El passat 20 d\u2019octubre s\u2019ha convertit en una nova data important que no es pot oblidar. El projecte PHP ha anunciat una propera actualitzaci\u00f3 de seguretat que t\u00e9 com a objectiu abordar dues vulnerabilitats cr\u00edtiques a PHP<\/b>, correccions que es van dur a terme el passat 21 d\u2019octubre de 2026 a les 13:30 UTC.<\/p>\n
Aquestes dues correccions es van presentar a les versions 8.5.12, 8.4.27, 8.3.36 i 8.2.35<\/b>. Totes aquestes vulnerabilitats permeten que s\u2019executi codi de manera remota sense autenticaci\u00f3 en servidors web vulnerables. Com que ja existeixen proves de concepte (PoC) p\u00fabliques i detalls t\u00e8cnics circulant per la comunitat, \u00e9s possible que l\u2019explotaci\u00f3 massiva per part de ciberdelinq\u00fcents sigui elevada.<\/p>\nDetalls de cadascuna de les vulnerabilitats<\/h2>\n
La vulnerabilitat CVE-2026-109618<\/b> (GHSA-w8hw-w9fx-j79w) t\u00e9 una qualificaci\u00f3 CVSS 9.2. PHP utilitza la funci\u00f3 longjmp() per avortar peticions quan se supera el l\u00edmit de mem\u00f2ria configurat (memory_limit).<\/p>\n
El problema es produeix quan aquesta interrupci\u00f3 es duu a terme mentre PHP processa una estructura de dades incompleta; per exemple, mentre s\u2019est\u00e0 pujant un formulari, el proc\u00e9s de neteja posterior intenta alliberar punters de mem\u00f2ria no inicialitzats. Amb aquesta vulnerabilitat, un atacant podria manipular la mem\u00f2ria al seu gust per for\u00e7ar l\u2019execuci\u00f3 de codi.<\/p>\n
La vulnerabilitat CVE-2026-109619<\/b>, per la seva banda, permet que informaci\u00f3 o estats interns d\u2019una petici\u00f3 subsisteixin a la mem\u00f2ria despr\u00e9s que s\u2019hagi produ\u00eft un error fatal. Aix\u00f2 pot passar fins i tot despr\u00e9s que aquesta mem\u00f2ria hagi estat alliberada. Quan aquest mateix proc\u00e9s at\u00e9n una petici\u00f3 posterior, \u00e9s possible accedir a la mem\u00f2ria obsoleta abans que es reinicialitzin les variables, permetent l\u2019execuci\u00f3 remota de codi.<\/p>\n El primer i m\u00e9s important \u00e9s actualitzar totes les instal\u00b7lacions de PHP que s\u2019hagin vist afectades com m\u00e9s aviat millor a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35<\/b>.<\/p>\n Per als paquets de distribuci\u00f3 de Linux i els prove\u00efdors de suport a llarg termini que van rebre els pegats amb antelaci\u00f3, contacteu amb el vostre prove\u00efdor per obtenir aquests paquets actualitzats.<\/p>\n En el cas de les versions obsoletes, les de PHP 8.1<\/b> i anteriors, algunes distribucions i prove\u00efdors de suport a llarg termini ofereixen correccions retroportades. En aquest cas, us recomanem que contacteu amb el vostre prove\u00efdor o actualitzeu a una versi\u00f3 compatible.<\/p>\n Es tracta d\u2019un problema greu, per la qual cosa l\u2019equip de seguretat de PHP ha publicat correccions retroportades m\u00ednimes per a PHP 7.4, 8.0 i 8.1<\/b> per a aquelles organitzacions que compilen des del codi font o per a aquelles que no disposen d\u2019un prove\u00efdor LTS.<\/p>\n Per als usuaris de rpms.remirepo.net no hi haur\u00e0 actualitzacions el dia de llan\u00e7ament. El m\u00e9s recomanable en aquest cas \u00e9s que els usuaris optin pels paquets de distribuci\u00f3 o que compilin directament des del codi font.<\/p>\n Sempre que no sigui possible aplicar el pegat de manera immediata, es recomana a les organitzacions que considerin la possibilitat d\u2019a\u00efllar els recursos connectats a internet de les xarxes p\u00fabliques fins que es pugui verificar una soluci\u00f3.<\/p>\n En el cas que no es pugui actualitzar de manera immediata, amb aquestes mitigacions es redueix la superf\u00edcie d\u2019exposici\u00f3 davant vectors coneguts. Aquestes mitigacions no substitueixen en cap moment la instal\u00b7laci\u00f3 del pegat oficial.<\/p>\n Establiu memory_limit=-1<\/b> mitjan\u00e7ant php_admin_value<\/b> als pools de FPM o a la configuraci\u00f3 d\u2019Apache per evitar que sigui l\u2019aplicaci\u00f3 qui controli la fallada. Assegureu-vos que cap aplicaci\u00f3 o directori sobrescrigui aquest par\u00e0metre.<\/p>\n Per fer-ho, configureu post_max_size<\/b> a 8MB o a 32MB si es requereixen desc\u00e0rregues, i manteniu upload_max_filesize<\/b> per sota d\u2019aquest valor.<\/p>\n L\u00edmits a nivell de proxy\/WAF<\/b><\/p>\n Establiu l\u00edmits al servidor web o al WAF per al recompte de camps, cap\u00e7aleres, parts multipart i profunditat de peticions HTTP.<\/p>\n Per fer-ho, establiu session.upload_progress.enabled=0<\/b> a php.ini o a nivell de servidor (mai mitjan\u00e7ant ini_set() ni .user.ini<\/b>) i reinicieu tots els workers.<\/p>\n A PHP heu de configurar fatal_error_backtraces=0<\/b> i tot seguit reiniciar tots els processos.<\/p>\n Per acabar, corregiu o elimineu par\u00e0metres obsolets per petici\u00f3 que generin advertiments o diagn\u00f2stics abans de la inicialitzaci\u00f3 de sessi\u00f3.<\/p>\n","protected":false},"excerpt":{"rendered":" El passat 20 d\u2019octubre s\u2019ha convertit en una nova data important que no es pot oblidar. El projecte PHP ha anunciat una propera actualitzaci\u00f3 de seguretat que t\u00e9 com a objectiu abordar dues vulnerabilitats cr\u00edtiques a PHP, correccions que es van dur a terme el passat 21 d\u2019octubre de 2026 a les 13:30 UTC. Aquestes […]<\/p>\n","protected":false},"author":1,"featured_media":30359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"seoglobal_related":[],"footnotes":""},"categories":[71],"tags":[],"class_list":["post-30358","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized-ca"],"_links":{"self":[{"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/posts\/30358","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/comments?post=30358"}],"version-history":[{"count":0,"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/posts\/30358\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/media\/30359"}],"wp:attachment":[{"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/media?parent=30358"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/categories?post=30358"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/seoglobal.es\/ca\/wp-json\/wp\/v2\/tags?post=30358"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Quins productes s\u2019han vist afectats?<\/h2>\n
\n
Recomanacions a dur a terme<\/h2>\n
Mitigacions temporals (Si no es pot actualitzar immediatament)<\/h2>\n
Per mitigar CVE-2026-109618 (Corrupci\u00f3 per OOM)<\/h2>\n
Desactiveu primer memory_limit a la configuraci\u00f3 del servidor<\/h2>\n
Restrigiu les mides de pujada<\/h2>\n
Per mitigar CVE-2026-109619 (Estat global persistent)<\/h2>\n
Desactiveu el progr\u00e9s de pujada de sessions<\/h2>\n
Desactiveu traces a PHP 8.5<\/h2>\n
Elimineu configuracions en des\u00fas<\/h2>\n