PHP publica una actualització d'emergència per dues vulnerabilitats crítiques

Notícia del 21 d’octubre de 2026. El projecte PHP ha publicat una actualització de seguretat d’emergència que corregeix dues vulnerabilitats crítiques d’execució remota de codi. Estan catalogades com a CVE-2026-109618 i CVE-2026-109619 i puntuen 9,2 sobre 10 de gravetat.

Si ja confies en el nostre hosting Linux, ets en bones mans: vam aplicar l’actualització en menys de 12 hores des que es va publicar. Així ho fem.

Què ha passat

• Dos errors crítics a PHP: poden permetre que un atacant executi codi al servidor sense necessitat d’identificar-se.
• Afecten el propi PHP, no la teva web: una web amb codi impecable també pot quedar exposada si el servidor fa servir una versió de PHP sense pedaç.
• Ja hi ha intents d’explotació: s’han detectat els primers atacs, tot i que sense bretxes confirmades en el moment de la notícia.

Quines versions corregeixen el problema

Són les versions amb suport oficial. Per a les branques antigues el projecte PHP no ha publicat una versió nova: t’ho expliquem a l’apartat següent.

I si faig servir una versió antiga de PHP?

• Continuen afectades. Les versions sense suport oficial de PHP (la 8.1 i anteriors) tenen el mateix error i el projecte PHP no en publica cap versió nova.
• Les distribucions Linux amb suport han publicat paquets corregits, i una actualització normal del sistema els aplica.
• Les versions molt antigues d’una distribució poden rebre la correcció només amb suport ampliat de pagament.
• El paquet corregit conserva el número antic, de manera que el número de versió no diu si està apedaçat. Comprova amb el teu proveïdor que ha aplicat l’actualització.
• Un plus al nostre hosting Linux: a més del que inclou la distribució, mantenim altres branques de PHP i els apliquem la mateixa correcció.
• Si no pots actualitzar ara, hi ha mesures temporals (desactivar l’opció session.upload_progress, limitar la memòria i la mida de les pujades o restringir l’accés públic), però redueixen el risc, no l’eliminen.
• La solució és migrar a una versió amb suport, cosa que en webs molt antigues convé planificar i provar abans.

Què significa per a la teva empresa

• Actualitzar PHP és l’única solució completa. Les mesures temporals redueixen el risc, però no cobreixen totes les variants.
• WordPress, botigues en línia i altres webs funcionen sobre PHP, de manera que depenen que el servidor estigui al dia.
• Si el teu allotjament no el gestiona un tercer, algú ha d’aplicar l’actualització com més aviat millor.

Què fer ara

1. Esbrina quina versió de PHP fa servir la teva web i qui s’encarrega d’actualitzar-la.
2. Demana al teu proveïdor que confirmi que ja ha aplicat la versió corregida.
3. Si fas servir una versió antiga, planifica el salt a una versió amb suport.
4. Mantén còpies de seguretat recents abans de qualsevol actualització.

Fonts

Avís de seguretat de PHP recollit per CERT-EU, Qualys i Sansec.

Vols oblidar-te de les actualitzacions?

Al nostre hosting Linux ens encarreguem de mantenir PHP i el sistema al dia. Descobreix com ho fem.

Explica’ns el teu cas.