Dues vulnerabilitats crítiques en PHP, un dels llenguatges de programació més utilitzats a internet, han desencadenat una alerta internacional de ciberseguretat després de ser descobertes amb l’ajuda de la intel·ligència artificial. Les fallades, identificades com a CVE-2026-109618 i CVE-2026-109619 i conegudes conjuntament com a PHP2Shell, poden permetre l’execució de codi maliciós en determinades condicions i comprometre la seguretat dels servidors afectats.

La gravetat dels errors ha portat administracions, empreses i proveïdors tecnològics a actualitzar els sistemes d’urgència i, en alguns casos, a desconnectar temporalment serveis accessibles per internet. L’alerta ha afectat serveis governamentals, hospitals, empreses de transport i entitats financeres de diferents països.

Les dues vulnerabilitats crítiques de PHP poden permetre executar codi maliciós en servidors afectats.

PHP és present en una part molt important de la infraestructura web mundial. Segons les dades de W3Techs, s’utilitza en aproximadament el 70% dels webs dels quals es coneix el llenguatge de programació del servidor. Això inclou plataformes àmpliament esteses com WordPress, Drupal, Joomla i Magento. Aquesta proporció no significa que totes aquestes webs siguin vulnerables, ja que l’exposició depèn de les versions i les configuracions utilitzades.

Milions d’intents d’atac després de fer-se públiques les vulnerabilitats

La publicació de les vulnerabilitats ha desencadenat una cursa entre els responsables de protegir els sistemes i els actors que intenten explotar els errors. Cloudflare, empresa especialitzada en infraestructura i seguretat web, va informar que havia detectat un augment molt ràpid dels intents d’atac després de fer-se pública la informació tècnica.

Segons Matthew Prince, conseller delegat de Cloudflare, l’empresa havia observat milers d’intents d’explotació durant les deu hores anteriors a l’anunci públic. La xifra va passar a desenes de milers en els 45 minuts posteriors, a centenars de milers en dues hores i, posteriorment, a milions.

Els intents d’atac no equivalen necessàriament a intrusions reeixides. Les informacions publicades inicialment no documentaven robatoris de dades derivats de l’explotació d’aquestes vulnerabilitats, tot i que el volum d’activitat detectat ha reforçat la necessitat d’actuar amb rapidesa.

PHP2Shell ha desencadenat una alerta internacional i milions d’intents d’atac després de fer-se públiques les fallades.

Les vulnerabilitats poden permetre l’anomenada execució remota de codi: la possibilitat que un atacant faci executar instruccions en un servidor sense disposar de les credencials d’accés necessàries. Segons les condicions de l’explotació, això podria facilitar el compromís d’aplicacions, l’accés a informació o la manipulació de sistemes.

Davant d’aquest risc, els responsables de PHP van publicar actualitzacions de seguretat el 21 d’octubre i van instar els usuaris a instal·lar-les immediatament. L’Institut Nacional de Ciberseguretat de l’Estat espanyol (INCIBE) també va emetre una alerta amb recomanacions per actualitzar les versions afectades i aïllar temporalment els sistemes exposats a internet quan no sigui possible aplicar les correccions.

Administracions i empreses desconnecten serveis preventivament

L’alerta ha provocat interrupcions preventives en diferents països. Als Països Baixos, les mesures han afectat portals governamentals i serveis públics; a Finlàndia, el proveïdor informàtic estatal Valtori va bloquejar temporalment l’accés a webs públiques mentre desplegava les actualitzacions. A França, Orange va suspendre temporalment l’accés a determinats webs i aplicacions basats en PHP en algunes de les seves filials.

També s’han comunicat mesures preventives al Japó, Alemanya, Bèlgica i Dinamarca, entre altres països. En alguns casos, les organitzacions han optat per desconnectar els serveis fins a comprovar que les actualitzacions s’han instal·lat correctament i que els sistemes funcionen amb garanties.

Aquestes interrupcions no impliquen necessàriament que els serveis hagin estat atacats. En molts casos, són mesures de precaució per reduir l’exposició mentre es corregeixen les vulnerabilitats i es comprova que les aplicacions continuen funcionant correctament.

cdmon va aplicar mesures de mitigació el mateix dia

Els proveïdors d’allotjament web tenen un paper important en aquest tipus d’incidents, perquè gestionen la infraestructura sobre la qual funcionen moltes pàgines. En declaracions a Metadata, de l’equip de Customer Care de cdmon explica que l’empresa va actuar preventivament tan bon punt va tenir coneixement de les vulnerabilitats.

“El 21 d’octubre, a les 07.30 h, vam aplicar mesures temporals de mitigació per reduir l’exposició dels nostres serveis”, detalla cdmon. Posteriorment, “a les 19.00 h del mateix dia, vam aplicar les actualitzacions de seguretat corresponents a la nostra infraestructura gestionada”.

L’empresa assegura que les versions de PHP dels serveis gestionats ja disposen de les correccions necessàries. Tanmateix, no facilita dades verificades sobre possibles intents d’explotació ni sobre afectacions concretes als seus clients, i tampoc no detalla els mecanismes interns de protecció desplegats.

CDmon va aplicar mesures temporals de mitigació el 21 d’octubre a les 7.30 h i va actualitzar la infraestructura gestionada el mateix dia a les 19 h.

L’equip de cdmon subratlla que l’abast de l’incident depèn tant de la rapidesa amb què s’apliquen les correccions com de la responsabilitat de cada actor de l’ecosistema. “A CDmon ens encarreguem de mantenir actualitzada i protegida la infraestructura dels nostres serveis gestionats, incloses les versions de PHP”, explica.

Aquesta protecció, però, no cobreix necessàriament tots els components d’una pàgina web. Els titulars dels webs continuen sent responsables de mantenir actualitzats els gestors de continguts, els complements, els temes i les aplicacions que utilitzen.

La intel·ligència artificial accelera la detecció de vulnerabilitats

Un dels elements més rellevants de l’incident és el paper de la intel·ligència artificial en el descobriment de les fallades. L’empresa de ciberseguretat Wiz ha explicat en un comunicat que va utilitzar eines d’IA per analitzar el codi de PHP i identificar els errors, en coordinació amb els responsables del llenguatge i altres actors del sector.

La capacitat d’analitzar grans quantitats de codi i detectar patrons problemàtics pot ajudar a trobar vulnerabilitats que han passat desapercebudes durant anys. En aquest cas, les informacions publicades assenyalen que els errors eren presents en versions de PHP de fa més d’una dècada.

La IA ha ajudat a detectar les vulnerabilitats, però també pot facilitar que els actors maliciosos identifiquin i intentin explotar errors de seguretat.

Ara bé, aquesta capacitat no és exclusiva dels equips de defensa. Quan els detalls tècnics d’una vulnerabilitat es fan públics, els atacants també poden utilitzar eines automatitzades per estudiar les correccions, identificar sistemes que encara no s’han actualitzat i provar d’explotar-los.

cdmon considera que la IA pot tenir un efecte doble en aquest escenari. “La intel·ligència artificial pot contribuir a identificar vulnerabilitats amb més rapidesa, però també pot facilitar que determinats actors maliciosos detectin i intentin explotar errors de seguretat”, afirma a Metadata.

Alhora, afegeix, aquesta tecnologia representa una oportunitat per reforçar la detecció, automatitzar tasques d’anàlisi i accelerar la resposta defensiva. “La ciberseguretat requereix una vigilància constant, capacitat de resposta i una col·laboració estreta entre els desenvolupadors de programari, els proveïdors d’infraestructura i els usuaris”, conclou.

Una cursa contra el rellotge per protegir els webs

L’incident posa de manifest la dependència de l’ecosistema digital respecte de programari compartit per milions de serveis i la dificultat de corregir vulnerabilitats quan afecten tecnologies àmpliament implantades.

Disposar d’una actualització no garanteix que tots els sistemes quedin protegits immediatament: les organitzacions han d’identificar les versions afectades, aplicar les correccions, comprovar-ne el funcionament i revisar els serveis que han quedat exposats. En infraestructures complexes, aquest procés pot requerir temps i coordinació.

Mantenir PHP actualitzat no és suficient: els responsables dels webs també han de revisar els gestors de continguts, els complements, els temes i les aplicacions.

Per als webs allotjats en serveis gestionats, és important comprovar amb el proveïdor que la infraestructura està actualitzada. En canvi, les organitzacions que administren els seus propis servidors o aplicacions han de revisar els avisos de seguretat i aplicar les correccions corresponents.

La lliçó principal és que la velocitat de detecció ha d’anar acompanyada d’una capacitat igualment ràpida de resposta. La intel·ligència artificial pot ajudar a descobrir errors greus en programari que fa anys que s’utilitza, però també redueix el temps disponible per reaccionar quan aquests errors es fan públics.

En aquest context, mantenir els sistemes actualitzats i coordinar desenvolupadors, proveïdors i responsables de webs és essencial per limitar l’impacte de les vulnerabilitats.