Tal com haureu sentit o vist per premsa i mitjans especialitzats, el dia 21 d'octubre s'ha fet pública una vulnerabilitat crítica a PHP, el llenguatge de programació que fan servir milions de webs i aplicacions arreu del món, també SIGPC. No és un problema de SIGPC ni de cap programa concret: és una errada del propi llenguatge, que afecta tothom qui el fa servir i que els seus desenvolupadors ja han corregit.

Què era exactament

Es tracta de dues errades (CVE-2026-109618 i CVE-2026-109619) que, en determinades condicions, podrien permetre que algú des d'internet executés ordres en un servidor sense tenir-hi cap compte. Per això es van classificar com a crítiques. La correcció va arribar amb les versions 8.4.27, 8.3.36 i 8.2.35 de PHP.

Què hem fet a SIGPC

  1. Actualitzar PHP a la versió corregida (8.4.27) i reiniciar els serveis perquè el canvi sigui efectiu.
  2. Revisar la plataforma a la recerca de qualsevol senyal d'activitat estranya: fitxers modificats, processos inesperats, errors del servidor i accessos. No hem detectat cap indici d'accés no autoritzat.
  3. Actualitzar altres components de la infraestructura aprofitant la revisió: les llibreries de l'aplicació amb correccions de seguretat publicades, el sistema de seguiment GPS, l'eina d'estadístiques, la base de dades d'aquesta eina i els paquets del sistema operatiu.
  4. Retirar programari que ja no fèiem servir, perquè tot allò que no cal és una porta menys a vigilar.

Què canvia per a vosaltres

Res. No cal que feu cap acció, ni canviar contrasenyes, ni actualitzar l'app. Les actualitzacions van comportar només talls molt breus del servei, de l'ordre de segons.

Com ho vigilem a partir d'ara

Revisem de manera periòdica les versions dels components que fem servir, perquè les correccions de seguretat s'apliquin tan aviat com surtin, i seguim treballant per reforçar encara més l'aïllament de la plataforma. Si teniu qualsevol dubte, escriviu-nos a admin@sigpc.cat i us respondrem personalment.