Vulnerabilitats crítiques de PHP: què han de fer les pimes ara

Actualització de PHP: protecció per a servidors web

El projecte PHP ha publicat una actualització de seguretat urgent després de detectar dues vulnerabilitats crítiques, identificades com CVE-2026-109618 i CVE-2026-109619. Amb una puntuació CVSS de 9,2, poden permetre l’execució remota de codi sense autenticació.

Això significa que un atacant podria arribar a executar instruccions al servidor sense disposar d’un compte d’usuari. El risc és especialment rellevant per a les petites i mitjanes empreses, que sovint depenen de webs corporatives, botigues en línia, portals de clients o aplicacions internes basades en PHP.

Per què és important per a una pime?

Una aplicació exposada amb una versió vulnerable pot convertir-se en una porta d’entrada a informació de clients, credencials, bases de dades o altres sistemes de l’organització. A més, una intrusió pot provocar interrupcions del servei, pèrdua de confiança i costos de recuperació que sovint són difícils d’assumir per a una empresa petita.

Què cal fer?

  1. Comprovar la versió de PHP de tots els allotjaments, servidors i serveis web.
  2. Actualitzar immediatament a una versió corregida i compatible amb l’aplicació. El projecte PHP indica que no hi ha una mitigació completa alternativa.
  3. Revisar WordPress, CMS, extensions i aplicacions que funcionin sobre PHP, incloent-hi els components que ja no reben manteniment.
  4. Verificar les còpies de seguretat i assegurar-se que existeix almenys una còpia recent, separada i recuperable.
  5. Revisar els registres del servidor i de l’aplicació per detectar accessos o comportaments anòmals.

Una actualització que també és gestió del risc

Les actualitzacions de PHP no s’haurien de deixar per a l’últim moment. Per reduir riscos, convé mantenir un inventari dels serveis exposats a Internet, establir un calendari d’actualitzacions i provar els canvis abans d’aplicar-los als sistemes més importants.

Si la vostra empresa utilitza PHP i no sabeu quina versió teniu instal·lada o si és compatible amb les aplicacions actuals, és un bon moment per revisar-ho. Una actuació preventiva pot evitar que una vulnerabilitat del servidor es converteixi en una incidència de negoci.

Font: comunicats oficials del projecte PHP, 21 d’octubre de 2026.