La teva web té una peça de la qual potser no has sentit a parlar mai, i aquesta setmana s'ha tornat urgent. Es diu PHP, i si la teva botiga, la teva clínica o el teu allotjament rural té una web en WordPress, hi funciona per sota.
Pensa en el motor d'una furgoneta que mai no obres. Algú el va instal·lar fa anys. Ha anat fent la seva feina. I aquesta setmana el fabricant ha avisat d'una avaria greu.
Què ha passat aquesta setmana
El 21 d'octubre el projecte PHP va publicar correccions per a dos errors greus. Segons el resum que en fa Simon Willison, tots dos permeten que un desconegut executi les seves pròpies ordres al servidor d'una web sense haver d'iniciar sessió, i les correccions arriben a tota la línia PHP 8. Qui va trobar el primer, una empresa de seguretat anomenada Wiz, explica que ho va fer amb models d'IA. A l'agost van comprovar que funcionava contra WordPress i Drupal, dos dels sistemes de webs més usats. El mitjà Xataka situa PHP darrere d'aproximadament el 70 % de les webs.
Després va venir la part desordenada. Els identificadors dels errors es van filtrar el 20 d'octubre, un dia abans de l'anunci previst, i va començar a circular codi de demostració. Així que el marge habitual entre "hi ha correcció" i "algú ja fa servir l'error" és curt aquesta vegada, i ningú no sap dir quant.
Per què la IA escurça aquest marge
Trobar un forat en un programari vell i enorme abans exigia setmanes de feina d'una persona experta. Un model pot llegir el mateix codi sense cansar-se, provar milers d'idees i comprovar les seves pròpies sospites. Xataka ho resumeix bé: més que d'un error nou, es tracta d'errors vells que feia anys que eren amagats i que ara costa poc de trobar.
El que t'importa és això. Qui defensa té les mateixes eines, i les correccions han arribat. Però una correcció no serveix de res fins que algú la instal·la. En un negoci de quatre persones amb una web que va muntar un cosí el 2019, aquest "algú" moltes vegades és ningú.
Allò que ningú no explica sobre les actualitzacions
Quan WordPress et demana actualitzar, actualitza WordPress. No actualitza PHP. PHP viu una capa més avall, a la màquina de l'empresa d'allotjament, i es canvia des dels ajustos del hosting o ho fa la mateixa empresa.
Per això una web pot dir "tot al dia" i continuar amb un motor vell. I un motor d'una versió que el projecte PHP ja no manté no rep correccions, per molt al dia que tinguis els connectors.
Tres coses a fer aquesta setmana
1. Esbrina qui s'ocupa del motor. La teva empresa de hosting, o el freelance que va fer la web? Si tens factura d'allotjament, aquesta empresa és el punt de partida.
2. Fes-los una pregunta, per escrit. Una cosa així: "Quina versió de PHP fa servir la meva web i s'ha actualitzat amb la versió de seguretat del 21 d'octubre?" Un bon proveïdor respon en un dia. Tens dret a preguntar.
3. Si fas servir WordPress, fes-hi una ullada tu mateix o tu mateixa. Al tauler, ves a Eines, després Salut del lloc, pestanya Informació, i obre la secció Servidor. Allà hi surt la versió de PHP. Fes una captura i envia-la amb la pregunta.
Si la teva web és només un fullet, amb això n'hi ha prou per avui. Si rep reserves o comandes, o guarda dades de clients, pregunta també si algú ha buscat res d'estrany des del 20 d'octubre.
El que no sé, i tampoc no t'hauria d'explicar ningú
No he vist els números exactes de les versions corregides, així que no t'inventaré un número al qual apuntar. Demana al teu proveïdor l'última versió de seguretat. Tampoc no et puc dir quantes webs han estat ateses, i Xataka diu que encara ningú no ho sap. Moltes empreses de hosting apliquen els pedaços de manera centralitzada i ja ho hauran fet sense avisar-te. I cap llista no garanteix que la teva web estigui neta. Si sospites res, això és feina per a un professional, no per a un article.
Si vols l'hàbit de fons, dos textos anteriors hi encaixen: La Teva App d'IA Filtra Dades de Clients? tracta de què preguntar a qui va fer el teu programari, i Pots Evitar que la IA Entreni amb la teva Web? tracta de l'altra conversa que potser has de tenir amb qui t'allotja la web.
Un pas petit
Envia la pregunta a la teva empresa de hosting abans de tancar aquesta pestanya. Són dos minuts, no costa res, i rebràs un "ja està fet" o descobriràs alguna cosa que valia la pena saber. Amb qualsevol de les dues respostes recuperes la teva tarda.