PHP2Shell, Next.js i Node.js: què ha passat l'octubre de 2026 i com saber si la teva web està exposada

Sense embuts

• Si la teva web és un WordPress, l'avís greu és PHP2Shell. És a PHP, el llenguatge en què funciona WordPress, i s'arregla actualitzant PHP al servidor, no la web. Pregunta al teu allotjament quina versió tens.
• El tallafoc del teu proveïdor ajuda, però no arregla. Vercel i altres han bloquejat els atacs coneguts. Ells mateixos diuen que cal actualitzar igualment.
• El que és perillós de debò són els complements sense actualitzar. En les webs WordPress que hem analitzat aquesta setmana, una de cada tres tenia un complement amb una fallada que s'està explotant des de l'agost.

Prefereixes que ho mirem nosaltres? Demana una revisió gratuïta de la teva web.

Què ha passat

Una fallada de seguretat és un error en un programa que permet a algú fer alguna cosa que no hauria de poder fer: llegir dades, tombar la web o, en el pitjor cas, prendre el control del servidor. Es corregeixen publicant una versió nova, i fins que algú la instal·la, la web continua exposada. Aquestes són les quatre d'aquest mes que toquen més webs d'empresa:

Sobre PHP2Shell convé no exagerar ni treure-li importància. A 21 d'octubre no figurava al catàleg de fallades explotades de l'agència de ciberseguretat dels EUA i no hi havia cap intrusió confirmada públicament, però ja circulaven exploits i s'havien vist intents d'atac. Amb una fallada crítica, que no requereix contrasenya i que afecta gairebé qualsevol servidor amb PHP, esperar que es confirmi és arribar tard.

I no és l'únic del mes. Un altre complement de WordPress, Bricksforge, s'explota des del 7 d'octubre, i s'han colat versions malicioses de llibreries de JavaScript al repositori d'on les descarreguen els programadors. Això últim afecta qui desenvolupa, no la web publicada, però per això convé que algú revisi què s'instal·la.

«El meu proveïdor ja ho bloqueja»: per què no n'hi ha prou

Diversos proveïdors han reaccionat ràpid. Vercel, on allotgem bona part de les webs que fem, va posar regles al seu tallafoc, tan bon punt es van publicar, per a PHP2Shell i per a la fallada de Node.js , gratis i en tots els projectes. És una bona notícia. Però ho diuen ells mateixos en els dos butlletins: les regles no substitueixen el pedaç.

Un tallafoc reconeix els atacs que ja coneix. Si algú canvia una mica la forma de l'atac, o el trànsit arriba per un camí que no hi passa, no el veu. És un paraigua mentre actualitzes, no la solució. I si la teva web és en un allotjament compartit sense res al davant, ni tan sols tens el paraigua.

Com ho gestionem nosaltres

Quan surt un avís així, la feina no és córrer: és saber en minuts a què afecta. Aquesta setmana, tot el que mantenim estava revisat i actualitzat en menys de 24 hores. Ho fem així:

1. 1

   Saber què hi ha i on

   Un inventari al dia de cada web, aplicació i servidor que portem: amb què està fet i en quina versió. Sense això, cada avís obliga a anar mirant-los un per un.

2. 2

   Veure a qui afecta de debò

   Moltes fallades només són explotables si es fa servir una funció concreta. Creuem cada avís amb l'inventari per saber què és urgent i què pot esperar al manteniment normal.

3. 3

   Actualitzar provant abans de publicar

   Cada actualització passa primer per una còpia de la web i per les seves proves. Es publica quan funciona igual que abans, no quan compila.

4. 4

   Avisar a qui li toca

   El que no depèn de nosaltres, com la versió de PHP d'un allotjament o una web que manté una altra empresa, s'avisa amb què cal fer i en quin termini.

I fora de casa, el que més es repeteix: en les webs WordPress que hem analitzat des de fora aquests dies, una de cada tres tenia Elementor Pro en una versió afectada per la fallada que s'explota des de l'agost, i en cap no es podia saber des de fora si el PHP del servidor ja estava al dia. Aquest és el risc real de la majoria de webs d'empresa: no la tecnologia, sinó que ningú no les actualitzi.

Com comprovar la teva web sense ser tècnic

Sis preguntes. Les pots fer tu, o fer-les a qui et porta la web:

1. 1

   La versió de PHP del servidor

   Demana-la al teu allotjament per escrit. Ha de ser 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior. Si et diuen 8.1 o menys, cal pujar de versió.

2. 2

   Que WordPress i totes les extensions estiguin al dia

   Entra a Tauler → Actualitzacions. Si hi ha extensions de pagament (Elementor Pro, constructors, formularis), comprova que la llicència continua activa: sense ella no s'actualitzen.

3. 3

   Que hi hagi algú amb nom que se n'ocupi

   Una persona o empresa que tingui per escrit que actualitza la teva web i en quin termini. «Ja ho mira l'allotjament» no sol incloure les extensions.

4. 4

   Una còpia de seguretat que algú hagi restaurat alguna vegada

   Una còpia que no s'ha provat mai és una esperança. Pregunta quan va ser l'última vegada que se'n va recuperar una.

5. 5

   Qui té accés d'administrador

   Revisa la llista d'usuaris amb permisos d'administració i treu-ne qui ja no treballa amb tu, incloses agències antigues.

6. 6

   Si la teva web és a mida, la versió de la seva tecnologia

   Pregunta a qui la va fer quina versió de Next.js o de Node.js fa servir i si ja és a les corregides. Si no sap respondre, això ja és una resposta.

El que hauria d'incloure un manteniment de debò

El que permet revisar-ho tot en un dia és saber què hi ha i on, i que algú vigili per no assabentar-se'n per les xarxes socials. Si pagues un manteniment, o el contractaràs, això és el mínim que hauria de cobrir:

• Pedaços crítics en dies, no en mesos. Amb un compromís de termini per escrit.
• Vigilància automàtica. Alertes quan surt una fallada que afecta el que tens instal·lat, filtrades perquè arribin les que importen i no cent correus que ningú no llegeix.
• Provar abans de publicar. Cada actualització, primer en una còpia; com hem vist, que compili no vol dir que funcioni.
• Còpies de seguretat provades i una llista al dia de qui té accés.
• Un resum que entenguis. Què s'ha actualitzat, què queda pendent i per què.

Preguntes freqüents