?Què és
PHP2Shell són dues errades crítiques del mateix PHP (9,2 sobre 10) que podrien permetre a un tercer executar codi al servidor sense iniciar sessió.
Comprova qualsevol web abans que algú hi entri.
El 21.10.2026 PHP va publicar la correcció de seguretat de dues errades crítiques que permeten executar codi al servidor (PHP2Shell). senseforat és una eina gratuïta per a qualsevol web (botigues, blogs, empreses, entitats, administracions…): mirem des de fora, sense tocar res, si mostra PHP i quina versió (també si està feta amb WordPress, Drupal o Joomla). Fins que s'actualitzin, les webs amb PHP estan exposades. Que no ho veiem no vol dir que no hi sigui.
Escaneja qualsevol web
La teva botiga, el teu blog, l'empresa, l'entitat o l'administració que vulguis. Fem una sola petició passiva a la pàgina d'inici i el resultat queda registrat públicament. Només guardem la web i el resultat; de tu, res.
Fes córrer l’eina
Comparteix a X Comparteix a LinkedIn
Enllaços normals cap a X i LinkedIn: no carreguem cap script seu ni cap píxel de seguiment. Compartiu l’eina, no cap web concreta.
PHP exposat i PHP caducat
Retratades
Webs on hem vist PHP, directament o perquè funcionen amb un gestor com WordPress. Estan exposades a PHP2Shell fins que el seu servidor apliqui la correcció de seguretat. Això no vol dir que hagin estat atacades. Primer, les que no tindran correcció.
Totes les webs de la memòria
Rànquing
De més a menys urgent. Clica un nom per obrir-ne la fitxa i l'historial.
| Web | Municipi · comarca | Tecnologia | Servidor | PHP | Darrera anàlisi | Veredicte |
|---|
Registre públic
Darrers escanejos
Cada anàlisi (manual, automàtica de webs en català —ajuntaments inclosos— o de la llista inicial), de la més recent a la més antiga.
947 municipis · dades obertes de la Generalitat
Ajuntaments de Catalunya
Cada dia n'inspeccionem unes quantes webs a l'atzar, primer les que no s'han mirat mai. Les que encara no s'han analitzat les pots escanejar tu mateix.
Catalunya: 946 municipis · 251 inspeccionats · 25 amb PHP exposat o caducat · 695 pendents.
| Municipi | Comarca | Web | Tecnologia | Darrera anàlisi | Estat |
|---|---|---|---|---|---|
| Ivars de Noguera | Noguera | ivarsnoguera.ddl.net | Plone | 21.10.2026 10:02 | Sense PHP |
| Ivorra | Segarra | ivorra.ddl.net | Plone | 21.10.2026 10:59 | Sense PHP |
| Jafre | Baix Empordà | jafre.cat | — | — | Pendent |
| La Jonquera | Alt Empordà | lajonquera.cat | — | — | Pendent |
| Jorba | Anoia | jorba.cat | — | — | Pendent |
| Josa i Tuixén | Alt Urgell | tuixent.ddl.net | — | — | Pendent |
| Juià | Gironès | juia.cat | — | — | Pendent |
| Juncosa | Garrigues | juncosa.cat | — | — | Pendent |
| Juneda | Garrigues | juneda.cat | — | — | Pendent |
| Linyola | Pla d'Urgell | ajuntamentdelinyola.cat | — | — | Pendent |
| La Llacuna | Anoia | ajuntamentlallacuna.cat | — | — | Pendent |
| Lladó | Alt Empordà | ca.llado.cat | — | — | Pendent |
| Lladorre | Pallars Sobirà | ajuntament-lladorre.tavascan.net | — | — | Pendent |
| Lladurs | Solsonès | lladurs.cat | — | — | Pendent |
| La Llagosta | Vallès Oriental | llagosta.cat | — | — | Pendent |
| Llagostera | Gironès | llagostera.cat | — | — | Pendent |
| Llambilles | Gironès | llambilles.cat | — | — | Pendent |
| Llanars | Ripollès | llanars.cat | — | — | Pendent |
| Llançà | Alt Empordà | llanca.cat | WordPress 7.1.3 | 21.10.2026 20:03 | PHP, versió amagada |
| Llardecans | Segrià | llardecans.cat | — | — | Pendent |
PHP2Shell · CVSS 9,2
Què pot passar
Afecta qualsevol web amb PHP al servidor: botigues, blogs, empreses, entitats o administracions. És execució remota de codi: un atacant podria fer funcionar el seu programa al servidor, potser sense contrasenya.
Si no s'aplica la correcció de seguretat, un atacant podria:
- prendre el control del servidor i deixar-hi portes del darrere (web shells)
- canviar la web o publicar-hi contingut fals
- robar dades personals de la ciutadania (bretxa RGPD)
- injectar programari maliciós o pàgines de pesca
- saltar a altres sistemes interns
- xifrar-ho tot i demanar un rescat
Vegeu un exemple educatiu simulat: què podria passar a una web qualsevol →
Gravetat 9,2/10 (CVSS v4.0) [1][2]. La correcció de seguretat es va publicar el 21.10.2026: PHP demana a tothom que actualitzi immediatament i diu que no hi ha cap mitigació completa [1]. Abans de la publicació, Sansec preveia atacs massius poc després [3].
Quines webs poden estar afectades
- Confirmat Segons l'avís oficial, el risc afecta totes les instal·lacions de PHP que serveixen pàgines web (PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP, LiteSpeed) que no tinguin la versió corregida [1].
- Confirmat Versions corregides: 8.2.35, 8.3.36, 8.4.27, 8.5.12. La 8.1 i anteriors no reben versions noves de PHP: cal un backport del proveïdor o migrar [1].
- Segons Sansec Inclou botigues Magento, Shopware i WooCommerce [3]: risc afegit per a dades de pagament i de clients.
- L'avís oficial de PHP ja és públic. senseforat no en reprodueix els detalls tècnics: només us diem si cal actualitzar.
Què cal fer
- Truqueu ara al vostre proveïdor d'allotjament i confirmeu que ja ha actualitzat PHP. Les distribucions Linux i els proveïdors amb suport llarg ja tenien els paquets corregits [1].
- Només es corregeix al servidor, actualitzant PHP. Actualitzar WordPress, Drupal, Joomla, PrestaShop o qualsevol altre gestor no n'hi ha prou [3].
- La correcció de seguretat ja és disponible: actualitzeu PHP al servidor a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 segons la vostra branca, primer els servidors oberts a internet [1].
- PHP 8.1 o anterior: demaneu al proveïdor un backport de la correcció o migreu a una versió amb suport [3]. Mentrestant, desconnecteu-lo d'internet o poseu-lo darrere d'una VPN.
- Un WAF ajuda, però no substitueix la correcció. Cloudflare ha publicat regles d'emergència genèriques («Anomalous Execution») al seu Managed Ruleset; no diu que siguin específiques d'aquesta vulnerabilitat [5].
- Feu inventari de tot el PHP, també el dels panells (cPanel, Plesk), aplicacions i aparells de proveïdors.
- Vigileu si
php-fpm,php-cgi,httpdoapache2obren intèrprets d'ordres. - Si sospiteu una intrusió: aïlleu el servidor, conserveu els registres i busqueu web shells, fitxers nous, tasques cron i comptes nous.
Consells no oficials Mesures temporals si no podeu actualitzar de seguida
Proposades per un desenvolupador web a X [6]; no les ha validat PHP:
- desactivar temporalment la pujada de fitxers;
- desactivar
session.upload_progress.enabled(posar-lo a0alphp.ini); - si teniu PHP inferior a 8.2, actualitzar.
La correcció de seguretat ja és disponible
PHP la va publicar el 21.10.2026 per a les branques amb suport: 8.2.35, 8.3.36, 8.4.27 o 8.5.12. Actualitzeu PHP al servidor a la versió de la vostra branca, o posterior [1].
Disponibledes del 21.10.2026 · actualitzeu ara
La vulnerabilitat
Els investigadors anomenen php2shell dues vulnerabilitats crítiques d'execució remota de codi (RCE) a PHP, amb una puntuació de 9,2 sobre 10 (CVSS v4.0). Els identificadors que han circulat són CVE-2026-109618 i CVE-2026-109619; l'avís oficial de PHP no n'esmenta cap.
La correcció es va publicar fora del calendari habitual, el 21.10.2026, per a les branques 8.2, 8.3, 8.4 i 8.5: 8.2.35, 8.3.36, 8.4.27, 8.5.12. Les versions anteriors a aquestes de cada branca (fins a 8.5.11, 8.4.26, 8.3.35 i 8.2.34) no porten la correcció. La 8.1 i anteriors no reben versions noves de PHP.
Fonts
- PHP.net: «Security advisory: Critical remote code execution vulnerabilities, update now» · avís oficial, 21.10.2026 · avís previ
- The Hacker News: «PHP2Shell: two unpatched critical PHP flaws»
- Sansec: «Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619»
- watchTowr: preguntes freqüents sobre CVE-2026-109618
- Cloudflare: «WAF Release – 2026-10-21 – Emergency»
- Manz (desenvolupador web) a X: consells no oficials · fil
Consultades el 21.10.2026. «Confirmat» vol dir que ho diu l'avís oficial de PHP; la resta són informacions de tercers.
Guia pràctica
Com protegir-se de PHP2Shell
Si la teva web funciona amb PHP, aquesta és la guia: què hi ha en joc, com saber quina versió tens, com actualitzar-la al servidor, què fer mentrestant i què fer si sospites una intrusió.
La correcció de seguretat només s’aplica al servidor, actualitzant PHP
Què hi ha en joc
En un minut: què és, a qui afecta i què cal fer ara.
!A qui afecta
A qualsevol web que funcioni amb PHP al servidor —WordPress, Drupal, Joomla, PrestaShop, Moodle o codi propi— mentre no s’hi apliqui la correcció de seguretat.
⚠Què podria passar
Desfiguració de la web, exposició de dades, rescat o bloqueig dels fitxers i interrupció del servei. Vegeu l’exemple educatiu →
- Sapigues la versióComprova quina versió de PHP fa servir el servidor.
- Actualitza PHP al servidorA 8.2.35, 8.3.36, 8.4.27 o 8.5.12, segons la branca.
- Torna-ho a comprovarReinicia PHP i verifica la versió; després, torna a escanejar.
Tres idees equivocades
- «Ja he actualitzat WordPress.» No n’hi ha prou: la correcció és de PHP, al servidor.
- «Tinc Cloudflare o un WAF.» Ajuda a filtrar atacs coneguts, però no substitueix la correcció.
- «La meva web no mostra la versió de PHP.» Amagar-la és una bona pràctica, però no protegeix de res.
Com saber quina versió de PHP tens
Quatre maneres, de la més fiable a la més ràpida. La que compta és la del servidor que serveix la web.
ADes del servidor
Si hi tens accés per SSH:
php -vAtenció: el PHP de la línia d’ordres pot ser diferent del que fa servir la web (PHP-FPM o el mòdul del servidor).
BUn fitxer info.php temporal
Puja un fitxer amb un nom poc previsible amb aquest contingut, obre’l al navegador i mira «PHP Version»:
<?php phpinfo();Esborra’l immediatament després de mirar-ho: mostra tota la configuració del servidor.
CPregunta al proveïdor
Si tens allotjament compartit o gestionat, el panell (cPanel, Plesk…) sol mostrar la versió. Si no, demana-la al proveïdor per escrit, i pregunta quan aplicarà la correcció de seguretat.
DLa capçalera X-Powered-By
Alguns servidors l’anuncien a les capçaleres:
curl -sI https://la-teva-web.example | grep -i x-powered-bySi no hi surt no vol dir que no hi hagi PHP: amagar-la és una bona pràctica. senseforat també ho mira, amb una sola petició passiva. Comprova la teva web →
Actualitza PHP
És l’única mesura que tanca el forat. La correcció de seguretat ja és disponible des del 21 d’octubre de 2026: 8.2.35, 8.3.36, 8.4.27 o 8.5.12, segons la vostra branca.
8.5 · 8.4 · 8.3 · 8.2Amb suport: correcció disponible. Actualitzeu a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o posterior) segons la branca.
8.1 o anteriorSense suport: PHP no en publica versió corregida. Cal un backport del proveïdor o migrar a 8.2 o posterior.
Versions corregides i sumes de verificació oficials
Si compileu PHP des del codi font, comproveu que el fitxer baixat és l’original abans d’instal·lar-lo: la suma SHA-256 ha de coincidir exactament. Baixeu-lo només de php.net/downloads.php.
| Branca | Versió corregida | SHA-256 .tar.gz | SHA-256 .tar.xz |
|---|---|---|---|
| 8.5 | 8.5.12 | php-8.5.12.tar.gz81a0f450349e84b08eb43faa85f8a4c835684f3cc1c50471775d1317a046c525 | php-8.5.12.tar.xz08bc2eba2a588654ade1357174aa646b761556c862dda0678345ee29ed481209 |
| 8.4 | 8.4.27 | php-8.4.27.tar.gz5bafed9994c1a49796b25b5f61c22c9183bfe046b6acc7b363842d03c77f972f | php-8.4.27.tar.xzdcf93923b0e38e0d5252b25b796520b5a47761a08b3488b6d0b5d1115764d3f0 |
| 8.3 | 8.3.36 | php-8.3.36.tar.gzc93f3441f87f6ab156bef4432db215d7e61ca2c0183bb3a2aa28d9886ab59f53 | php-8.3.36.tar.xzdd54693aa334c5c4d72e9aee96b082c2473750a18a6c1d105789c93a3b1692fd |
| 8.2 | 8.2.35 | php-8.2.35.tar.gz9db4204f0a2d1911277ae832185e07bb4c3b3559772753a70d2968ca346d6910 | php-8.2.35.tar.xz5737b98601fe5ab1b8c5db0c82ed3158acb9283ed3081ffe2faffb9ac81455e6 |
sha256sum php-8.3.36.tar.xzFont: php.net, dades oficials de cada versió (8.5, 8.4, 8.3, 8.2), consultades el 21.10.2026. Si feu servir paquets de la vostra distribució Linux, la verificació la fa el gestor de paquets: no cal fer-la a mà. senseforat no allotja cap fitxer de PHP.
- Actualitza PHP al servidor ara a la versió corregida de la teva branca: 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o posterior).
- Actualitzar WordPress, Drupal, Joomla o els connectors no n’hi ha prou. La correcció és del mateix PHP, no del gestor de continguts.
- PHP 8.1 o anterior: demana un backport al proveïdor o a la distribució, o migra a una branca amb suport (prova-ho abans en un entorn de proves).
- Reinicia PHP-FPM o el servidor web i torna a comprovar la versió: fins que no es reinicia, pot continuar funcionant la versió antiga.
- Allotjament compartit: ho ha de fer el proveïdor. Demana-li confirmació per escrit de la versió i de la data.
Mentre no pots actualitzar
Mesures temporals que redueixen el risc. Cap d’elles substitueix la correcció de seguretat.
WAFUn tallafoc d’aplicacions web
Serveis com Cloudflare han publicat regles d’emergència per a PHP2Shell. Activa-les si en tens, però tingues en compte que ajuden a filtrar atacs coneguts i no substitueixen la correcció.
ⓘAmaga la versió
Desactiva la capçalera X-Powered-By amb expose_php = Off al php.ini. És una bona pràctica que dona menys pistes, però no protegeix de res per si sola.
No oficialDesactivar la pujada de fitxers
Si la web no la necessita, valora desactivar temporalment la pujada de fitxers (file_uploads = Off).
Consell no oficial d’en Manz, no validat per PHP.
Avís oficialProgrés de pujada de sessions
Si no podeu actualitzar de seguida, l’avís oficial de PHP recomana desactivar-lo i reiniciar tots els processos de PHP:
session.upload_progress.enabled = 0Redueix l’exposició, però segons PHP només l’actualització és una solució completa.
Si sospites una intrusió
Senyals típics: fitxers nous que ningú ha pujat, canvis a la pàgina pública, comptes d’administrador desconeguts o un consum estrany del servidor.
Aïlla el servidor
Posa la web en manteniment o desconnecta-la. No esborris res encara.
Conserva els registres
Fes una còpia dels registres d’accés, d’errors i de PHP-FPM, i una imatge del servidor si pots, abans de tocar res.
Busca webshells
Fitxers
.phpnous o modificats recentment (sobretot a carpetes de pujades), funcions comevalobase64_decodeen fitxers estranys, comptes nous i tasquescronnoves.find /var/www -name "*.php" -newermt "2026-10-21" -lsCanvia les credencials
Base de dades, panell d’administració, FTP/SFTP, claus d’API i les claus secretes del gestor (p. ex. les «salts» de WordPress). Restaura des d’una còpia neta i actualitza PHP abans de tornar a publicar.
Avisa
El proveïdor d’allotjament; l’Agència de Ciberseguretat de Catalunya (administracions catalanes) o l’INCIBE-CERT (empreses i ciutadania, telèfon 017). Si hi ha dades personals afectades, cal notificar-ho a l’autoritat de protecció de dades (APDCAT o AEPD) en un termini de 72 hores.
Avisa el responsable d’una web
Has vist que una web exposa PHP i vols avisar-ne el responsable (el webmaster, l’empresa o l’ajuntament)? Aquí tens un text neutre i informatiu. Escriu-hi l’adreça, revisa’l i envia’l tu mateix: senseforat no envia res a ningú.
Assumpte: Avís informatiu: la vostra web sembla funcionar amb PHP (PHP2Shell) Bon dia, Us escric per informar-vos que, segons una anàlisi passiva i pública feta amb senseforat.cat, la web [DOMINI] sembla funcionar amb PHP. Què vol dir: el 21 d’octubre de 2026 PHP va publicar una correcció de seguretat per a dues errades crítiques conegudes com a PHP2Shell (CVE-2026-109618 i CVE-2026-109619, puntuació 9,2 sobre 10). Fins que el servidor no apliqui aquesta correcció, les webs que funcionen amb PHP hi poden estar exposades. Les versions de PHP sense suport (8.1 o anteriors) no reben versions corregides de PHP. Aquest avís és només informatiu. L’anàlisi és externa i passiva (una sola petició a la pàgina d’inici, com la que fa qualsevol navegador): no prova cap vulnerabilitat i no indica que la web hagi estat atacada. Passos recomanats: 1. Confirmeu amb el vostre proveïdor d’allotjament quina versió de PHP fa servir el servidor. 2. Apliqueu la correcció de seguretat, ja disponible, actualitzant PHP al servidor a la versió corregida de la vostra branca: 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o posterior). Actualitzar només el gestor de continguts (WordPress, Drupal, Joomla…) no n’hi ha prou. 3. Si feu servir PHP 8.1 o anterior, demaneu un backport o planifiqueu la migració a una versió amb suport. 4. Mentrestant, un tallafoc d’aplicacions web (WAF) pot ajudar, però no substitueix la correcció. Podeu consultar el resultat, i tornar-lo a comprovar quan hàgiu actualitzat, a: https://senseforat.cat/web/[DOMINI] Guia pràctica: https://senseforat.cat/protegeix Gràcies per la vostra atenció. Salutacions cordials, [EL VOSTRE NOM]
Consell: abans d’enviar-lo, comproveu el resultat actual a la fitxa de la web; si ja s’ha actualitzat, no cal avisar.
Fonts
- PHP.net: branques amb suport
- PHP.net: baixades · sumes SHA-256 de 8.5.12, 8.4.27, 8.3.36 i 8.2.35
- PHP.net: «Security advisory: Critical remote code execution vulnerabilities, update now» · avís oficial, 21.10.2026 · avís previ
- Sansec: «Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619»
- Cloudflare: «WAF Release – 2026-10-21 – Emergency»
- Consells no oficials d’en Manz (desenvolupador web) a X
- Agència de Ciberseguretat de Catalunya · INCIBE-CERT
- Node.js: «Wednesday, October 21, 2026 Security Releases» · avís informatiu, fora de l’anàlisi
Consultades el 21.10.2026. Més context a Què pot passar i un cas il·lustratiu a l’exemple educatiu.
Simulació educativa
Què podria passar si no s’actualitza PHP
Un cas il·lustratiu i genèric: una web qualsevol (un ajuntament, una botiga o una empresa) que no aplica la correcció de seguretat. Quatre escenes d’abans i després, amb maquetes inventades. Res del que veureu aquí ha passat.
SIMULACIÓ · EXEMPLE EDUCATIUno és un atac real ni dades reals
Quatre tipus d’impacte, en quatre escenes
A l’esquerra, una web amb el servidor actualitzat. A la dreta, el tipus de cosa que podria passar si el servidor no s’actualitza. Toqueu una imatge per veure-la a mida completa.
La pàgina pública, substituïda
Qui controla el servidor podria canviar la pàgina d’inici per missatges falsos o avisos fraudulents adreçats a clients, usuaris o ciutadania.
- Control de la web
- Missatges falsos
- Confiança
Dades personals fora de lloc
Les dades de persones que gestiona la web (clients, usuaris o ciutadania) podrien quedar a l’abast de tercers.
- Dades personals
- Correus i telèfons
- Obligació d’avisar
Fitxers xifrats i extorsió
Els documents i la base de dades podrien quedar bloquejats, amb una demanda de pagament per recuperar-los o perquè no es publiquin.
- Accés als fitxers
- Extorsió
- Cost de recuperació
Control perdut, servei aturat
L’equip responsable podria perdre el control del servidor i la web, la botiga o els tràmits quedar fora de servei.
- Servei aturat
- Accés del personal
- Hores de feina
Com s’encadena, en termes generals
Esquema conceptual: no descriu cap tècnica ni cap termini real, i no s’ha produït en aquest cas il·lustratiu.
Servidor sense actualitzar
PHP continua sense la correcció de seguretat.
Si s’aplica la correcció, la cadena s’atura aquí.
Accés no autoritzat
Un tercer aprofita la fallada i pot actuar al servidor com si en fos el responsable.
Impacte
Una o més de les quatre escenes: desfiguració, exposició de dades, rescat o interrupció.
Descoberta
Sovint ho detecta un client, un usuari o un tercer, no pas l’organització.
Resposta i recuperació
Aïllar, investigar, restaurar i avisar les persones afectades: costós i complex.
Què es pot perdre
El servidor web sovint toca, directament o indirecta, sistemes amb dades de persones. El tipus de coses en risc:
- Dades personalsDe ciutadania, clients o usuaris: noms, adreces, documents i fitxers pujats.
- CredencialsContrasenyes de panells, bases de dades i altres accessos.
- Correu internBústies i adjunts del personal, útils per a estafes posteriors.
- ReputacióLa confiança de veïns, clients o socis, que costa molt de recuperar.
- Servei aturatWeb, botiga en línia o tràmits fora de servei.
- Cost de recuperacióPeritatge, restauració, avisos a les persones afectades i possibles sancions.
04 · La solució
Tot això s’evita actualitzant PHP al servidor
- Apliqueu la correcció de seguretat actualitzant PHP a les branques amb suport (8.2–8.5), o demaneu-ho al proveïdor d’allotjament.
- Actualitzar el gestor de continguts no n’hi ha prou: la correcció és del mateix PHP.
- Un WAF ajuda, però no substitueix la correcció. Amb PHP 8.1 o anterior, cal un backport o migrar.
SIMULACIÓ · EXEMPLE EDUCATIUno és un atac real ni dades reals
Com ho fem
Metodologia
Funciona amb qualsevol web pública: n'hi ha prou amb l'adreça. Per a cada web fem una sola petició GET a la pàgina d'inici, identificant-nos com a senseforat-escaner/1.0 (sense cap nom ni adreça), seguint fins a 5 redireccions i amb un temps màxim de 25 segons. No provem cap altra ruta, no enviem dades i no intentem explotar res.
Què mirem
- Capçaleres
X-Powered-By: PHP/x.y.zdona la versió exacta;Serverde vegades també. Variants sense versió (X-Powered-By: PHP,WP Engine,Craft CMS…) ,X-Redirect-By: WordPress,X-Pingbackcap axmlrpc.php,Linkde WordPress (shortlink,wp-json),X-Drupal-…,X-TYPO3-Parsetimei capçaleres de programari comX-Powered-CMS,X-GeneratoroPowered-Byquan nomenen un programari fet amb PHP només indiquen que hi ha PHP, sense versió.- Galetes
- Només el nom (mai el valor, i no el desem):
PHPSESSID,laravel_session,ci_session,CAKEPHP,MoodleSession,SESS…(Drupal),PrestaShop-…,wordpress_…,woocommerce_…,fe_typo_user(TYPO3),BITRIX_SM_…,OJSSID,…wiki_session(MediaWiki),exp_…(ExpressionEngine) i similars, també amb els prefixos__Host-i__Secure-. Galetes genèriques comsessiono_csrfno compten. - Rutes .php
- Enllaços, formularis (
action,formaction), recursos (src,data-src,poster…) i adreces dins dels scripts de la pàgina (també en JSON, comadmin-ajax.php) que acaben en.php, només si són del mateix domini. Un enllaç.phpa una altra web no compta. Un paràmetre?ver=sol tampoc: també el fan servir webs estàtiques. - Versió amagada
- Si hi ha PHP però no se’n veu la versió, el resultat és «PHP, versió amagada»: no diem que estigui afectada, perquè no ho podem confirmar. Cal comprovar-la des de dins.
- Gestors i frameworks
- WordPress (generador, també el d’un connector o tema com Elementor o WPML;
wp-content,wp-json, pingback), Drupal, Joomla, PrestaShop, Magento, Moodle, TYPO3, Laravel, Symfony. Només comptem rutes del mateix domini. Plone, Zope i CKAN són Python. - Botigues en línia
- WooCommerce (rutes del connector, classes i galetes
woocommerce_), Magento, Shopware i PrestaShop. És una nota de risc afegit; no canvia el color. - CDN o WAF al davant
- Cloudflare (
Server: cloudflare,CF-RAY), Sucuri, Akamai, Imperva, Fastly i Amazon CloudFront, per les seves capçaleres. Un WAF pot frenar part dels atacs, però no substitueix la correcció; no canvia el color. - Pujada de fitxers
- Si la pàgina d'inici té un camp
<input type="file">, ho anotem com a superfície d'atac afegida. - Pàgines anti-robots
- Si el servidor ens mostra una verificació en lloc de la web, el resultat surt gris, mai verd.
- Inspecció automàtica
- Cada dia se n'inspeccionen unes quantes a l'atzar d'un univers d'unes 3.000 webs en català, primer les que no s'han mirat mai. Surt de tres fonts públiques, sense cap dada personal: les webs municipals; les organitzacions situades a Catalunya amb web oficial i article a la Viquipèdia en català segons Wikidata (sense persones ni entitats dissoltes); i els dominis
.catde la llista de recerca Tranco. Només la pàgina d'inici, amb la mateixa petició única de sempre. - Ajuntaments
- Les 947 webs municipals surten de les dades obertes de la Generalitat (Municat). Formen part de l'univers de la inspecció automàtica i tenen vista pròpia, per comarca.
Límits
- Des de fora només podem inferir si una web fa servir PHP. No confirmem que cap web sigui vulnerable, ni que no ho sigui.
- Molts servidors amaguen la versió, i un CDN (com Cloudflare) pot amagar les capçaleres d'origen.
- Una web verda pot conviure amb altres servidors PHP de la mateixa organització.
- Alguns servidors bloquegen certes xarxes o països; un resultat gris s'ha de comprovar des de dins.
Privadesa
Només guardem la web i el resultat de cada anàlisi. No identifiquem qui visita el lloc ni qui fa un escaneig.
- Què desem de cada anàlisi: el domini, el veredicte, la tecnologia o el gestor i la seva versió, la versió de PHP si es veu, el servidor, el codi HTTP, els servidors
.phpenllaçats, si hi ha un CDN/WAF al davant, si és una botiga en línia i si té un formulari de pujada de fitxers, l'hora i l'origen (manual, automàtic o llista). - Què no desem mai de les anàlisis: la teva IP, el navegador, d'on vens, galetes ni cap identificador. Tampoc el contingut ni les capçaleres de la web analitzada.
- Visites al lloc: sense galetes. Només comptem visites de manera agregada i anònima amb Vercel Web Analytics, sense identificar ningú.
- El límit de 10 escaneigs per minut fa servir un resum de la IP només a la memòria temporal del servidor, que s'esborra sol. No s'escriu enlloc.
- Només hi ha comptadors anònims: anàlisis totals i per origen.
- Si la pàgina d’inici analitzada mostra una adreça de correu de contacte públic (un enllaç
mailto:o una adreça escrita al text), la retornem només a qui ha fet l’anàlisi perquè pugui obrir el seu propi programa de correu. No la desem enlloc, no la busquem en cap altra pàgina i senseforat no envia mai cap correu. - El tema clar o fosc i els teus darrers escaneigs es desen només al teu navegador.
Tot el que guardem és públic: dades obertes (JSON).
Què vol dir cada color
Servidors PHP relacionats
Servidors externs que les webs analitzades enllacen amb adreces .php (estadístiques, widgets, webs germanes). No els hem analitzat: són candidats a revisar.
← Rànquing · Fitxa pública