Anar al contingut
Sanfeliu Software

Alerta de seguretat · 21 d’octubre de 2026

PHP2Shell: què heu de fer si la vostra web és WordPress

El 21 d’octubre de 2026, PHP va corregir dues vulnerabilitats crítiques, conegudes com a PHP2Shell, que permeten executar codi al servidor d’una web sense usuari ni contrasenya. Afecten qualsevol web feta amb PHP, també les de WordPress, i no s’arreglen actualitzant WordPress ni els plugins: s’ha d’actualitzar el PHP del servidor, avui.

Actualitzat el

Reservar una reunió Escriure’ns

Trenta minuts, gratis i sense compromís, amb l’enginyer que portaria el projecte.

Dibuix en vidre d’una empresa: l’oficina, el magatzem i el servidor, connectats per un cub terra perquè les dades passin soles d’un lloc a l’altre.
  • CVE-2026-109618
  • CVE-2026-109619
  • CVSS 4.0: 9,2
  • Corregit a PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35

Què ha passat

El que han publicat l’equip de seguretat de PHP, WordPress.org i el CERT-EU, l’equip de ciberseguretat de les institucions europees.

  • Dues fallades del mateix PHP

    No són de WordPress: són del llenguatge amb què funciona el servidor. Una és en com PHP es queda sense memòria (CVE-2026-109618) i l’altra, en dades que sobreviuen d’una visita a la següent (CVE-2026-109619).

  • Gravetat: 9,2 sobre 10

    Crítica, segons l’equip de seguretat de PHP: qualsevol persona pot executar codi al servidor amb una petició web, sense iniciar sessió.

  • A qui afecta

    A totes les instal·lacions de PHP que serveixen webs: PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP i LiteSpeed. El risc més alt és amb mod_php, on l’atac pot començar abans que s’executi cap línia de la web.

  • Versions corregides

    PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, publicades el 21 d’octubre. Per a PHP 8.1 i les anteriors, el projecte ja no publica versions noves.

  • Si ja hi ha atacs

    El CERT-EU avisa que ja circulen proves de concepte, i que això fa probable que ja hi hagi atacs.

  • I WordPress?

    WordPress.org ha dit que no cal cap actualització de WordPress: el que s’ha d’actualitzar és el PHP. WordPress fa funcionar el 39,6 % de totes les webs, segons W3Techs.

Què heu de fer avui

  1. Mireu quina versió de PHP té la web: al tauler de WordPress, a Eines → Salut del lloc → Informació → Servidor.
  2. Si és una 8.2 anterior a la 8.2.35, una 8.3 anterior a la 8.3.36, una 8.4 anterior a la 8.4.27 o una 8.5 anterior a la 8.5.12, demaneu avui a l’allotjament que l’actualitzi.
  3. Si és la 8.1 o una d’anterior, PHP ja no en publica versions: cal un pegat del vostre proveïdor o pujar a una versió amb suport, comprovant abans que el tema i els plugins hi funcionen.
  4. Si avui no es pot actualitzar, valoreu posar la web en manteniment o desconnectar-la fins que estigui corregida. És el que recomanen el CERT-EU i, a través de WordPress.org, el centre de ciberseguretat britànic.
  5. No instal·leu plugins que diguin que ho arreglen: la fallada és al PHP del servidor, no a WordPress.
  6. Un cop actualitzat, reviseu si hi ha administradors que no coneixeu o fitxers PHP nous o canviats. Si n’hi ha, tracteu el servidor com a compromès i canvieu-ne totes les claus.

Per què a WordPress li passa tan sovint

Una web WordPress no és una peça sola: en són cinc, de cinc autors diferents, i cadascuna té les seves actualitzacions.

  • PHP

    El llenguatge del servidor. La fallada d’avui és seva.

  • El nucli de WordPress

    Del 17 de juliol al 6 d’octubre, sis versions amb correccions de seguretat; dues, per fallades crítiques: la 7.0.2 i la 7.1.2.

  • El tema

    El disseny de la web, sovint comprat a un tercer. Si l’autor el deixa, ningú no l’actualitza.

  • Els plugins

    Formularis, botiga, reserves, còpies, SEO: cadascun d’un autor diferent, i tots amb accés al mateix servidor.

  • L’allotjament

    És qui actualitza el PHP. Avui, la seguretat de la web depèn de quan ho faci.

Una web WordPress ben cuidada pot anar bé. Però algú ha de vigilar les cinc peces cada setmana, i n’hi ha prou que en falli una perquè quedi exposada la web sencera.

L’alternativa: la web i les eines a mida, sense PHP

Fem webs i eines a mida sobre AWS, amb TypeScript i Node. Sense PHP i sense plugins.

  • La web

    Les webs que fem es generen abans i es publiquen com a fitxers a AWS. En cada visita, el servidor no executa PHP ni cap programa: lliura la pàgina i prou.

    Pàgines web

  • El que fa feina

    Formularis, reserves, catàleg, àrea de clients o la connexió amb l’ERP: codi escrit per a vosaltres, amb només el que feu servir.

    Aplicacions a mida

  • Qui posa els pegats

    Dels servidors i dels entorns on s’executa el codi, AWS: a AWS Lambda, els pegats de seguretat s’apliquen sols. Del nostre codi, nosaltres, amb el pack de continuïtat.

    Continuïtat

  • Feta per trobar-vos

    Ràpida amb el mòbil, multiidioma i preparada per a Google i per als assistents d’IA.

  • Vostra

    El domini, el contingut i el codi són a nom vostre.

  • O per una quota al mes

    Si no voleu pagar la migració, us refem la web sense WordPress i ens n’ocupem cada mes per una quota.

    Web com a servei

Cap software és invulnerable. El que canvia és quantes peces de tercers queden exposades a internet i qui les vigila.

Què cal per deixar WordPress

  1. L’adreça de la web i l’accés al tauler de WordPress.
  2. La llista de plugins i què fa cada un: el que s’ha de mantenir, el que sobra i el que falta.
  3. L’accés al domini i a l’allotjament, per fer el canvi el dia que toqui.

Un cas

Evolve Cars

Importació i venda de cotxes revisats, al Prat de Llobregat

Tenien una web de WordPress; ara tenen una web i un panell fets per a la seva manera de treballar. La web és en català, castellà i anglès, i és en producció des del 14 de setembre, amb 99 de rendiment al mòbil a Google Lighthouse.

El cas d’Evolve Cars
Tots els casos
Reservar una reunió

Trenta minuts, gratis i sense compromís, amb l’enginyer que portaria el projecte.

Una web multiidioma, sense WordPress

1.500 €

Preu tancat, en línia en dues setmanes. IVA no inclòs.

Com treballem

  1. Una reunió de trenta minuts, gratis i sense compromís, amb l’enginyer que portaria el projecte. Hi mirem la vostra web i què fa cada plugin.
  2. Una web que explica l’empresa, a preu tancat i en línia en dues setmanes.
  3. Si fa més coses, com una botiga, reserves o una àrea de clients, un prototip abans de cap preu i una proposta a preu tancat per funcionalitat. Els projectes a mida comencen a partir de 3.000 € (IVA no inclòs).
  4. L’entrega, amb el domini, el contingut i el codi a nom vostre.
  5. Després, si el voleu, un pack mensual sense permanència: allotjament a AWS, còpies, seguretat i canvis.
Tots els preus
Reservar una reunió

Trenta minuts, gratis i sense compromís, amb l’enginyer que portaria el projecte.

Què és PHP2Shell i què ha de fer una empresa amb la web en WordPress?

PHP2Shell és el nom amb què es coneixen dues vulnerabilitats crítiques de PHP, la CVE-2026-109618 i la CVE-2026-109619 (9,2 sobre 10), que permeten executar codi al servidor d’una web sense iniciar sessió. PHP les va corregir el 21 d’octubre de 2026 a les versions 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Afecten qualsevol web que funcioni amb PHP, també les de WordPress, i no s’arreglen actualitzant WordPress ni els plugins: s’ha d’actualitzar el PHP del servidor i, si no es pot fer de seguida, valorar desconnectar la web. Per a les empreses que volen deixar de dependre de WordPress, SANFELIU, consultoria de software a mida de Barcelona, fa webs i eines a mida sobre AWS, sense PHP ni plugins. El primer pas és una reunió de trenta minuts, gratis i sense compromís.

  • Què és: dues vulnerabilitats del mateix PHP, CVE-2026-109618 i CVE-2026-109619, de gravetat 9,2 sobre 10 (CVSS 4.0).
  • Versions corregides: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, del 21 d’octubre de 2026. Per a PHP 8.1 i les anteriors, el projecte ja no publica versions noves.
  • A qui afecta: a totes les instal·lacions de PHP que serveixen webs (PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP i LiteSpeed), i sobretot amb mod_php.
  • WordPress: no cal actualitzar-lo; cal actualitzar el PHP. La versió es mira a Eines → Salut del lloc → Informació → Servidor.
  • L’alternativa: webs i eines a mida sobre AWS, sense PHP ni plugins. Una web multiidioma, 1.500 € a preu tancat; els projectes a mida, des de 3.000 € (IVA no inclòs).
  • Primer pas: una trucada que no es cobra. Per a una eina concreta, després ve un prototip amb les vostres dades abans de cap preu; si implica el negoci sencer o més d’un sistema, l’auditoria. Els preus de referència són a la pàgina de preus.

Preguntes que ens fan

He d’actualitzar WordPress?

No. WordPress.org ha dit que aquesta vegada no cal cap actualització de WordPress: la fallada és al PHP del servidor, i el que s’ha d’actualitzar és el PHP. Si la web és en un allotjament, normalment ho fa l’allotjament: pregunteu-li si ja ho ha fet i comproveu la versió.

Com sé quina versió de PHP té la meva web?

Al tauler de WordPress, a Eines → Salut del lloc → Informació → Servidor; molts allotjaments també la mostren al seu panell. És vulnerable una 8.2 anterior a la 8.2.35, una 8.3 anterior a la 8.3.36, una 8.4 anterior a la 8.4.27, una 8.5 anterior a la 8.5.12 i qualsevol 8.1 o anterior.

N’hi ha prou amb un tallafoc?

Ajuda, però no ho arregla. Molts allotjaments i serveis com Cloudflare han afegit regles per frenar els atacs coneguts, però l’equip de PHP diu que només actualitzar és una solució completa.

Tinc PHP 7.4, 8.0 o 8.1. Què faig?

El projecte PHP ja no en publica versions noves: només ha deixat uns pegats mínims per a qui compila PHP pel seu compte. Alguns proveïdors en publiquen de propis; si el vostre no, cal pujar a una versió amb suport, i abans comprovar que el tema i els plugins hi funcionen. Mentrestant, valoreu desconnectar la web.

Una web sense WordPress és invulnerable?

No: cap software ho és. El que canvia és quantes peces de tercers queden exposades i qui les vigila. Les webs que fem es publiquen com a fitxers a AWS i no executen PHP ni plugins a cada visita, el codi que fa feina és només el que feu servir, i amb el pack de continuïtat la seguretat és feina nostra.

Perdrem posicions a Google si deixem WordPress?

No hauria de passar si es fa bé: cada pàgina conserva la seva adreça o hi porta una redirecció 301 des de la vella, i el mapa del lloc es torna a enviar a Google i a Bing. La web nova surt ràpida amb el mòbil i preparada per a Google i per als assistents d’IA.

Quant costa deixar WordPress?

Una web multiidioma que explica l’empresa, 1.500 € (IVA no inclòs), a preu tancat i en línia en dues setmanes. Si fa més coses, com una botiga, reserves o una àrea de clients, cada funcionalitat té el seu preu tancat a la proposta, i els projectes a mida comencen a partir de 3.000 €. Si no voleu pagar la migració, la web com a servei la inclou: després pagueu 39 € al mes, o 50 € amb els canvis menors (IVA no inclòs), amb un compromís de dotze mesos. Els preus de referència són a la pàgina de preus.

Reservar una reunió

Trenta minuts, gratis i sense compromís, amb l’enginyer que portaria el projecte.

Fonts

Com treballem

Ho veieu funcionant abans de decidir res.

Expliqueu-nos el vostre cas en trenta minuts.

Reserveu una reunió amb l’enginyer que portaria el projecte: trenta minuts, gratis i sense compromís. Si encaixem, us diem com començaríem; si no, a qui us podeu adreçar.

Reservar una reunió

O escriviu a me@joansanfeliu.com

Preferiu escriure?

Expliqueu-nos el cas en quatre línies i us responem per correu.

Responsable: Joan Sanfeliu Vilarrasa (SANFELIU). Finalitat: valorar si encaixem i preparar la trucada. Base: la vostra sol·licitud. En enviar el formulari, les dades es desen als nostres sistemes (AWS, a la Unió Europea) i al nostre CRM. Destinataris: Cal.com (Estats Units), només si reserveu la trucada al seu calendari; si ho preferiu, escriviu-nos per correu. Drets: accés, rectificació, supressió i altres a me@joansanfeliu.com. Política de privacitat