Alerta al món per dos fallades en el llenguatge PHP, que amenaça el 70% de les webs

Dos vulnerabilitats “crítiques” en PHP —Hypertext Preprocessor—, un llenguatge de programació usat en vora el 70% de les pàgines web al món, han provocat una alerta internacional pel risc que estes fallades puguen permetre que atacants prenguen el control dels servidors afectats, els alteren maliciosament o hi furten dades. 

"Totes les organitzacions que utilitzen PHP en els seus sistemes han de preparar-se per a instal·lar una actualització que corregisca dos vulnerabilitats crítiques", ha assenyalat l’Agència de Seguretat Nacional dels Estats Units en un comunicat. 

Les fallades, advertix l’agència, poden proporcionar una via directa al sistema de fitxers o a la base de dades dels servidors. Per això, ha recomanat els usuaris que desconnecten temporalment els sistemes si no és possible actualitzar-los immediatament.

Què és PHP i on s’han produït les fallades?

PHP és un llenguatge de programació de codi obert que habitualment s'usa per a crear llocs i aplicacions web, així com per a processar formularis, gestionar sessions o consultar bases de dades, per la qual cosa està molt present en internet i és usat àmpliament pels desenvolupadors a escala global.

En este marc, s'han trobat dos vulnerabilitats d'execució remota de codi en l'ecosistema PHP, etiquetades com a CVE-2026-109618 i CVE-2026-109619. Les vulnerabilitats han sigut recollides per la companyia de ciberseguretat watchTowr, que ha assenyalat que estes podrien permetre als atacants executar el seu propi codi en servidors afectats, prenent el control per a alterar maliciosament llocs web o robar dades.

Actualitzar “immediatament” les versions corregides

La Fundació PHP ha urgit els usuaris que usen els pegats —fragments de codi dissenyats per a actualitzar el programari— que ja han publicat per a corregir les vulnerabilitats. Es tracta dels pegats PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. 

Així mateix, el Ministeri de Transformació Digital ha recomanat a tota entitat pública o privada que actualitze immediatament la versió de l'ecosistema PHP davant de les “múltiples vulnerabilitats” detectades. I ha instat a aplicar immediatament les noves versions per a aplicar les correccions necessàries. “Les mesures temporals reduïxen l'exposició a rutes concretes, però l'actualització és l'única solució completa. Si no pot actualitzar un sistema exposat a Internet, aïlle'l de les xarxes públiques fins a aplicar una versió corregida”, ha agregat.

Abast mundial

Les dos fallades han obligat a aïllar llocs i aplicacions web a tot el món de manera preventiva per seguretat. És el cas de Bèlgica, on el president Matthias Diependaele, ha anunciat a través de les xarxes socials que havia ordenat retirar de forma temporal tots els webs oficials del govern regional que funcionen amb eixe llenguatge. 

També ho han fet països com Alemanya, els Estats Units o el Japó, on l’alerta ha arribat en un context de ciberatacs massius en els últims mesos, que han exposat les dades de milions de persones, afectant tota mena d'empreses i ens públics.