La IA va trobar el forat; Europa, l'endoll

Dues fallades que obren el servidor sense clau

Segons php.net, les dues fallades, CVE-2026-109618 i CVE-2026-109619, afecten totes les instal·lacions de PHP que serveixen pàgines web, i el risc és més gran amb mod_php, el mòdul que integra PHP al servidor Apache. Allà s'ha demostrat un atac que no necessita identificar-se.

El llenguatge de WordPress, Drupal i Joomla

Wiz diu que, en proves, va prendre el control de WordPress, Drupal i Joomla. Segons Wiz, totes les versions de l'última dècada, des de la 5.4, tenen almenys una de les dues fallades; Calif també situa en PHP 5.4.0 la versió afectada més antiga que va trobar.

Quant hi ha en joc

PHP puntua les dues fallades amb un 9,2 a l'escala CVSS 4.0, dins de la franja més alta.

El «70 %» el dona Wiz i és la quota de webs que fan servir PHP, no un recompte de webs vulnerables; la BBC diu que no ho ha pogut verificar. El que s'ha mesurat és una altra cosa: segons dades de Censys, empresa d'intel·ligència sobre internet, recollides per l'agència Reuters, uns 1,5 milions dels 2,6 milions de servidors analitzats declaren una versió de PHP sense corregir.

Calif ho va trobar amb l'ajuda d'un model

Calif va començar a revisar PHP el 30 de juliol, convidada a Patch the Planet, la iniciativa que OpenAI i la consultora de seguretat Trail of Bits van llançar el 22 de juny perquè projectes crítics de codi obert trobin i corregeixin errors amb IA. Segons el seu relat, va trobar les primeres vies d'atac al cap de pocs dies.

OpenAI afirma que Calif va fer servir el seu model GPT-5.6 Sol. Calif no anomena el model: diu que va treballar amb un assistent d'IA, sense eines especials ni models fora de l'abast de qualsevol. Segons la PHP Foundation, OpenAI va comunicar pel seu compte la mateixa causa el mateix dia, l'11 d'agost; la fundació agraeix a OpenAI i a Anthropic, entre d'altres, que financessin part de la seva feina de seguretat.

Wiz, amb el model de la seva matriu

Wiz va trobar la seva primera fallada el 19 d'agost amb Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol, i destaca la «contribució inestimable» de Gemini 4 Argon per localitzar-la, desenvolupar l'atac de prova, detectar-la i validar el pedaç.

Cada empresa explica la seva part: Wiz subratlla el model de la seva matriu, Google, i OpenAI, el seu. Segons Wiz, amb els models més avançats i les eines adequades, «un sol investigador va completar en una setmana el que abans hauria costat mesos a un equip de primer nivell».

Dos mesos en silenci i un dia d'avançament

Entre el primer avís i el pedaç van passar una mica més de dos mesos de feina discreta entre PHP, els descobridors, les distribucions de Linux i els proveïdors de defenses. Segons la PHP Foundation, el 20 d'octubre els identificadors de les fallades van començar a circular per les xarxes, sense detalls tècnics, i PHP va avançar un dia la publicació.

La fundació reconeix que la correcció de la fallada de fons, detectada el 2024, es va encallar durant mesos: «el retard va ser una fallada estructural», escriu, per la manera com decidia el seu equip de seguretat i per la falta de recursos.

Europa desconnecta

Segons la BBC, Finlàndia va tancar temporalment els serveis web públics del Govern, i als Països Baixos es van desconnectar el web de l'agència de ciberseguretat, l'NCSC, el de l'RIVM, l'institut nacional de salut pública, i el de la Tweede Kamer, la cambra baixa. Reuters hi afegeix el port de Rotterdam, el portal Overheid.nl i la federació de futbol KNVB; a Dinamarca, serveis de Kombit, l'empresa municipal d'informàtica, i a França, tots els webs del Ministeri de l'Interior, en manteniment preventiu.

La consigna oficial va ser actualitzar o desconnectar. La van donar la CISA, l'agència de ciberseguretat del Departament de Seguretat Nacional dels EUA; el CERT-EU, l'equip de ciberseguretat de les institucions de la UE, allotjat a la Comissió Europea, i, segons la BBC, l'NSA i el centre nacional de ciberseguretat britànic. A Espanya, INCIBE-CERT, el centre de resposta de l'Institut Nacional de Ciberseguretat, que depèn del Ministeri per a la Transformació Digital i de la Funció Pública, va publicar l'avís INCIBE-2026-762, de gravetat crítica. No consta cap web espanyol desconnectat.

Intents vistos, cap intrusió confirmada

INCIBE-CERT marca «Explotación: No» a la taula del seu avís del 21 d'octubre, però el seu mateix text diu que «s'han comunicat atacs contra servidors PHP abans de la publicació de les actualitzacions» (en l'original, «se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones»). La CISA va escriure aquell dia que no n'havia observat explotació; Huntress, empresa de ciberseguretat que protegeix companyies a través de socis, tampoc no la veia als sistemes dels seus socis a les 16 h 30 min del 21, hora de l'est dels EUA. La PHP Foundation no va trobar, en el moment de publicar, cap codi d'atac que funcionés.

A l'altra banda, watchTowr, empresa que ven vigilància de l'exposició a internet, diu a la seva pàgina de preguntes, actualitzada a les 00 h 33 min UTC del 22, que des del 21 veu explotació a la seva xarxa d'esquers. Cloudflare, empresa d'infraestructura d'internet que ven la protecció que esmenta, va escriure a les 13 h 56 min UTC del 21 que veia trànsit d'atac contra els seus clients. I Amazon, segons Reuters, va detectar un intent contra un esquer el 17 d'octubre; diu que no sap si algun intent hauria funcionat contra webs reals i, alhora, que les fallades ja «s'exploten de manera àmplia».

El que es pot afirmar: hi ha intents d'atac observats, diversos contra esquers, i ningú no ha confirmat en públic cap intrusió amb èxit en un sistema real.

Només l'actualització ho arregla

Segons php.net, no hi ha cap mitigació completa i actualitzar és l'única opció segura; els ajustos temporals redueixen l'exposició, però no deixen la instal·lació fora de perill. Cloudflare va activar regles del seu tallafocs d'aplicacions web per a tots els clients i, tot i així, recomana aplicar el pedaç i, si és l'allotjament qui gestiona PHP, demanar-li que l'actualitzi. OpenAI ha publicat un comprovador de codi obert, php2shell-checker, per saber si una versió és vulnerable.