En risc milions de webs del món per dues vulnerabilitats a PHP, un dels llenguatges més utilitzats

Més de la meitat de les pàgines web del món podrien estar en risc. Dues vulnerabilitats crítiques en un dels llenguatges de programació més utilitzats en els servidors web de què depenen les pàgines web d'arreu del món, PHP, han estat divulgades aquest dimecres. L'Agència de Ciberseguretat dels Estats Units (CISA), l'Agència de Seguretat Nacional nord-americana (NSA), l'FBI i institucions de ciberseguretat de tot el món, com CERT-EU, han alertat del risc que això pot suposar per als servidors afectats.

En un comunicat, han demanat a totes les organitzacions amb aquest programari que instal·lin una actualització que corregeix aquestes dues vulnerabilitats i recomanen desconnectar les webs si no estan actualitzades.

De la mateixa manera ho ha demanat PHP Foundation, institució que supervisa el desenvolupament d'aquest codi obert, mantinguda per voluntaris: "Si utilitzeu PHP, és imprescindible que actualitzeu ara mateix."

PHP Foundation ja ha distribuït solucions a les vulnerabilitats detectades en les quatre darreres versions de PHP, a través de les versions actualitzades 8.5.12, 8.4.27, 8.3.36 o 8.2.35, que recomanen instal·lar.

El sistema estàndard internacional per mesurar la gravetat de les vulnerabilitats informàtiques, CVSS, puntua les dues vulnerabilitats en 9,2 sobre 10, a la categoria crítica.

L'equip de seguretat de PHP ja va preavisar dimarts que avui dimecres publicarien una actualització de seguretat per solucionar "dues vulnerabilitats crítiques". Instaven "tots els usuaris" del programari a preparar-se perquè poguessin actualitzar la versió al més aviat possible.

PHP, un dels llenguatges més utilitzats 

PHP és un dels llenguatges més utilitzats en els servidors de què depenen les pàgines web (per exemple, totes les basades en WordPress). L'utilitzen el 70,5% de tots els llocs de què es té informació, segons les dades que W3Techs va publicar l'agost del 2026. 

Estan en risc milions de pàgines web i l'afectació és mundial. 

WordPress, una de les principals plataformes per fer pàgines web, ha instat els propietaris i equips tècnics a comprovar que els seus proveïdors d'allotjament web tenen instal·lades les versions actualitzades de PHP, ja que les versions anteriors a PHP 8.2 "ja no reben actualitzacions de seguretat":

Aquestes vulnerabilitats publicades, que també afecten aplicacions web, permeten a un ciberatacant explotar les vulnerabilitats i prendre el control de qualsevol web que utilitzi aquesta tecnologia, que són la majoria.

Els atacants podrien, així, modificar els continguts d'un web o accedir a la informació de les seves bases de dades, allotjades en els servidors, des de transaccions a dades privades dels seus usuaris.

Precisament, una de les vulnerabilitats ja s'havia detectat de forma teòrica el 2024. Però no es va acabar consensuant cap solució, en part perquè la seguretat de PHP Foundation no té recursos. Atesa la magnitud de l'afectació, la institució, mantinguda per voluntaris, demana més finançament.

Bloquejades webs d'arreu del món

L'avís ha bloquejat webs d'institucions i empreses d'arreu del món. L'Institut Nacional de Ciberseguretat (INCIBE) espanyol ha alertat de les vulnerabilitats. Des del Ministeri per a la Transformació Digital s'ha demanat també a tot tipus d'entitats públiques o privades actualitzar de seguida la versió de l'ecosistema PHP.

A Alemanya, l'Oficina Federal de Seguretat de les Tecnologies de la Informació (BSI) ha advertit que aquestes vulnerabilitats suposen una amenaça per a aplicacions web de tot el món. 

Als Països Baixos, el govern ha desconnectat temporalment diverses pàgines oficials com a mesura preventiva. 

A Bèlgica nombroses webs d'institucions públiques, mitjans de comunicació, hospitals i empreses han quedat desconnectades de manera preventiva. Precisament, el ministre president de Flandes ha anunciat que ha ordenat retirar de manera temporal totes les webs oficials del govern regional que funcionen amb PHP:

Per la seva banda, el Japó ha demanat als operadors de pàgines web que comprovin si utilitzen PHP i es preparin per instal·lar les actualitzacions com més aviat millor. 

Aquesta sèrie d'advertiments se sumen a les emeses per l'equip de resposta a incidents informàtics de les institucions de la Unió Europea (CERT-EU) i per organismes nacionals com el Centre Nacional de Ciberseguretat del Regne Unit, que han aconsellat igualment identificar els sistemes vulnerables i instal·lar-hi les actualitzacions.

Cloudflare afirma que ha detectat intents d'atacs

Cloudflare, una de les principals empreses mundials d'infraestructura d'internet, afirma que ja ha detectat intents inicials d'explotació de les dues vulnerabilitats crítiques de PHP.

Així ho publicava a X el director de Tecnologia de l'empresa, Dane Knecht. "Estem observant l'aparició d'atacs inicials i estem actualitzant les mesures de mitigació", ha dit.

L'empresa nord-americana gestiona i protegeix el trànsit web i funciona com un intermediari entre l'usuari i la pàgina web de destí.