Reflexions sobre les actualitzacions de seguretat de PHP del 21 d’octubre de 2026

La nostra empresa treballa amb tecnologies de codi obert madures que qualsevol persona pot revisar i auditar, i ens preocupem constantment per la seguretat i la continuïtat operativa de les aplicacions que lliurem als nostres clients. Tanmateix, aquestes tecnologies estan lluny de ser lliures d’errors, per això dediquem temps i recursos a atendre les actualitzacions de seguretat de les tecnologies que fem servir.

El 21 d’octubre de 2026 es van publicar pedaços d’emergència per a dues vulnerabilitats crítiques de PHP, corresponents als avisos de seguretat CVE-2026-109618 i CVE-2026-109619. CVE vol dir “Common Vulnerabilities and Exposures” i és un catàleg de vulnerabilitats de seguretat públicament conegudes en aplicacions de programari i components de maquinari.

Vam conèixer aquesta informació a les 11:40 del matí de dimecres i vam emetre immediatament un avís a tots els nostres clients sobre el risc que suposava. Vam prendre les mesures següents, amb hores aproximades:

11:45 CLST / 14:45 UTC: Actualització massiva de PHP i altres eines a tots els servidors públics que contenen informació dels nostres clients i que estan sota el nostre control. En els servidors amb Rocky Linux, es va actualitzar a PHP 8.5.12, i en els servidors amb Ubuntu Linux, a 8.5.4-0ubuntu1.5.

12:00 CLST / 15:00 UTC: Reinici de tots els servidors públics que contenen informació dels nostres clients i que estan sota el nostre control, amb una interrupció del servei de 15 minuts.

15:00 CLST / 18:00 UTC: Va començar l’anàlisi de tots els registres de les aplicacions, recollits a partir dels serveis de monitoratge de què disposem, que va finalitzar el 30 d’octubre de 2026 sense trobar cap indici de problemes de seguretat.

Les interrupcions del servei van sumar 30 minuts en total: 15 minuts per l’actualització de PHP i 15 minuts per la de les aplicacions.

Les plataformes que desenvolupem funcionen darrere d’un Web Application Firewall que només admet un conjunt de dades vàlid per a cada lloc, cosa que redueix la superfície d’un atac. Tanmateix, la protecció principal davant d’aquest tipus de fallades de seguretat és l’actualització del programari, que ja està aplicada al 100%. També apliquem actualitzacions de seguretat a les aplicacions que corren sobre PHP, amb un temps fora de línia calculat de 15 minuts. Aquesta actualització es fa de manera periòdica i automatitzada, però disposem dels mitjans per fer-la manualment i controlar-ne els resultats.

Només un servei va romandre no disponible més temps del necessari, perquè l’organització que l’administra té polítiques pròpies de conservació de la informació. Tot i això, l’auditoria realitzada sobre aquest servei tampoc no va detectar intents d’explotació reeixits.

La nostra empresa continua compromesa amb el desenvolupament de productes i serveis d’excel·lència per als nostres clients. Davant de qualsevol consulta, no dubteu a contactar-nos a través dels nostres canals institucionals.