podem migrar a una cosa així.

Preguntes freqüents

Fonts

• PHP: anuncis oficials de versions
• NVD: CVE-2026-109618 · CVE-2026-109619
• HKCERT: avís sobre PHP2Shell

Informació orientativa basada en fonts públiques a data de publicació. La situació pot canviar: confirma sempre els detalls amb el teu proveïdor.