Les últimes setmanes han estat de les més mogudes dels darrers anys per a qualsevol web feta amb PHP. Primer va sortir una vulnerabilitat greu al mateix PHP, batejada com a PHP2Shell, i pocs dies després una altra al nucli de WordPress. Totes dues s'estan aprofitant per atacar webs reals.
Si la teva web, botiga online o plataforma de formació funciona amb WordPress, Moodle, PrestaShop, Joomla, Drupal o una aplicació a mida feta amb PHP, et convé llegir això.
Què ha passat amb PHP
El 21 d'octubre, l'equip de PHP va publicar d'urgència una actualització per tancar dues vulnerabilitats (CVE-2026-109618 i CVE-2026-109619). Permeten a un atacant executar codi al servidor sense haver d'iniciar sessió: en la pràctica, prendre el control de la web.
- Afecta pràcticament totes les versions de PHP que serveixen pàgines web, sigui amb Apache, PHP-FPM, LiteSpeed o altres.
- Els detalls es van filtrar abans d'hora i ja s'han detectat atacs reals.
- L'equip de PHP avisa que cap canvi de configuració ho resol del tot: l'única solució és actualitzar.
Les versions corregides són PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Si el teu servidor té una versió anterior d'aquestes branques, és vulnerable.
I amb WordPress
El 28 d'octubre WordPress va publicar la versió 7.1.4 (i correccions per a branques anteriors, com la 7.0.8 o la 6.9.11) per tancar una altra vulnerabilitat (CVE-2026-119977). Aquesta és curiosa: el forat s'obre just mentre s'actualitza WordPress, i durant aquells segons un atacant pot arribar a executar codi.
El 3 de novembre l'agència de ciberseguretat dels Estats Units (CISA) la va afegir a la llista de vulnerabilitats que s'estan explotant activament. Actualitzar plugins i temes no ho soluciona: cal actualitzar el nucli de WordPress.
Per què obliga a actualitzar Moodle, WordPress i companyia
Aquí hi ha el problema de fons. Les versions de PHP anteriors a la 8.2 (8.1, 7.4 i encara més antigues) ja no reben actualitzacions oficials. Per tant, un servidor amb PHP 7.4 o 8.1 es quedarà vulnerable per sempre.
La solució és pujar a una versió de PHP amb suport, però no sempre es pot fer directament:
- Una versió antiga de Moodle no funciona amb PHP 8.3 o 8.4. Abans de canviar PHP, cal actualitzar Moodle. Fins i tot la mateixa organització de Moodle va desconnectar els seus webs públics de manera preventiva mentre aplicava el pegat.
- Un WordPress antic, o amb plugins i temes que fa anys que no s'actualitzen, pot deixar de funcionar amb un PHP nou.
- Passa el mateix amb PrestaShop, Joomla, Drupal i amb qualsevol aplicació a mida programada fa anys.
És a dir, el que semblava una simple actualització del servidor sovint es converteix en una actualització de tota la web. Com més temps fa que no s'actualitza, més feina hi ha.
Què has de fer ara
- Comprova quina versió de PHP tens. Ho pots veure al panell del teu allotjament (cPanel, Plesk…) o preguntar-ho al proveïdor.
- Assegura't que està corregida. Ha de ser 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior. Si és 8.1 o més antiga, cal pujar de versió.
- Actualitza l'aplicació. WordPress a la 7.1.4 (o la corregida de la teva branca), i Moodle, PrestaShop o el que facis servir a una versió compatible amb el PHP nou.
- Fes una còpia de seguretat abans de tocar res, i prova l'actualització primer en una còpia de la web si pots.
- Revisa que ningú hi hagi entrat. Mira si hi ha usuaris administradors que no coneixes, fitxers estranys a la carpeta de pujades o canvis que ningú ha fet. Actualitzar tanca la porta, però no et diu si algú ja havia entrat.
Preguntes freqüents
Tinc la web en un allotjament compartit. Ja ho ha arreglat el proveïdor?
Molts proveïdors ja han actualitzat PHP, però no tots, i sovint deixen triar la versió a cada client. Comprova-ho al panell o pregunta-ho. I recorda que l'actualització de WordPress, Moodle o la teva aplicació normalment és cosa teva, no del proveïdor.
Tinc les actualitzacions automàtiques de WordPress activades. Ja estic tranquil?
Ajuda molt, però només si el servidor té un PHP corregit i la web no està bloquejada en una versió antiga per algun plugin o tema. Val la pena revisar-ho.
La meva aplicació a mida és antiga i només funciona amb PHP 7. Què puc fer?
Cal adaptar el codi perquè funcioni amb una versió actual de PHP. Sovint són canvis acotats, i és una bona ocasió per revisar la seguretat de l'aplicació. Mentrestant, convé limitar qui hi pot accedir des d'internet.
T'ajudem a posar-ho al dia
A WAD fa anys que programem i mantenim webs i aplicacions en PHP. Revisem la versió del teu servidor, actualitzem WordPress, Moodle o la teva aplicació a mida perquè funcionin amb un PHP segur, i comprovem que no hi hagi rastres d'atacs. Escriu-nos per WhatsApp al 630 47 49 88, truca al 977 03 60 10 o consulta la pàgina de programació a mida.