Vulnerabilitat PHP2Shell: com saber si el teu web està exposat i què has de fer

El 20 d'octubre de 2026 es va fer pública una vulnerabilitat greu de PHP, coneguda com a PHP2Shell (CVE-2026-109618 i CVE-2026-109619). Permet que un atacant executi codi al servidor sense cap contrasenya, només amb peticions al web. Afecta totes les versions de PHP des de la 5.4 fins a la 8.5.11, i ja s'estava explotant abans que es publiqués.

PHP és el llenguatge amb què funcionen WordPress, Joomla, Drupal, PrestaShop i la majoria de webs fets a mida. Per tant, si tens un web, és molt probable que t'afecti.

Si el teu web és a Intergrid, està protegit

Si tens el web allotjat amb nosaltres, no t'ha afectat de cap manera i no has de fer res. Ho vam explicar per correu als nostres clients el 25 d'octubre.

El dimecres 21 d'octubre, quan es va donar a conèixer la vulnerabilitat, el nostre equip s'hi va posar a l'instant:

• En pocs minuts vam aplicar una primera mesura de protecció a tots els PHP de tots els nostres servidors.
• Tot seguit vam actualitzar i corregir tots els PHP vulnerables de tota la nostra flota de servidors.
• També les versions antigues de PHP que els fabricants ja no actualitzen: les vam recompilar nosaltres mateixos amb les correccions de seguretat, perquè els webs que encara en depenen continuessin funcionant i alhora quedessin protegits.

A més, els webs que tenen el servei WebSentinel es revisen cada nit per detectar-hi codi maliciós. Quan passen coses com aquesta, hi ha un equip vigilant que actua de seguida.

Si el teu web és en un altre allotjament, això és el que has de saber.

Com saber si el teu web està afectat

Les versions corregides són la 8.5.12, la 8.4.27, la 8.3.36 i la 8.2.35, o posteriors. Les branques 7.4, 8.0 i 8.1 només tenen correcció si el proveïdor l'ha aplicada pel seu compte. Les versions 5.x, 7.2 i 7.3 no en tindran mai d'oficial.

Per saber quina versió fa servir el teu web:

• A WordPress: Eines → Salut del lloc → Informació → Servidor.
• Al tauler del teu allotjament, a l'apartat de configuració de PHP.
• Preguntant-ho al teu proveïdor d'allotjament, que t'hauria de poder dir també si ja hi ha aplicat la correcció.

Si el teu web funciona amb una versió antiga de WordPress o de PHP, és dels que corren més risc: són els que no es poden actualitzar d'un dia per l'altre.

Què has de fer

• Actualitzar PHP a una versió corregida. És l'única solució completa.
• Si el web no funciona amb un PHP modern, cal actualitzar WordPress, la plantilla i els connectors, o substituir els que ja no tenen manteniment.
• Mentrestant, el proveïdor pot reduir el risc desactivant session.upload_progress al php.ini del servidor. No serveix posar-ho al .user.ini del web.
• Revisar que el web no tingui cap fitxer estrany: si algú hi ha entrat, la correcció no l'expulsa.

El teu web és en un altre allotjament i no saps per on començar?

Ens en podem fer càrrec. Traslladem el teu web a Intergrid de manera gratuïta, amb el correu i el domini si cal, i el deixem funcionant sobre una versió de PHP corregida i mantinguda. Si el web és antic, et diem què cal actualitzar perquè funcioni amb un PHP modern sense perdre continguts ni posicionament, i ho fem nosaltres.

Abans de començar t'enviem un pressupost sense compromís, i la migració només comença quan l'aproves.