PHP2Shell: vulnerabilitats crítiques a PHP i què cal fer ja

Actualitzat a 22 d’octubre de 2026 · GAITS Solutions

Què ha passat

PHP ha corregit dues fallades greus en parts que es fan servir en gairebé cada petició: la gestió de memòria i el tractament d’errors.

• CVE-2026-109618: si una petició arriba al límit de memòria de PHP en el moment exacte, poden quedar dades internes a mig inicialitzar que corrompen la memòria. En Apache amb mod_php es pot provocar sense autenticació, fins i tot abans que s’executi el codi de l’aplicació.
• CVE-2026-109619: un error fatal en el moment just pot deixar referències a memòria d’una petició anterior, que una altra petició pot reutilitzar.

Totes dues tenen una puntuació de 9,2 sobre 10 (CVSS 4.0) i poden permetre l’execució remota de codi: és a dir, que un atacant prengui el control del servidor.

Versions corregides

Les versions que corregeixen les dues fallades són:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Les branques sense suport (8.1 i anteriors) no reben versions oficials. Si el teu servidor en fa servir una, la recomanació és migrar a una versió amb suport com més aviat millor.

M’afecta?

Si el teu web, la botiga en línia (WordPress, WooCommerce, PrestaShop…), l’ERP o l’aplicació funcionen amb PHP en una versió anterior a les corregides, sí. El risc és més alt en servidors amb Apache i mod_php, però també s’ha confirmat l’execució de codi en PHP-FPM a través del codi d’algunes aplicacions. Diverses empreses de seguretat han informat d’intents d’explotació, així que convé actuar ja.

Què cal fer avui

1. Comprova la teva versió de PHP: al tauler del hosting, a l’eina de salut del lloc de WordPress o amb php -v al servidor.
2. Actualitza a la versió corregida de la teva branca (o a una branca amb suport) i reinicia el servei web o PHP-FPM.
3. Si el web és en un hosting compartit, pregunta al proveïdor si ja ha aplicat l’actualització i en quina data.
4. Revisa els registres dels últims dies per si hi ha errors de memòria o caigudes de processos inusuals.
5. Assegura les còpies de seguretat abans i després d’actualitzar.

Desactivar l’opció session.upload_progress.enabled redueix part del risc d’una de les fallades, però no substitueix l’actualització: és l’única solució completa.

Una lliçó per a totes les empreses

Un servidor actualitzat no es manté sol. Les vulnerabilitats crítiques apareixen sense avisar i cal aplicar els pegats en hores, no en setmanes. Per això el manteniment informàtic preventiu i la vigilància dels servidors són la base de la ciberseguretat de qualsevol empresa. Llegeix també què passa amb els NAS Synology i les VPN de SonicWall.