PHP2Shell: vulnerabilitat crítica a PHP i què hem fet mentre arriba el pedaç

En poques paraules

1. Què: dos errors al mateix PHP, el llenguatge amb què funcionen WordPress, PrestaShop i la majoria de webs. Es coneixen com a PHP2Shell (CVE-2026-109618 i CVE-2026-109619).
2. Gravetat: crítica. PHP els dona un 9,2 sobre 10.
3. A qui afecta: segons les primeres anàlisis, a gairebé qualsevol servidor amb PHP 5.4 o superior, sigui quina sigui la web que hi hagi al damunt.
4. Si estàs allotjat amb nosaltres: la protecció ja està posada a tots els servidors. No has de tocar ni la teva web ni els teus connectors.

Què passa exactament

El 20 d'octubre l'equip de PHP va avisar que publicaria una actualització de seguretat urgent per dos errors crítics. La versió corregida i els detalls oficials estan previstos per a avui, 21 d'octubre, a les 14:00 UTC (les 16:00 a Espanya).

Fins llavors, el que se sap ve d'anàlisis independents que PHP encara no ha confirmat. Apunten que l'error permetria a algú de fora executar codi al servidor sense necessitat d'usuari ni contrasenya, i que ja circula una eina que l'aprofita. No es coneixen atacs reals, però és habitual que arribin en massa tan bon punt es publiquen els detalls.

El que ho fa delicat és on és l'error: PHP el pateix en rebre la petició, abans que arribi a executar-se la web. Per això no s'arregla actualitzant WordPress ni cap connector. L'arranjament ha de venir del mateix PHP o de com està configurat el servidor.

Què s'ha fet als nostres servidors

Les anàlisis assenyalen una funció concreta de PHP: la que informa del progrés mentre es puja un arxiu. Mentre arriba el pedaç, el nostre proveïdor d'infraestructura l'ha desactivada a tots els servidors i l'ha blocada perquè cap web la pugui tornar a encendre pel seu compte. A més, vigila els servidors per si apareixen senyals que algú intenta aprofitar l'error per un altre camí.

Per a la teva web, el canvi no es nota:

1. Els formularis i les pujades d'arxius funcionen exactament igual.
2. WordPress, PrestaShop i Nextcloud no fan servir aquesta funció.
3. L'únic que es perd, en molt pocs casos, és una barra de progrés: la d'importar bases de dades en versions antigues de phpMyAdmin o la de restaurar còpies amb el connector WPvivid. La pujada es fa igual; només que no veus el percentatge.

És una mesura preventiva: tanca el camí que descriuen les anàlisis, però la solució definitiva és instal·lar la versió de PHP corregida. Tan bon punt PHP la publiqui, s'instal·larà als servidors.

Si la teva web fa servir una versió antiga de PHP

Segons les mateixes anàlisis, PHP només publicarà pedaç per a les versions que encara manté, de la 8.2 a la 8.5. Si la teva web funciona amb PHP 7 o amb PHP 8.0 o 8.1, la protecció d'ara la cobreix, però no rebrà l'arranjament oficial. És un bon moment per planificar el salt a una versió amb suport, i si vols t'ajudem a comprovar que la teva web aguanta el canvi.

Si la teva web és en un altre hosting

Pregunta al teu proveïdor dues coses:

1. Si ha desactivat session.upload_progress mentre arriba el pedaç, i si està blocat perquè no es pugui reactivar des de la mateixa web.
2. Quan instal·larà la versió de PHP corregida.

Compte amb una confusió que ja està circulant: les versions 8.5.11, 8.4.26, 8.3.35 i 8.2.34 apareixen en algunes llistes com a «corregides», però són del 24 de setembre, anteriors al pedaç. Tenir-les no et protegeix.

El que encara no se sap

Falta que PHP confirmi la causa dels dos errors, quines versions exactes queden corregides i si el segon necessita una mesura a part. Una de les anàlisis esmenta a més un possible segon camí que aquesta protecció no tancaria. Actualitzarem aquest avís tan bon punt hi hagi informació oficial.