La teua web diu que està al dia. Has comprovat tot el que toca?

T’arriba una notícia sobre una fallada greu de seguretat. Parlen de PHP, d’intel·ligència artificial i d’un munt de pàgines que podrien estar afectades. Com que la teua web funciona amb WordPress, entres a comprovar-ho.

WordPress està al dia. Els plugins, també. En l’apartat d’actualitzacions no queda res pendent.

Tanques el panell amb prou més tranquil·litat.

La comprovació té sentit, però pot haver-se quedat a mitges. Perquè el component afectat pot estar en el servidor i actualitzar-se per una altra via.

Això és el que fa interessant el cas de PHP2Shell: obliga a mirar què estem comprovant quan diem que una web està actualitzada.

Què ha passat amb PHP

El 21 d’octubre de 2026 es van publicar correccions per a dos vulnerabilitats crítiques de PHP, el llenguatge sobre el qual funciona WordPress. En determinades condicions, permetien que un atacant executara codi en el servidor sense iniciar sessió. L’equip de PHP va demanar actualitzar amb urgència les instal·lacions afectades. Avís oficial de PHP.

Investigadors de Wiz van demostrar atacs en entorns de prova amb WordPress, Drupal i Joomla. El problema estava en PHP, per davall del codi d’eixes aplicacions. Investigació de Wiz.

Ací convé separar tres coses: tindre un component vulnerable, rebre un intent d’atac i haver patit una intrusió. Són situacions diferents i necessiten proves diferents.

També cal posar en context el famós 70 %. W3Techs situa PHP en aproximadament set de cada deu webs de les quals pot identificar el llenguatge del servidor. Eixa xifra explica la seua presència; no compta pàgines atacades ni permet saber quantes continuen pendents de corregir. Estadístiques de W3Techs.

Una web té més d’una llista d’actualitzacions

En un WordPress hi ha diverses peces que convé distingir.

La primera és la mateixa aplicació: WordPress, el tema i els plugins. Bona part de les seues actualitzacions apareixen en el panell.

Després hi ha PHP, que permet executar eixa aplicació. La seua versió i les seues correccions es gestionen normalment des de l’allotjament o per qui administra el servidor.

I hi ha més: el servidor web, el sistema operatiu i altres serveis també necessiten manteniment.

Cada peça es gestiona per una via. Per això pots haver actualitzat tots els plugins i continuar tenint pendent una correcció en PHP. El mateix projecte WordPress explica que PHP s’instal·la en el servidor i que actualitzar-lo implica actuar sobre l’allotjament o demanar ajuda al proveïdor. Guia de WordPress sobre PHP.

Què ha fet Hostinger en este cas

Hostinger ens ha enviat una comunicació explicant que, segons les seues proves, els atacs coneguts no aconseguien aprofitar la vulnerabilitat en la seua plataforma d’allotjament gestionat. També ha detallat les proteccions aplicades i ha confirmat la instal·lació de la correcció de PHP, sense que els seus clients hagueren de fer res. Explicació tècnica de Hostinger.

És un exemple concret de treball que passa fora del panell de WordPress: revisar la infraestructura, aplicar les correccions i comunicar què queda cobert.

La distinció està en el servei contractat. En l’allotjament gestionat, Hostinger s’encarrega de PHP. En els seus VPS, eixa responsabilitat correspon a qui administra el servidor.

A més, hi ha un detall útil: la correcció pot estar incorporada a la versió que ja utilitza la web sense canviar el seu número visible. Per a comprovar-ho en el seu allotjament gestionat, Hostinger indica que cal revisar la data de compilació —Build Date— en «PHP Info»: ha de ser del 21 d’octubre de 2026 o posterior. Com comprovar-ho en Hostinger.

Per això, a l’hora de decidir quin tipus d’allotjament necessita la teua web, també convé valorar qui s’ocupa d’estes revisions i com respon quan apareix una alerta.

La intel·ligència artificial també canvia els temps

La PHP Foundation explica que ja hi havia indicis d’un dels problemes des de 2024, encara que aleshores no s’havia identificat una manera concreta d’aprofitar-lo. Les investigacions de 2026, assistides per IA, van permetre demostrar el seu abast. La validació i les correccions van continuar comptant amb treball i decisions humanes. Explicació de la PHP Foundation.

Per a qui porta un negoci, la conseqüència pràctica està en la capacitat de respondre.

AWS va documentar un intent relacionat amb PHP2Shell el 17 d’octubre en sistemes que utilitza com a esquer per a detectar atacs, abans de la publicació de les correccions. També va observar més intents el dia 21. Eixa informació no equival a un recompte de webs que hagen patit una intrusió, però mostra que l’activitat pot començar abans que l’avís arribe al teu correu. Anàlisi d’AWS.

Un procediment de manteniment ha de poder atendre una alerta crítica sense esperar a la següent revisió mensual.

Què demanar per a saber si la teua web està coberta

No necessites aprendre a administrar un servidor. Sí que ajuda obtindre respostes concretes.

Quina versió de PHP utilitza realment la meua web?

La informació del lloc web pot servir com a punt de partida. Però dir «tenim PHP 8.3» és massa imprecís: dins d’una mateixa branca hi ha versions anteriors i posteriors a la correcció.

Per als dos problemes inicials, PHP va publicar les versions 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Alguns proveïdors distribuïxen les seues pròpies correccions sobre paquets existents, com acabem de vore amb Hostinger. Versions i paquets corregits.

Qui aplica la correcció i qui comprova que està funcionant?

Convé tindre un responsable identificat i una confirmació referida al teu lloc web o servei. Si tens diverses webs, instal·lacions de prova o subdominis, la revisió ha de contemplar-los.

Comprovar la pàgina principal deixa sense respondre què passa amb la resta.

Com es farà el canvi sense deixar de comprovar el negoci?

Abans de canviar de versió cal revisar la compatibilitat del projecte i comptar amb una còpia recuperable. Un entorn de staging permet assajar el canvi, especialment quan hi ha plugins o desenvolupaments propis.

La preparació ha d’acompanyar la urgència de la correcció. Si cal una mesura temporal mentre es resol una incompatibilitat, ha de decidir-la qui coneix l’entorn.

Després cal comprovar el que importa en eixa web: enviar una consulta de prova, entrar en l’àrea privada o recórrer una compra en un entorn de proves, sense generar un cobrament real.

Que la pàgina d’inici carregue bé és una comprovació útil. La resta de funcions necessita la seua.

S’ha revisat l’últim avís disponible?

El 23 d’octubre PHP va afegir un avís sobre una altra via d’execució de codi, limitada a una combinació poc habitual de configuració i comportament de l’aplicació. Va publicar una mesura de mitigació i va anunciar que la correcció seguiria el cicle ordinari. El responsable ha de revisar eixe supòsit addicional i determinar si afecta el teu cas. Avís actualitzat de CERT-EU.

Este seguiment també forma part del manteniment: una alerta pot rebre informació nova després de la seua primera publicació.

Corregir la fallada i revisar què ha passat són treballs diferents

Aplicar la correcció tanca les vies que corregix. Per a saber si algú les va aprofitar abans, cal revisar les evidències disponibles.

Segons l’exposició i el que es trobe, l’equip tècnic haurà de valorar registres, arxius i possibles canvis en la instal·lació. Vore la web aparentment normal no respon per si mateix a eixa pregunta.

I una còpia de seguretat tampoc substituïx eixa revisió. Si necessites recuperar una instal·lació, caldrà triar una còpia adequada i corregir la causa abans de tornar a deixar-la exposada. És part del que tractem quan parlem de recuperar una web sense perdre les comandes.

Què hauria de quedar clar després d’una alerta

Una resposta útil hauria d’explicar quin component s’ha revisat, quina correcció s’ha aplicat, quines funcions s’han provat i si queda alguna cosa pendent d’investigar.

Això permet tancar la revisió amb alguna cosa més concreta que una captura del panell sense actualitzacions.

La tranquil·litat té una base molt millor quan saps què s’ha comprovat i qui se n’ha encarregat.

Si en el teu negoci no està clar fins a on arriba el manteniment de la web, podem revisar amb tu què cobrix ara i què convé completar. Conta’ns el teu cas.