PHP2Shell: l'errada de seguretat que afecta milions de webs (i com saber si la teva n'és una)

El dimarts 21 d'octubre de 2026 va saltar una alerta de seguretat de les que no es veuen cada any. Es va fer pública una errada greu, batejada com a PHP2Shell, a la tecnologia sobre la qual funcionen la majoria de pàgines web del món. Des de llavors, els organismes de ciberseguretat de mig món, l'INCIBE a Espanya i l'Agència de Ciberseguretat de Catalunya entre ells, demanen a tothom que tingui una web que l'actualitzi com més aviat millor. Alguns governs europeus van arribar a desconnectar les seves webs oficials mentre ho feien.

Si tens una web feta amb WordPress, una botiga en línia o gairebé qualsevol altra pàgina, això va amb tu. No perquè la teva web tingui cap error, sinó perquè l'errada és a la base sobre la qual se sostenen gairebé totes. En aquest article t'expliquem, sense tecnicismes, què ha passat, què li pot passar a una web que no s'actualitzi, com saber en quina situació és la teva i què cal fer.

Què ha passat, explicat sense tecnicismes

La teva web no funciona sola. Per sota hi ha un «motor», un llenguatge de programació anomenat PHP, que és el que fa que WordPress, WooCommerce, PrestaShop i la majoria de pàgines responguin quan algú hi entra. Segons W3Techs, set de cada deu webs del món funcionen amb ell. És com el motor d'un cotxe: no el veus, però sense ell res no es mou.

El 21 d'octubre, els responsables de PHP van avisar de dues errades en aquest motor. Totes dues estan puntuades amb un 9,2 sobre 10 a l'escala que mesura la gravetat d'aquests problemes, a la categoria «crítica», i totes dues permeten el mateix: que algú, des de qualsevol lloc del món i sense tenir cap contrasenya, faci que el teu servidor executi el que ell vulgui. És com si qualsevol pogués obrir la porta del teu negoci sense clau.

Dues dades més per entendre la mida del problema. Els investigadors que ho van descobrir van comprovar l'atac contra versions actuals de WordPress, Drupal, Joomla i Magento tal com venen de sèrie, i situen l'origen de l'errada en una versió de PHP de fa més d'una dècada: fa anys que hi és sense que ningú la veiés. I ja s'està fent servir: Amazon va detectar el primer intent d'atac quatre dies abans que l'errada es fes pública, i tant Amazon com Cloudflare registren atacs des del dia de l'anunci (Help Net Security, Tenable). L'INCIBE ho classifica al nivell màxim d'importància.

Què li pot passar a la teva web

Quan algú aconsegueix entrar per aquesta errada, la web deixa de ser teva a la pràctica. Segons l'avís de PHP i la cobertura de 3Cat, el que permet és:

• Prendre el control de la web: fer al teu servidor el mateix que podries fer tu, o més.
• Canviar el que veuen els teus clients: pàgines alterades, enllaços a altres llocs, descàrregues que tu no hi has posat.
• Deixar-hi instal·lat codi maliciós que continua funcionant encara que després actualitzis, si ningú no el neteja.
• Arribar a les teves dades: comandes, clients, transaccions i la informació privada dels teus usuaris.

Per això les agències de seguretat dels Estats Units i del Regne Unit han recomanat desconnectar les webs que no es puguin actualitzar de seguida, i per això els Països Baixos i l'administració flamenca de Bèlgica van retirar temporalment webs oficials. No és alarmisme: és el que fa qui no pot actualitzar al moment.

Com saber si la teva web està afectada

Tot es redueix a una pregunta: quina versió de PHP té el teu servidor? És un número que no surt a la web, però que es pot consultar de tres maneres:

1. Preguntant al teu proveïdor d'allotjament o a qui et manté la web. És el més ràpid si no et manegues amb taulers.
2. Al tauler del teu allotjament, on gairebé sempre hi ha un apartat anomenat «Versió de PHP» o «Selector de PHP».
3. Dins de WordPress, al menú Eines, Salut del lloc, pestanya Informació, apartat Servidor. WordPress fins i tot avisa en aquesta pantalla quan la versió és antiga (documentació de WordPress).

Amb el número a la mà, aquesta és la referència:

• Està protegida davant d'atacs nous si té una de les versions corregides, PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o una de posterior. Compte: protegida a partir d'ara; més avall t'expliquem per què això no tanca el tema.
• Està afectada si té qualsevol versió anterior a aquestes. Cal actualitzar.
• Està afectada i, a més, sense arranjament fàcil si té PHP 8.1 o anterior (8.0, 7.4…). Aquestes versions són tan antigues que ja no reben actualitzacions oficials: PHP només ha publicat uns pedaços pensats per a tècnics, i cada proveïdor decideix si els aplica. Si la teva web és en una d'elles, el més probable és que continuï exposada fins que la passin a una versió moderna.

Un detall més: la versió 8.2, encara que avui es pugui corregir, deixa de rebre actualitzacions de seguretat el 31 de desembre de 2026 (registre de canvis de PHP). Qui hi sigui haurà de tornar a moure's d'aquí a dos mesos.

Què cal fer

1. Actualitzar PHP a una versió corregida

És l'única solució completa, i així ho repeteixen els responsables de PHP a cada avís: no hi ha mesures parcials que deixin la web segura. En la majoria dels casos l'actualització es fa al servidor, no a la web, així que depèn del teu proveïdor d'allotjament o de qui te la manté. Als nostres servidors vam aplicar les versions corregides el mateix dia de l'anunci.

2. Si la teva web és en una versió antiga, passar-la a una de moderna

Per a les webs en PHP 8.1 o anterior no n'hi ha prou amb un pedaç: cal pujar a una versió amb suport. És el canvi que més cura demana, perquè una web de fa uns anys pot no estar-hi preparada. T'ho expliquem més avall.

3. Mentrestant, mesures temporals

Per a qui no pugui actualitzar al moment, PHP ha publicat uns ajustos de configuració del servidor que redueixen el risc. Són cosa del teu proveïdor o del teu tècnic, no de la web, i el mateix avís subratlla que no la deixen segura: només guanyen temps fins a l'actualització.

4. Tenir al dia WordPress, el tema i els connectors

Actualitzar WordPress no corregeix aquesta errada, perquè l'errada no és a WordPress. Però una web amb tot al dia té moltes menys portes obertes i, a més, és el que fa possible pujar la versió de PHP sense que res no es trenqui.

5. Revisar si algú ja hi ha entrat, encara que el servidor ja estigui actualitzat

Aquest és el punt que més s'oblida. Els primers atacs es van detectar el 17 d'octubre, quatre dies abans que existís la correcció, i des del dia de l'anunci són continus. Entre aquell moment i el dia que el teu proveïdor va aplicar el pedaç, la teva web va estar exposada, encara que fossin només unes hores. Actualitzar tanca la porta, però no fa fora qui ja hi hagi entrat: un intrús que s'hi va colar durant aquell interval continua dins amb la versió nova. Per això, tenir avui una versió corregida no és cap garantia que la web estigui neta. Convé revisar fitxers modificats o afegits, usuaris desconeguts, tasques programades i contingut estrany, i canviar les contrasenyes d'accés.

Per què convé que ho revisi un professional

Pujar la versió de PHP sembla un clic, i moltes vegades ho és. Però en webs de fa uns anys, amb un tema o connectors que ningú no actualitza des de fa temps, aquell clic pot deixar la web en blanc o amb errors: cada versió nova de PHP retira peces antigues, i el que en depenia deixa de funcionar. És el motiu pel qual moltes webs continuen en versions velles: ningú no s'hi va atrevir.

Un professional comprova primer què fa servir la teva web, fa una còpia de seguretat, prova el canvi en un entorn segur, actualitza el que calgui i, si alguna cosa es trenca, ho arregla en lloc de tornar a la versió vulnerable. És la feina que fem cada dia com a especialistes en WordPress i PrestaShop, i la raó per la qual el manteniment d'una web no és una despesa de més, sinó el que evita ensurts com aquest.

Què hem fet nosaltres

T'ho expliquem perquè és el mateix que et recomanem a tu:

• El mateix 21 d'octubre, tan bon punt es va publicar l'avís, vam demanar al nostre proveïdor la confirmació que els nostres servidors estaven al dia. Aquella mateixa tarda van quedar aplicades les versions corregides de PHP a totes les branques amb suport (8.2 i superiors).
• A més, la funció que aprofita una de les dues errades (el progrés de pujada de sessions) va quedar desactivada a totes les versions dels nostres servidors, també a les antigues, com a mesura de protecció addicional.
• Aquell mateix dia vam actualitzar WordPress, la plantilla i els connectors de totes les webs dels clients que tenen contractat el manteniment amb nosaltres, perquè el canvi de versió de PHP no els afectés i no quedés cap porta oberta.
• Vam avisar per correu els nostres clients d'allotjament i de manteniment del que havíem fet, perquè sabessin que la seva web estava en ordre. I als clients que tenen la web en altres allotjaments els vam demanar que preguntessin al seu proveïdor quan aplicava el pedaç.
• Cap web amb manteniment no va haver de migrar de versió de PHP: amb el manteniment recurrent ja eren en versions modernes, i això és justament el que ho fa fàcil quan salta un avís així. Sí que hem fet aquests dies actualitzacions d'emergència en webs de clients sense manteniment que ens les van demanar arran d'aquest incident.
• Si la teva web és en un altre allotjament, pregunta avui al teu proveïdor quan va aplicar el pedaç, per saber si hi va haver un interval d'exposició.

Preguntes freqüents sobre PHP2Shell

Fonts consultades

Informació revisada el 22 d'octubre de 2026: avís de seguretat de PHP del 21/10/2026 i registre de canvis de PHP 8; fitxes CVE-2026-109618 i CVE-2026-109619 i avisos GHSA-w8hw-w9fx-j79w i GHSA-6wmf-4rv5-p3rp; avís INCIBE-2026-762 d'INCIBE-CERT; anàlisi de Calif; Help Net Security; Tenable; 3Cat; W3Techs; documentació de WordPress.

Etiquetat amb: seguretat webvulnerabilitat PHPPHP2Shellactualitzar PHPWordPressmanteniment web