L’Agència de Ciberseguretat de Catalunya ha activat una alerta preventiva davant de dues vulnerabilitats crítiques en PHP, una tecnologia àmpliament utilitzada per fer funcionar pàgines web i aplicacions. L’INCIBE també ha publicat un avís i recomana revisar els sistemes afectats. Aquestes vulnerabilitats, conegudes conjuntament com a PHP2Shell, podrien permetre que una persona atacant executés instruccions en un servidor vulnerable a través d’internet i sense necessitat d’identificar-se.
En cas d’explotació, es podria comprometre el funcionament del servei i la informació que s’hi gestiona. Si necessites assessorament o acompanyament en temes informàtics, pots contactar amb el nostre equip de servei informàtic i t’assessorarà.
Quins serveis de l’entitat cal revisar?
PHP es troba darrere de moltes eines que fem servir habitualment. Per això, convé revisar especialment:
-
La web de l’entitat, sobretot si està creada amb WordPress, Drupal o Joomla.
-
Els formularis de contacte, inscripció o donacions que formen part d’una web desenvolupada amb PHP.
-
Els portals de persones sòcies, voluntariat o equips professionals.
-
Les intranets i aplicacions de gestió desenvolupades amb aquesta tecnologia.
-
Les webs de projectes, campanyes o activitats que continuïn allotjades en algun servidor, encara que s’utilitzin poc.
-
Altres productes i serveis que incorporin PHP, com alguns panells de gestió o dispositius d’emmagatzematge en xarxa.
No tots aquests serveis estan necessàriament afectats: cal comprovar quina tecnologia fan servir, la versió instal·lada i si el proveïdor hi ha aplicat les correccions. L’INCIBE també ha publicat avisos sobre l’impacte en productes de diferents fabricants.
Què pots fer?
Si la teva entitat té una web o altres aplicacions gestionades per una empresa externa, contacta amb el proveïdor al més aviat possible i demana-li que revisi tots els serveis que utilitzen PHP.
Si disposes d’un equip tècnic propi, cal identificar les instal·lacions afectades i aplicar-hi les actualitzacions de seguretat. El projecte PHP ha publicat les versions 8.2.35, 8.3.36, 8.4.27 i 8.5.12 per corregir les dues vulnerabilitats. Alguns proveïdors poden incorporar les correccions als seus propis paquets, de manera que és important verificar la protecció amb el fabricant o proveïdor corresponent.
L’actualització ha d’incloure el PHP del servidor: tenir WordPress o els seus complements actualitzats no garanteix, per si sol, que aquestes vulnerabilitats estiguin corregides.
Si algun servei utilitza una versió antiga de PHP, convé demanar al proveïdor quines correccions té disponibles i planificar-ne l’actualització a una versió amb suport.
Quan no sigui possible actualitzar immediatament, l’Agència de Ciberseguretat de Catalunya recomana aplicar mesures de protecció perimetral. El CERT de les institucions europees també recomana valorar l’aïllament temporal dels serveis exposats a internet fins que se’n pugui verificar la correcció. Aquestes mesures redueixen l’exposició, però no substitueixen l’actualització.
Què pots preguntar al teu proveïdor?
Pots fer-li arribar aquestes preguntes:
-
Hem revisat tots els serveis de l’entitat que utilitzen PHP?
-
Estan protegits davant les vulnerabilitats CVE-2026-109618 i CVE-2026-109619?
-
Quina actualització o correcció s’hi ha aplicat?
-
Hi ha algun servei pendent d’actualitzar?
Si detectes comportaments estranys o indicis d’un possible accés no autoritzat, comunica-lo al teu equip tècnic o proveïdor perquè pugui investigar-ho.
