Primer va ser PHP. Ara toca Fortinet.
La setmana passada va saltar l’alarma amb dues vulnerabilitats crítiques de PHP, conegudes com a PHP2Shell (CVE-2026-109618 i CVE-2026-109619) [1]. Si en vas sentir a parlar, probablement ja has passat pàgina.
Però la setmana va tenir una segona notícia, que ha tingut menys ressò.
Què vam fer amb PHP
La matinada del 21 d’octubre vam aplicar regles de firewall (WAF) que van protegir al moment les webs que gestionem, abans que hi hagués cap pedaç. Sobre les 16:00 d’aquell mateix dia, quan el fabricant va alliberar les actualitzacions, ja teníem els servidors parxejats [1].
Primer tapar, després arreglar. Va ser qüestió d’hores.
La segona notícia: Fortinet
No té res a veure amb PHP, però va en la mateixa direcció. El 21 d’octubre Fortinet va publicar actualitzacions de seguretat per a FortiOS (el sistema dels tallafocs FortiGate), FortiManager i FortiAnalyzer, després de fer-ho ja per a FortiMail i FortiAuthenticator. Inclouen correccions crítiques i d’alta gravetat, i el mateix fabricant demana prioritzar els equips exposats a internet [2].
Aquestes vulnerabilitats no han sortit del no-res. Fortinet fa servir models d’IA de frontera, entre ells el Project Glasswing d’Anthropic [4], per buscar errors al seu propi codi abans que ho facin els atacants [3].
És una bona notícia: els troben i els arreglen ells primer.
Per què no diuen què arreglen
Les actualitzacions no detallen les correccions. Els advisories es publicaran el 10 de novembre. El motiu és que un atacant pot comparar un pedaç amb la versió anterior per descobrir on era la fallada, i amb IA això es fa en hores [2]. Fortinet situa el temps entre que es coneix una vulnerabilitat crítica i que s’explota en 24-48 hores, quan el 2024 eren gairebé cinc dies de mitjana [3].
Com saber si el teu FortiGate està al dia
Les versions que incorporen aquest paquet de correccions són FortiOS 7.2.14, 7.4.13, 7.6.8 i 8.0.2, o superiors [2]. Si el teu equip està per sota, toca actualitzar. Mentrestant, limita l’accés d’administració (HTTPS i SSH) a adreces de confiança i evita que sigui accessible des d’internet.
Mitigar primer, parxejar després
És la recomanació del mateix Fortinet: reduir l’exposició i aplicar pedaços virtuals mentre arriba l’actualització, i no esperar la finestra trimestral de manteniment [3]. És la lògica que vam seguir amb les regles WAF.
Això és la nova normalitat
Surten més vulnerabilitats, més de pressa, i el marge per reaccionar es redueix. La pregunta ja no és si t’afectarà, sinó qui arriba primer: l’atac o la prevenció.
O actualitzes, o t'exposes.
Si tens un FortiGate i no saps en quina versió està, escriu-nos. Ens n’ocupem dins del nostre servei de manteniment informàtic per a PIMEs i de ciberseguretat. Truca’ns al 972 22 67 44 o fes servir el formulari de contacte.
Fonts
- [1] Help Net Security. «PHP2Shell: PHP vulnerabilities patched (CVE-2026-109618, CVE-2026-109619)», 21/10/2026.
https://helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619 - [2] Fortinet. «Fortinet Releases Security Hardening Release for Multiple Products». Carl Windsor, CISO Collective, 21/10/2026.
https://www.fortinet.com/blog/ciso-collective/fortinet-releases-security-hardening-release-for-multiple-products - [3] Fortinet. «Update on Fortinet Use of Frontier AI». Carl Windsor, CISO Collective, 30/06/2026.
https://www.fortinet.com/blog/ciso-collective/update-on-fortinet-use-of-frontier-ai - [4] Anthropic. «Project Glasswing». Pàgina del projecte.
https://www.anthropic.com/project/glasswing
