Dues hores d'un web PHP als hashes del domini
El 21 d'octubre del 2026 CISA va demanar una cosa que no s'escriu a la lleugera: qui no pugui pedaçar PHP immediatament, o continuï a 8.1 o anterior, que retiri de la xarxa els seus sistemes basats en PHP. Són CVE-2026-109618 i CVE-2026-109619, totes dues amb 9,2 de CVSS v4.0, i els detalls es van filtrar abans que existís el pedaç. Però el que ens interessa no és la porta: en el cas que documenta Unit 42 contra una entitat governamental europea van passar dues hores entre l'entrada i els hashes de contrasenyes, els secrets d'MFA i un túnel NTLM cap a l'Active Directory. Aquest camí no el va obrir PHP. Amb la taula de branques, les mitigacions que no mitiguen i la comprovació de vint minuts.
Microsoft 365
ES 
CAT 
EN