Què ha passat
El 21 d’octubre de 2026, PHP va publicar correccions per a CVE-2026-109618 i CVE-2026-109619, conegudes conjuntament com a PHP2Shell. Aquestes vulnerabilitats poden permetre que un atacant executi codi en un servidor web afectat sense iniciar sessió. L’avís oficial de PHP detalla les instal·lacions afectades i les actualitzacions. La NSA va recomanar als responsables instal·lar les correccions ràpidament i plantejar-se desconnectar els sistemes afectats si no podien protegir-los. Un tancament preventiu no és, per si sol, una prova d’intrusió. Els responsables han de consultar les indicacions actuals dels proveïdors, inclosos els avisos posteriors, en lloc de fer servir aquest article com a llista de passos per instal·lar correccions.
Què significa per a les teves dades
El risc immediat afecta els serveis amb instal·lacions PHP vulnerables i la informació a la qual aquests serveis poden accedir. No demostra que tot l’emmagatzematge en línia sigui insegur ni que els teus fitxers s’hagin filtrat. Com a visitant, no pots corregir els servidors d’un proveïdor. Pots limitar el que puges, mantenir el teu programari actualitzat i consultar els avisos oficials de seguretat del proveïdor. Si el teu compte està afectat, segueix les instruccions verificades. Evita els enllaços per restablir contrasenyes en missatges inesperats: accedeix directament al servei. Conserva una còpia de seguretat independent dels fitxers que no et pots permetre perdre.
On ajuda el xifratge i quins límits té
Xifrar els fitxers al dispositiu abans de pujar-los, amb les claus fora del servidor, ajuda a protegir-ne el contingut si es roben les còpies desades. No fa inofensiva qualsevol intrusió en un servidor: els atacants encara poden veure metadades, suprimir fitxers o modificar el codi que una aplicació web envia al navegador. Aquest codi podria robar claus durant l’ús de l’aplicació, un risc descrit al model de seguretat de Proton. Un xifratge sòlid també necessita dispositius segurs i programari fiable. Els fitxers que es queden només al teu dispositiu no s’exposen per una intrusió en un servei al qual no els has pujat mai.
Tria què es queda al teu dispositiu
No pots evitar totes les vulnerabilitats del programari, però pots triar on deses els teus fitxers privats. Sealby xifra el contingut de les caixes fortes al teu dispositiu. Mantén una caixa forta només en local si no en vols pujar el contingut; la sincronització xifrada amb iCloud és opcional i s’activa per separat per a cada caixa forta a Configuració. Si actives la sincronització o crees una còpia de seguretat xifrada, poden existir còpies fora del dispositiu. La seva protecció continua depenent de mantenir segures les credencials de desbloqueig i la frase de recuperació. El xifratge no protegeix una caixa forta ja desbloquejada d’algú que controli el dispositiu ni elimina els originals que hagis deixat en altres aplicacions o serveis al núvol.