En risc milions de webs del món per dues vulnerabilitats a PHP, un dels llenguatges més utilitzats

Més de la meitat de les pàgines web del món podrien estar en risc. Dues vulnerabilitats crítiques en un dels llenguatges de programació més utilitzats en els servidors web de què depenen les pàgines web d'arreu del món, PHP, han estat divulgades aquest dimecres.

L'Agència de Ciberseguretat dels Estats Units (CISA), l'Agència de Seguretat Nacional nord-americana (NSA), l'FBI i institucions de ciberseguretat de tot el món, com CERT-EU, han alertat del risc que això pot suposar per als servidors afectats.

En un comunicat, han demanat a totes les organitzacions amb aquest programari que instal·lin una actualització que corregeix aquestes dues vulnerabilitats i recomanen desconnectar les webs si no estan actualitzades.

De la mateixa manera ho ha demanat PHP Foundation, institució que supervisa el desenvolupament d'aquest codi obert, mantinguda per voluntaris: "Si utilitzeu PHP, és imprescindible que actualitzeu ara mateix."

PHP Foundation ja ha distribuït solucions a les vulnerabilitats detectades en les quatre darreres versions de PHP, a través de les versions actualitzades 8.5.12, 8.4.27, 8.3.36 o 8.2.35, que recomanen instal·lar.

La resta de versions, de la 7.0 a les anteriors, ja no reben suport en forma d'actualitzacions de seguretat i, per tant, restaran vulnerables. Es calcula que un 30% dels servidors basats en PHP utilitzen aquestes versions sense apedaçar.

El sistema estàndard internacional per mesurar la gravetat de les vulnerabilitats informàtiques, CVSS 4.0, puntua les dues vulnerabilitats en 9,2 sobre 10, a la categoria crítica.

L'equip de seguretat de PHP ja va preavisar dimarts que l'endemà publicarien una actualització de seguretat per solucionar "dues vulnerabilitats crítiques". Instaven "tots els usuaris" del programari a preparar-se perquè poguessin actualitzar la versió al més aviat possible.

Una sèrie de filtracions i la constatació que els forats de seguretat estaven sent activament explotats va acabar avançant la seva publicació, inicialment prevista per dijous 22 d'octubre.

Rapidesa en l'actuació

"No s'ha de ser alarmants, tot i que cal ser ràpids en l'actuació i desplegar les actualitzacions del programari, com més aviat millor", ha dit el director executiu d'Operacions de l'Agència de Ciberseguretat de Catalunya, Pedro Lendínez, en una entrevista al programa "Més nit" de TV3.

Tot i que encara estan revisant l'abast de l'afectació, l'Agència de Ciberseguretat diu que "de moment, no els consta cap incident associat a l'explotació d'aquesta vulnerabilitat". Lendínez ha afirmat que tot i que "preocupa", avisos com aquests són "malhauradament bastant comuns" en entorns de ciberseguretat.

Al mateix programa, l'expert en ciberseguretat de la UPC, René Serral, ha qualificat de "gravíssim" el que ha passat, en considerar que es pot atacar una web sense que et permetin entrar-hi. "Ara és molt senzill que qualsevol persona ho pugui fer", ha apuntat Serral, que diu que "fins i tot, es podria programar un robot perquè ho fes sol".

En declaracions al "Catalunya nit" de Catalunya Ràdio, el pèrit judicial informàtic forense Bruno Pérez Juncà s'ha mostrat preocupat per "la petita i mitjana empresa que, amb els seus estalvis, es van fer una pàgina web o una botiga en línia", que ara es troba en situació de vulnerabilitat.

En aquests casos, l'expert en ciberseguretat recomana "parlar amb el proveïdor que va crear la web i demanar que actualitzi el llenguatge". Si no és possible, diu que és preferible tancar-la perquè es pot hackejar i tenir accés a dades personals.

PHP, un dels llenguatges més utilitzats

PHP és un dels llenguatges més utilitzats en els servidors de què depenen les pàgines web (per exemple, totes les basades en WordPress) i també aplicacions o altres serveis a internet. L'utilitzen el 69.3% de tots els llocs de què es té informació, segons les últimes dades que W3Techs publicades aquest 2026.

Estan en risc milions de pàgines web i l'afectació és mundial.

WordPress, una de les principals plataformes per fer pàgines web, ha instat els propietaris i equips tècnics a comprovar que els seus proveïdors d'allotjament web tenen instal·lades les versions actualitzades de PHP, ja que les versions anteriors a PHP 8.2 "ja no reben actualitzacions de seguretat":

Aquestes vulnerabilitats publicades, que també afecten aplicacions web, permeten a un ciberatacant explotar les vulnerabilitats i prendre el control de qualsevol web que utilitzi aquesta tecnologia, que són la majoria.

Els atacants podrien, així, modificar els continguts d'un web o accedir a la informació de les seves bases de dades, allotjades en els servidors, des de transaccions a dades privades dels seus usuaris.

Precisament, una de les vulnerabilitats ja s'havia detectat de forma teòrica el 2024. Tanmateix, no es va acabar consensuant cap solució, en part perquè la seguretat de PHP Foundation no té recursos. Atesa la magnitud de l'afectació, la institució, mantinguda per voluntaris, demana més finançament.

Bloquejades webs d'arreu del món

L'avís ha fet bloquejar webs d'institucions i empreses d'arreu del món. L'Institut Nacional de Ciberseguretat (INCIBE) espanyol ha alertat de les vulnerabilitats. Des del Ministeri per a la Transformació Digital s'ha demanat també a tot tipus d'entitats públiques o privades actualitzar de seguida la versió de l'ecosistema PHP.

A Alemanya, l'Oficina Federal de Seguretat de les Tecnologies de la Informació (BSI) ha advertit que aquestes vulnerabilitats suposen una amenaça per a aplicacions web de tot el món.

Als Països Baixos, el govern ha desconnectat preventivament i de forma temporal diverses pàgines oficials com la del parlament i la del govern, que permeten fer tràmits en línia amb l'administració, i també els espais a la xarxa de centres sanitaris o el de la federació neerlandesa de futbol.

A Bèlgica nombroses webs d'institucions públiques, mitjans de comunicació, hospitals i empreses han quedat desconnectades de manera preventiva. Precisament, el ministre president de Flandes ha anunciat que ha ordenat retirar de manera temporal totes les webs oficials del govern regional que funcionen amb PHP:

Per la seva banda, el Japó ha demanat als operadors de pàgines web que comprovin si utilitzen PHP i es preparin per instal·lar les actualitzacions com més aviat millor.

Aquesta sèrie d'advertiments se sumen a les emeses per l'equip de resposta a incidents informàtics de les institucions de la Unió Europea (CERT-EU) i per organismes nacionals com el Centre Nacional de Ciberseguretat del Regne Unit, que han aconsellat igualment identificar els sistemes vulnerables i instal·lar-hi les actualitzacions.

Cloudflare afirma que ha detectat intents d'atacs

Cloudflare, una de les principals empreses mundials d'infraestructura d'internet, afirma que ja ha detectat intents inicials d'explotació de les dues vulnerabilitats crítiques de PHP.

Així ho publicava a X el director de Tecnologia de l'empresa, Dane Knecht. "Estem observant l'aparició d'atacs inicials i estem actualitzant les mesures de mitigació", ha dit.

L'empresa nord-americana gestiona i protegeix el trànsit web i funciona com un intermediari entre l'usuari i la pàgina web de destí.