Dues vulnerabilitats crítiques de PHP descobertes amb ajuda de la intel·ligència artificial mostren com la IA està modificant la manera de detectar problemes de seguretat i les dificultats que comporta resoldre'ls.

El 21 d'octubre de 2026, diversos organismes públics europeus han deixat temporalment fora de servei algunes de les seves pàgines web. Tot i que no s'ha confirmat un ciberatac massiu, la mesura s'ha pres per prevenir l'explotació de dues vulnerabilitats crítiques descobertes en el llenguatge de programació PHP.

PHP s'utilitza en prop del 70% dels llocs web dels quals es coneix el llenguatge de programació del servidor. Plataformes com WordPress, Drupal o Joomla fan servir aquesta tecnologia. Per tant, una vulnerabilitat en PHP pot afectar des de petits blogs fins a portals corporatius i serveis de les administracions públiques. Organismes de ciberseguretat com CERT-EU, ENISA i la NSA nord-americana han alertat dels riscos associats.

Un dels aspectes més rellevants d'aquesta notícia és el paper que ha tingut la intel·ligència artificial en la descoberta. Els nous models d'IA estan ajudant els investigadors a identificar problemes de seguretat difícils de detectar, fins i tot en tecnologies que fa dècades que s'utilitzen i que han estat revisades per especialistes.

Quan el sistema falla intentant gestionar una fallada

La primera vulnerabilitat afecta la gestió de la memòria. Imaginem una capsa on anem introduint llibres fins que s'omple. Un atacant provoca que s'hi intentin afegir més llibres dels que pot contenir, fins que el sistema interromp l'operació. Però alguns llibres queden mal col·locats i, quan s'intenta ordenar-los, el sistema pot confondre'n el contingut amb instruccions que ha d'executar.

En termes tècnics, l'atacant provoca un esgotament de memòria (out of memory o OOM) que pot desencadenar una corrupció de memòria i permetre, en determinades condicions, executar codi maliciós: el sistema falla quan intenta recuperar-se d'una fallada.

La segona vulnerabilitat s'assembla a conservar la fitxa d'un llibre que hem retirat d'una biblioteca. Un atacant aprofita l'espai buit per col·locar-hi un altre llibre, potser amb contingut maliciós. Quan consultem la fitxa antiga, anem a parar al llibre de l'atacant sense adonar-nos del canvi.

En informàtica, aquest error es coneix com a use-after-free: el sistema continua utilitzant una zona de memòria que ja havia alliberat i que un atacant pot haver manipulat.

En tots dos casos, el problema apareix en situacions poc habituals de gestió de memòria. No són errors que es detectin simplement comprovant que una aplicació funciona correctament en condicions normals. De fet, el problema de base de la primera vulnerabilitat ja s'havia identificat el 2024, però no se n'havia demostrat tot el potencial d'explotació fins a la recerca recentment assistida per IA.

PHP també és a la indústria

A primera vista, pot semblar un problema exclusiu dels departaments d'informàtica. En l'entorn industrial, però, aquesta idea pot ser perillosa, perquè a les fàbriques conviuen sistemes IT (Information Technology) i OT (Operational Technology) cada vegada més interconnectats.

Entre els sistemes de control industrial (PLC, DCS, SCADA) i les xarxes corporatives hi ha una capa d'aplicacions que sovint passa desapercebuda: portals de producció, eines de generació d'informes, aplicacions MES heretades, sistemes de gestió del manteniment i equips amb interfícies web de configuració. Algunes d'aquestes solucions utilitzen PHP internament. El CERT-EU recorda que nombrosos productes comercials i de codi obert poden estar afectats encara que no ho sembli a simple vista.

Algunes d'aquestes solucions usen PHP internament, i les conseqüències d'una intrusió poden ser diverses. Un servidor web compromès a la zona desmilitaritzada (DMZ), situada entre les xarxes IT i OT, pot convertir-se en una porta d'entrada cap als sistemes de control. També es podria alterar la informació de producció amb què es prenen decisions operatives, com els rendiments, la qualitat o l'estat dels equips.

En determinades circumstàncies, les conseqüències poden arribar a ser físiques. Aquest mateix octubre de 2026, un ciberatac contra sistemes de refrigeració de supermercats francesos va provocar alteracions que van fer arribar algunes cambres frigorífiques als 50°C. Tot i que no està relacionat amb les vulnerabilitats de PHP, el cas il·lustra les conseqüències que pot tenir una intrusió a través d'una interfície de gestió.

Un accés inicial d'aquest tipus també pot facilitar atacs amb programari de segrest (ransomware) i provocar aturades de producció. Incidents com NotPetya o LockerGoga ja han demostrat l'impacte econòmic que pot tenir la paralització de sistemes industrials.

A tot això s'hi afegeix una dificultat especialment important en els entorns OT: els equips poden funcionar durant dècades i les actualitzacions sovint requereixen aturades planificades. Algunes instal·lacions continuen utilitzant sistemes heretats que difícilment es podran actualitzar.

Mesures concretes de protecció

El primer pas és saber si tenim sistemes afectats. Els responsables d'informàtica han d'identificar els servidors web, portals corporatius i aplicacions que fan servir PHP, comprovar-ne les versions i aplicar les actualitzacions de seguretat corresponents. Cal prioritzar els sistemes accessibles des d'internet i, quan no es puguin actualitzar immediatament, valorar mesures temporals com restringir-ne l'accés o aïllar-los.

En l'entorn industrial, els responsables d'IT de planta i d'enginyeria han d'ampliar aquesta revisió als equips amb interfície web de les xarxes IT i OT i de les zones desmilitaritzades (DMZ). Cal tenir en compte que alguns productes incorporen PHP internament, encara que no sigui evident, i pot ser necessari consultar-ne els fabricants per obtenir les correccions. També és important revisar els registres per detectar activitat sospitosa, reforçar la segmentació de les xarxes i evitar exposar directament a internet les interfícies de gestió industrial. En aquests entorns, on les actualitzacions poden requerir aturades planificades, cal assegurar-se que qualsevol canvi no comprometi el funcionament de la planta.

Quan tothom pot crear tecnologia

La IA permet que professionals amb pocs coneixements de programació desenvolupin les seves pròpies aplicacions. És el fenomen dels citizen developers, una oportunitat extraordinària per innovar, automatitzar processos i desenvolupar solucions molt pràctiques sense necessitat de disposar sempre d'un equip especialitzat.

Però el cas PHP fa plantejar una qüestió important: si una tecnologia desenvolupada i revisada durant dècades per experts encara conté vulnerabilitats greus, què cal tenir present quan es creen aplicacions en qüestió d'hores?

Això no significa que les aplicacions creades amb IA siguin necessàriament menys segures, ni que l'experiència professional garanteixi l'absència d'errors. En qualsevol cas, cal avaluar els riscos, les dependències i el comportament del sistema en situacions imprevistes, especialment quan aquestes aplicacions s'integren amb altres sistemes de l'empresa o intervenen en processos industrials.

El repte no és només trobar les vulnerabilitats

OpenAI preveu que augmentaran les descobertes de vulnerabilitats amb ajuda de la IA. Això podria incrementar el nombre de problemes de seguretat que els responsables dels sistemes hauran d'analitzar i corregir.

Una empresa pot decidir no utilitzar IA per desenvolupar o revisar els seus sistemes, però no pot impedir que altres la facin servir per analitzar-los, siguin investigadors de seguretat o possibles atacants.

El cas PHP mostra que identificar una vulnerabilitat no implica poder corregir-la immediatament. Els responsables del projecte coneixien indicis del primer problema des del 2024, però les possibles solucions presentaven diverses dificultats: podien afectar la compatibilitat amb altres programes, introduir nous riscos o exigir modificacions en components de tercers. La correcció es va anar ajornant.

Aquesta dificultat també es trasllada a les empreses que utilitzen aquestes tecnologies. Imaginem una aplicació que intervé en el funcionament d'una fàbrica i que depèn d'un component vulnerable. Cal actualitzar-la, però abans s'ha de comprovar que el canvi no afecti la producció ni altres sistemes. Pot ser necessari coordinar, en poques hores, els responsables de ciberseguretat, desenvolupament, operacions i direcció per decidir com actuar.

En una gran empresa, aquesta situació pot afectar moltes aplicacions alhora, però habitualment hi ha equips especialitzats per gestionar-la. En una pime, en canvi, potser no existeix aquesta estructura i les mateixes persones han de prendre decisions tècniques i operatives amb recursos limitats.

La IA pot ajudar a identificar problemes, analitzar alternatives i proposar correccions. Però aquestes decisions requereixen conèixer les dependències entre sistemes, valorar les conseqüències d'una actualització i determinar quins riscos es poden assumir mentre s'aplica una solució.

Si la IA ens permet descobrir vulnerabilitats més ràpidament, també haurem de millorar la capacitat de respondre-hi. I això no depèn només de disposar d'eines més potents, sinó de tenir el coneixement, l'organització i el criteri necessaris per prendre decisions.