PHP2Shell: pegat d'emergència per a una RCE crítica de PHP

• Seguretat
• PHP
• WordPress

El 21 d’octubre, PHP va publicar pegats d’emergència per a dues vulnerabilitats crítiques d’execució remota de codi sense autenticació, amb CVSS 9,2. Se les coneix com PHP2Shell: CVE-2026-109618 (corrupció per esgotament de memòria) i CVE-2026-109619 (un use-after-free). Amazon ja havia detectat explotació real abans de la divulgació, i Sansec ha reproduït l’atac contra WordPress, Drupal, Joomla, Magento, Laravel, Symfony, phpMyAdmin i Nextcloud.

El detall que més ens importa si tens una web: és un fallo del llenguatge PHP, no de cada aplicació. Actualitzar WordPress o els plugins no n’hi ha prou. Cal actualitzar el PHP del servidor — a les versions 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o el pegat portat per la teva distribució o cPanel — i reiniciar php-fpm, Apache o LiteSpeed, perquè el pegat només fa efecte quan es reinicien els workers.

Si tens hosting gestionat, demana confirmació al proveïdor. Si la teva web va sortir del Kit Digital amb un agent digitalitzador, escriu-li i que et confirmi que el servidor està pegat i reiniciat.

Hem preparat una pàgina d’alerta permanent sobre PHP2Shell amb els passos concrets, com comprovar la versió de PHP de la teva web (sense escanejar mai webs d’altres) i les fonts oficials. Si necessites ajuda per actualitzar-la, parla’ns.

Actualització (23 d’octubre): PHP ha reconegut oficialment un tercer CVE, el 2026-115560: una altra RCE, lligada a session.upload_progress quan l’aplicació canvia el serialitzador de sessió. No és un bypass dels pegats del 21: és un vector nou i estret, amb arranjament pendent per a la propera release. Mitigació immediata: session.upload_progress.enabled = 0 al php.ini del servidor (no val un ini_set() a l’app) i reiniciar els workers. Tots els detalls, a la pàgina d’alerta.

Font: https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php