Tot i que PHP no és un nom familiar per a la majoria dels usuaris, forma part de la infraestructura que permet funcionar a una enorme quantitat de pàgines web. Aquest llenguatge de programació està darrere de plataformes tan esteses com WordPress i de nombrosos sistemes que gestionen continguts, botigues digitals i serveis a internet. Per això, el descobriment de dues vulnerabilitats crítiques en el seu nucli ha activat les alertes de ciberseguretat i ha obligat administradors i organitzacions a revisar els seus sistemes amb urgència.
El cas ha adquirit especial rellevància per la participació de la intel·ligència artificial en la investigació. OpenAI ha explicat que el seu model GPT-5.6 Sol va ajudar a identificar un dels errors dins de la iniciativa de ciberseguretat Patch the Planet. L'empresa especialitzada Wiz també va descobrir i comunicar les vulnerabilitats de manera independent. Després de coordinar la resposta amb els responsables de PHP i altres col·laboradors, l'equip de desenvolupament va publicar les actualitzacions de seguretat el 21 d'octubre.
Què és PHP i per què importa tant per a internet
PHP és un llenguatge de programació que s'executa principalment en els servidors. Quan una persona entra en una pàgina web, aquest programari pot encarregar-se de processar una petició, consultar una base de dades, gestionar una sessió o preparar el contingut que finalment apareix en el navegador. L'usuari no sol veure-ho, però pot estar treballant darrere de la pàgina que té oberta.
La seva popularitat explica la dimensió del problema. PHP s'utilitza en una proporció propera al 70% dels llocs web, segons les estimacions difoses per investigadors de seguretat. Un dels exemples més coneguts és WordPress, el sistema de gestió de continguts amb el qual funcionen innombrables mitjans de comunicació, blogs i pàgines corporatives. També existeixen altres plataformes i aplicacions desenvolupades amb aquest llenguatge.
Això no significa que set de cada deu webs hagin estat atacades ni que totes estiguin necessàriament exposades. El risc depèn de la versió instal·lada, la configuració del servidor i l'aplicació concreta. No obstant això, quan es descobreix una fallada en un component tan estès, la quantitat de sistemes que han de comprovar si estan protegits pot ser enorme.
Dues vulnerabilitats que poden donar accés al servidor
Les fallades identificades afecten la gestió interna de la memòria de PHP i han rebut una puntuació de 9,2 sobre 10 en l'escala CVSS 4.0, que mesura la gravetat de les vulnerabilitats informàtiques. El perill principal és que poden permetre l'execució remota de codi sense que l'atacant hagi d'iniciar sessió prèviament.
Què significa això a la pràctica? Un servidor vulnerable podria arribar a executar instruccions enviades des de fora per una persona malintencionada. Segons les circumstàncies i els permisos disponibles, això podria facilitar l'accés a informació confidencial, la manipulació d'una pàgina web o un compromís més ampli del sistema.
Els dos problemes s'han registrat amb els identificadors CVE-2026-109618 i CVE-2026-109619. No es tracta d'una fallada exclusiva de WordPress ni d'una vulnerabilitat que afecti únicament el disseny d'una pàgina: el problema es troba en el mateix motor de PHP. Per això, corregir-ho pot requerir una actualització de l'entorn en què funciona la web, no simplement instal·lar un complement o canviar una contrasenya.
Com ha ajudat la intel·ligència artificial a detectar el problema
La intervenció de la IA és un dels aspectes més destacats del cas. Segons OpenAI, el model GPT-5.6 Sol va permetre als investigadors identificar una vulnerabilitat crítica durant un treball d'anàlisi de seguretat. Wiz, per la seva banda, va comunicar de forma independent ambdues fallades. La resposta posterior va implicar els responsables del llenguatge, investigadors i proveïdors d'infraestructura, que van preparar les correccions abans de divulgar públicament els detalls tècnics.
Aquest procés resulta important perquè trobar una vulnerabilitat no consisteix únicament a detectar una línia de codi sospitosa. Els investigadors han d'entendre com es comporta el programari, comprovar si l'error pot explotar-se, determinar les seves possibles conseqüències i col·laborar amb els desenvolupadors per corregir-ho sense provocar nous problemes.
La intel·ligència artificial pot accelerar part d'aquest treball, ajudant a examinar codi i a localitzar comportaments anòmals que podrien passar inadvertits. Però no substitueix tot el procés: en aquest cas, la investigació, la coordinació amb els responsables de PHP i la publicació dels pegats van ser fonamentals per reduir el risc.
Per què algunes webs van deixar de funcionar temporalment
Davant d'una fallada que podria permetre prendre el control d'un servidor, mantenir una web connectada sense haver aplicat les proteccions necessàries pot suposar un risc. Per aquest motiu, algunes organitzacions i serveis públics van optar per desconnectar temporalment les seves pàgines mentre avaluaven l'exposició i preparaven les actualitzacions. La mesura busca impedir que un sistema vulnerable segueixi accessible des d'internet durant una situació d'incertesa.
No totes les organitzacions tenen la mateixa capacitat per reaccionar. Les grans empreses poden comptar amb equips especialitzats en seguretat, mentre que una petita web pot dependre d'un proveïdor d'allotjament que gestioni les actualitzacions. A més, comprovar quina versió està instal·lada i aplicar un pegat pot requerir proves prèvies per evitar interrupcions o incompatibilitats.
L'alerta també reflecteix una dificultat habitual en la ciberseguretat: publicar una correcció no garanteix que tots els sistemes la instal·lin immediatament. El risc persisteix en aquells servidors que segueixen utilitzant versions vulnerables, especialment si estan exposats a peticions procedents d'internet.
Què han de fer les webs afectades
L'equip de PHP ha publicat versions corregides per a les branques 8.5, 8.4, 8.3 i 8.2. En concret, les actualitzacions de seguretat són PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Els administradors han de comprovar quina versió utilitzen i aplicar l'actualització corresponent seguint les indicacions oficials i les del seu proveïdor d'allotjament.
Per als qui tenen una pàgina web sense gestionar directament el servidor, el recomanable és consultar amb l'empresa d'hosting o amb el responsable tècnic per confirmar si la instal·lació està afectada i si ja s'han aplicat les mesures necessàries. Canviar la contrasenya d'accés, per si sol, no corregeix una vulnerabilitat d'aquest tipus.
L'episodi deixa una conclusió que va més enllà de PHP. La intel·ligència artificial està ampliant les possibilitats dels qui busquen fallades de seguretat, però detectar el problema és només una part de la resposta. La protecció depèn també que els desenvolupadors publiquin solucions i que els responsables dels sistemes les instal·lin a temps. En una xarxa tan interconnectada com internet, la rapidesa amb què es corregeix una vulnerabilitat pot marcar la diferència.