La teva web és vulnerable a
PHP2Shell?

Què és PHP2Shell: la vulnerabilitat crítica de PHP del 2026, explicada amb claredat

PHP és el motor invisible de la majoria de webs: WordPress, botigues en línia, intranets. S’han trobat dues fallades greus en aquest motor.

PHP2Shell és el nom amb què es coneixen dues vulnerabilitats crítiques del nucli de PHP, divulgades i corregides el 21 d’octubre de 2026 i valorades amb un 9.2 sobre 10 a l’escala CVSS 4.0. Les fallades permeten que algú, sense tenir accés ni contrasenya, enviï a la teva web una petició preparada i aconsegueixi executar les seves pròpies ordres al servidor. Si passés, podria modificar la web, accedir a les dades que guarda o fer-la servir per atacar-ne d’altres. Afecten pràcticament totes les versions de PHP que no s’hagin actualitzat, i el risc és més alt en servidors que fan servir mod_php.

Afecta la meva web? Versions de PHP afectades i corregides

Si la teva web fa servir PHP i no s’ha actualitzat des del 21 d’octubre de 2026, podria estar exposada. No cal que sàpigues quina versió tens: el comprovador de més amunt et dona una primera pista i, si no es pot veure des de fora, més avall tens què has de preguntar.

Com a visitant d’altres webs, pots navegar amb normalitat. Aquestes fallades afecten el servidor, no el teu ordinador o mòbil.

Què cal fer si la teva web la porta una altra persona

No has de tocar res. Has de preguntar. Copia aquest correu i envia’l al teu allotjament o a qui et va fer la web:

Si en 48 hores no tens una resposta clara, ja és un senyal. Una web necessita algú que la mantingui.

Com actualitzar PHP davant de PHP2Shell, pas a pas

El definitiu és actualitzar PHP. Les mitigacions només redueixen l’exposició mentrestant.

1. Pas 1 · Comprova la teva versió i la teva SAPI

   Al servidor, mira quina versió s’executa i com (mod_php, PHP-FPM o CGI):

   php -v
   php -i | grep -i "Server API"

   Si fas servir paquets del sistema, revisa també el changelog de la teva distribució: la correcció pot venir aplicada sense que canviï el número de versió.

2. Pas 2 · Actualitza a la versió corregida

   8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 segons la teva branca. Exemples:

   # Debian / Ubuntu
   sudo apt update && sudo apt upgrade php*
   
   # RHEL / AlmaLinux / Rocky
   sudo dnf update php\*

   Amb Docker, canvia a l’etiqueta corregida de la imatge i torna-la a construir.

3. Pas 3 · Reinicia tots els workers de PHP

   L’actualització no s’aplica fins que no reinicies els processos. Diverses mitigacions tampoc no funcionen amb ini_set() o .user.ini: cal reiniciar.

   sudo systemctl restart php8.3-fpm   # o la teva versió
   sudo systemctl restart apache2      # si fas servir mod_php

4. Pas 4 · Si encara no pots actualitzar: mitigacions temporals

   Aplica-les a la configuració efectiva (php.ini de la SAPI web o pool de FPM), de manera que l’aplicació no les pugui sobreescriure, i reinicia els workers. No substitueixen l’actualització.

   ; php.ini (contra CVE-2026-109619)
   session.upload_progress.enabled = 0
   
   ; (contra CVE-2026-109618)
   memory_limit = -1

   Al servidor web o proxy: bloqueja multipart/form-data si no el necessites i abaixa post_max_size. A PHP 8.5, desactiva els backtraces en les fallades fatals (fatal errors).

5. Pas 5 · Comença pel que està més exposat

   Primer els sistemes públics i els que fan servir mod_php. Després, panells tipus cPanel/Plesk i aplicacions com WordPress, Drupal, Magento o Laravel, exposades a través del nucli de PHP.

6. Pas 6 · Comprova que tot està bé i busca senyals d’accés previ

   Després d’actualitzar, revisa si algú va poder aprofitar la fallada abans: pics de peticions multipart seguides de fallades de memòria o errors 500 repetits, galetes PHPSESSID anòmales, reinicis inesperats de workers, fitxers PHP modificats o webshells, usuaris administradors nous o connexions sortints estranyes. En cas de dubte, canvia contrasenyes, claus API i tokens dels sistemes PHP exposats.

La comprovació fiable es fa al servidor

El que aquesta web llegeix des de fora és una pista, no una prova. Això és el que és fiable:

# Quina versió s’executa realment?
php -v

# El paquet del sistema inclou la correcció? (busca els CVE al changelog)
# Debian/Ubuntu:
zcat /usr/share/doc/php*/changelog.Debian.gz 2>/dev/null | grep -i "109618\|109619"
# RHEL-like:
rpm -q --changelog php | grep -i "109618\|109619"

Preguntes freqüents sobre PHP2Shell