Vés al contingut
La correcció de seguretat ja és disponible: actualitzeu PHP al servidor a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 segons la vostra branca. Què pot passar →
senseforat
Menú

Guia pràctica

Com protegir-se de PHP2Shell

Si la teva web funciona amb PHP, aquesta és la guia: què hi ha en joc, com saber quina versió tens, com actualitzar-la al servidor, què fer mentrestant i què fer si sospites una intrusió.

La correcció de seguretat només s’aplica al servidor, actualitzant PHP

00 · El risc

Què hi ha en joc

En un minut: què és, a qui afecta i què cal fer avui.

?Què és

PHP2Shell són dues errades crítiques del mateix PHP (9,2 sobre 10) que podrien permetre a un tercer executar codi al servidor sense iniciar sessió.

!A qui afecta

A qualsevol web que funcioni amb PHP al servidor —WordPress, Drupal, Joomla, PrestaShop, Moodle o codi propi— mentre no s’hi apliqui la correcció de seguretat.

⚠Què podria passar

Desfiguració de la web, exposició de dades, rescat o bloqueig dels fitxers i interrupció del servei. Vegeu l’exemple educatiu →

  1. Sapigues la versióComprova quina versió de PHP fa servir el servidor.
  2. Actualitza PHP al servidorA 8.2.35, 8.3.36, 8.4.27 o 8.5.12, segons la branca.
  3. Torna-ho a comprovarReinicia PHP i verifica la versió; després, torna a escanejar.

Tres idees equivocades

  • «Ja he actualitzat WordPress.» No n’hi ha prou: la correcció és de PHP, al servidor.
  • «Tinc Cloudflare o un WAF.» Ajuda a filtrar atacs coneguts, però no substitueix la correcció.
  • «La meva web no mostra la versió de PHP.» Amagar-la és una bona pràctica, però no protegeix de res.
01 · Comprova-ho

Com saber quina versió de PHP tens

Quatre maneres, de la més fiable a la més ràpida. La que compta és la del servidor que serveix la web.

ADes del servidor

Si hi tens accés per SSH:

php -v

Atenció: el PHP de la línia d’ordres pot ser diferent del que fa servir la web (PHP-FPM o el mòdul del servidor).

BUn fitxer info.php temporal

Puja un fitxer amb un nom poc previsible amb aquest contingut, obre’l al navegador i mira «PHP Version»:

<?php phpinfo();

Esborra’l immediatament després de mirar-ho: mostra tota la configuració del servidor.

CPregunta al proveïdor

Si tens allotjament compartit o gestionat, el panell (cPanel, Plesk…) sol mostrar la versió. Si no, demana-la al proveïdor per escrit, i pregunta quan aplicarà la correcció de seguretat.

DLa capçalera X-Powered-By

Alguns servidors l’anuncien a les capçaleres:

curl -sI https://la-teva-web.example | grep -i x-powered-by

Si no hi surt no vol dir que no hi hagi PHP: amagar-la és una bona pràctica. senseforat també ho mira, amb una sola petició passiva. Comprova la teva web →

02 · La solució

Actualitza PHP

És l’única mesura que tanca el forat. La correcció de seguretat ja és disponible des del 21 d’octubre de 2026: 8.2.35, 8.3.36, 8.4.27 o 8.5.12, segons la vostra branca.

8.5 · 8.4 · 8.3 · 8.2Amb suport: correcció disponible. Actualitzeu a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o posterior) segons la branca.
8.1 o anteriorSense suport: PHP no en publica versió corregida. Cal un backport del proveïdor o migrar a 8.2 o posterior.

Versions corregides i sumes de verificació oficials

Si compileu PHP des del codi font, comproveu que el fitxer baixat és l’original abans d’instal·lar-lo: la suma SHA-256 ha de coincidir exactament. Baixeu-lo només de php.net/downloads.php.

Versions corregides de PHP i sumes SHA-256 publicades per php.net
BrancaVersió corregidaSHA-256 .tar.gzSHA-256 .tar.xz
8.58.5.12php-8.5.12.tar.gz81a0f450349e84b08eb43faa85f8a4c835684f3cc1c50471775d1317a046c525php-8.5.12.tar.xz08bc2eba2a588654ade1357174aa646b761556c862dda0678345ee29ed481209
8.48.4.27php-8.4.27.tar.gz5bafed9994c1a49796b25b5f61c22c9183bfe046b6acc7b363842d03c77f972fphp-8.4.27.tar.xzdcf93923b0e38e0d5252b25b796520b5a47761a08b3488b6d0b5d1115764d3f0
8.38.3.36php-8.3.36.tar.gzc93f3441f87f6ab156bef4432db215d7e61ca2c0183bb3a2aa28d9886ab59f53php-8.3.36.tar.xzdd54693aa334c5c4d72e9aee96b082c2473750a18a6c1d105789c93a3b1692fd
8.28.2.35php-8.2.35.tar.gz9db4204f0a2d1911277ae832185e07bb4c3b3559772753a70d2968ca346d6910php-8.2.35.tar.xz5737b98601fe5ab1b8c5db0c82ed3158acb9283ed3081ffe2faffb9ac81455e6
 
sha256sum php-8.3.36.tar.xz

Font: php.net, dades oficials de cada versió (8.5, 8.4, 8.3, 8.2), consultades el 21.10.2026. Si feu servir paquets de la vostra distribució Linux, la verificació la fa el gestor de paquets: no cal fer-la a mà. senseforat no allotja cap fitxer de PHP.

  • Actualitza PHP al servidor ara a la versió corregida de la teva branca: 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o posterior).
  • Actualitzar WordPress, Drupal, Joomla o els connectors no n’hi ha prou. La correcció és del mateix PHP, no del gestor de continguts.
  • PHP 8.1 o anterior: demana un backport al proveïdor o a la distribució, o migra a una branca amb suport (prova-ho abans en un entorn de proves).
  • Reinicia PHP-FPM o el servidor web i torna a comprovar la versió: fins que no es reinicia, pot continuar funcionant la versió antiga.
  • Allotjament compartit: ho ha de fer el proveïdor. Demana-li confirmació per escrit de la versió i de la data.
03 · Mentrestant

Mentre no pots actualitzar

Mesures temporals que redueixen el risc. Cap d’elles substitueix la correcció de seguretat.

WAFUn tallafoc d’aplicacions web

Serveis com Cloudflare han publicat regles d’emergència per a PHP2Shell. Activa-les si en tens, però tingues en compte que ajuden a filtrar atacs coneguts i no substitueixen la correcció.

ⓘAmaga la versió

Desactiva la capçalera X-Powered-By amb expose_php = Off al php.ini. És una bona pràctica que dona menys pistes, però no protegeix de res per si sola.

No oficialDesactivar la pujada de fitxers

Si la web no la necessita, valora desactivar temporalment la pujada de fitxers (file_uploads = Off).

Consell no oficial d’en Manz, no validat per PHP.

Avís oficialProgrés de pujada de sessions

Si no podeu actualitzar de seguida, l’avís oficial de PHP recomana desactivar-lo i reiniciar tots els processos de PHP:

session.upload_progress.enabled = 0

Redueix l’exposició, però segons PHP només l’actualització és una solució completa.

04 · Resposta

Si sospites una intrusió

Senyals típics: fitxers nous que ningú ha pujat, canvis a la pàgina pública, comptes d’administrador desconeguts o un consum estrany del servidor.

  1. Aïlla el servidor

    Posa la web en manteniment o desconnecta-la. No esborris res encara.

  2. Conserva els registres

    Fes una còpia dels registres d’accés, d’errors i de PHP-FPM, i una imatge del servidor si pots, abans de tocar res.

  3. Busca webshells

    Fitxers .php nous o modificats recentment (sobretot a carpetes de pujades), funcions com eval o base64_decode en fitxers estranys, comptes nous i tasques cron noves.

    find /var/www -name "*.php" -newermt "2026-10-21" -ls

  4. Canvia les credencials

    Base de dades, panell d’administració, FTP/SFTP, claus d’API i les claus secretes del gestor (p. ex. les «salts» de WordPress). Restaura des d’una còpia neta i actualitza PHP abans de tornar a publicar.

  5. Avisa

    El proveïdor d’allotjament; l’Agència de Ciberseguretat de Catalunya (administracions catalanes) o l’INCIBE-CERT (empreses i ciutadania, telèfon 017). Si hi ha dades personals afectades, cal notificar-ho a l’autoritat de protecció de dades (APDCAT o AEPD) en un termini de 72 hores.

05 · Plantilla

Avisa el responsable d’una web

Has vist que una web exposa PHP i vols avisar-ne el responsable (el webmaster, l’empresa o l’ajuntament)? Aquí tens un text neutre i informatiu. Escriu-hi l’adreça, revisa’l i envia’l tu mateix: senseforat no envia res a ningú.

Assumpte: Avís informatiu: la vostra web sembla funcionar amb PHP (PHP2Shell)

Bon dia,

Us escric per informar-vos que, segons una anàlisi passiva i pública feta amb senseforat.cat, la web [DOMINI] sembla funcionar amb PHP.

Què vol dir: el 21 d’octubre de 2026 PHP publica una correcció de seguretat per a dues errades crítiques conegudes com a PHP2Shell (CVE-2026-109618 i CVE-2026-109619, puntuació 9,2 sobre 10). Fins que el servidor no apliqui aquesta correcció, les webs que funcionen amb PHP hi poden estar exposades. Les versions de PHP sense suport (8.1 o anteriors) no la rebran.

Aquest avís és només informatiu. L’anàlisi és externa i passiva (una sola petició a la pàgina d’inici, com la que fa qualsevol navegador): no prova cap vulnerabilitat i no indica que la web hagi estat atacada.

Passos recomanats:
1. Confirmeu amb el vostre proveïdor d’allotjament quina versió de PHP fa servir el servidor.
2. Apliqueu la correcció de seguretat, ja disponible, actualitzant PHP al servidor a la versió corregida de la vostra branca: 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o posterior). Si teniu PHP 8.1 o anterior, demaneu un backport al proveïdor o migreu. Actualitzar només el gestor de continguts (WordPress, Drupal, Joomla…) no n’hi ha prou.
3. Si feu servir PHP 8.1 o anterior, demaneu un backport o planifiqueu la migració a una versió amb suport.
4. Mentrestant, un tallafoc d’aplicacions web (WAF) pot ajudar, però no substitueix la correcció.

Podeu consultar el resultat, i tornar-lo a comprovar quan hàgiu actualitzat, a:
https://senseforat.cat/web/[DOMINI]

Guia pràctica: https://senseforat.cat/protegeix

Gràcies per la vostra atenció.

Salutacions cordials,
[EL VOSTRE NOM]

Consell: abans d’enviar-lo, comproveu el resultat actual a la fitxa de la web; si ja s’ha actualitzat, no cal avisar.

Fonts

Fonts

  1. PHP.net: branques amb suport
  2. PHP.net: baixades · sumes SHA-256 de 8.5.12, 8.4.27, 8.3.36 i 8.2.35
  3. PHP.net: «Security advisory: Critical remote code execution vulnerabilities, update now» · avís oficial, 21.10.2026 · avís previ
  4. Sansec: «Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619»
  5. Cloudflare: «WAF Release – 2026-10-21 – Emergency»
  6. Consells no oficials d’en Manz (desenvolupador web) a X
  7. Agència de Ciberseguretat de Catalunya · INCIBE-CERT
  8. Node.js: «Wednesday, October 21, 2026 Security Releases» · avís informatiu, fora de l’anàlisi

Consultades el 21.10.2026. Més context a Què pot passar i un cas il·lustratiu a l’exemple educatiu.