Vulnerabilitats crítiques de PHP obliguen a actualitzar d'urgència

PHP ha publicat hui les versions 8.5.12, 8.4.27, 8.3.36 i 8.2.35, que corregixen dues vulnerabilitats crítiques: amb una simple petició web, algú sense credencials pot executar codi en el teu servidor. Si tens PHP en producció, és extremadament urgent actualitzar hui.

Si tens el manteniment contractat amb Nebux, com sempre, tu no has de fer res: ja està tot actualitzat.

Què està passant

Hui s'han publicat les vulnerabilitats CVE-2026-109618 i CVE-2026-109619. L'equip de seguretat de PHP puntua les dues amb un 9,2 sobre 10 en CVSS 4.0, que és l'estàndard que utilitzem els experts en ciberseguretat a l'hora de puntuar riscos.

Afecten qualsevol instal·lació de PHP que servisca peticions web: PHP-FPM, Apache amb mod_php, php-cgi, FrankenPHP i LiteSpeed. El risc més alt és en mod_php, amb un atac ja demostrat.

Els detalls es van filtrar ahir, abans de la data prevista, i PHP ha avançat un dia la publicació.

Si encara no pots actualitzar

PHP proposa estes mesures mentrestant. No protegixen del tot: només actualitzar ho fa.

Per a CVE-2026-109618, fixa estos valors on l'aplicació no els puga canviar, com php_admin_value en el pool de FPM o en la configuració d'Apache:

memory_limit = -1
post_max_size = 8M    ; 32M si necessites pujar fitxers

No limites la memòria amb RLIMIT_AS ni RLIMIT_DATA, ja que provoquen justament la fallada que es vol evitar.

Per a CVE-2026-109619:

session.upload_progress.enabled = 0
fatal_error_backtraces = 0    ; només en PHP 8.5

Després, reinicia tots els processos de PHP. No servix canviar-ho amb ini_set() ni amb un .user.ini.

Si tens PHP 8.1 o anterior

Els desenvolupadors ja no publiquen pegats corregits per a estes versions. El seu equip de seguretat ha preparat correccions per a la 8.1, 8.0 i 7.4, però hauries de compilar-les pel teu compte per a aplicar-les. El més segur és passar a una versió amb suport, tenint en compte que el de la 8.2 acaba el 31 de desembre de 2026. Pots comprovar fins quan té suport la teua versió en endoflife.date.

Què passa si eres client de Nebux

Tots els nostres clients tenien versions de PHP amb suport perquè fem els deures a temps, així que han pogut aplicar el pegat immediatament. El nostre equip, en publicar-se la notícia, va preparar un pla d'actualització i, quan PHP ha llançat els pegats, hem actualitzat tots els serveis. Com que encara no s'havia publicat la imatge OCI oficial de PHP (per a Docker, Podman, etc.), n'hem creat una de transitòria amb el pegat. Tres hores després del llançament, ja estaven tots els serveis actualitzats (estem parlant de desenes!). A més, sense cost addicional: està inclòs en la quota mensual.

El servei de manteniment està pensat per a cuidar el que tens en marxa i que seguisca funcionant, amb les actualitzacions, les vulnerabilitats i el desgast de cada dia. I, especialment, perquè en casos com este es puga actualitzar amb tota senzillesa, sense haver de fer migracions a corre-cuita i, per descomptat, sense cap impacte en producció. I no només amb PHP: tot el programari es manté al dia.

És una quota fixa mensual segons el volum i la complexitat de la teua infraestructura. Si vols que ens ocupem de la teua, conta-nos-ho.