Il 21 ottobre 2026 il progetto PHP ha rilasciato aggiornamenti d’emergenza per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che possono permettere a un attaccante di eseguire codice sul server. Se il vostro sito WordPress gira su una versione di PHP non aggiornata, il rischio riguarda anche voi: aggiornare WordPress e i plugin non basta, perché PHP è un componente separato, gestito dal fornitore di hosting.
In sintesi: chiedete oggi al vostro hosting quale versione di PHP usa il sito e se contiene le correzioni del 21 ottobre. Qui sotto trovate cosa è successo, cosa verificare e quali limiti ha ancora il quadro informativo.
Che cosa è successo con PHP il 21 ottobre 2026?
PHP è il linguaggio su cui funziona WordPress, insieme a una larga parte dei siti aziendali e degli e-commerce. Il 20 ottobre il progetto ha annunciato una release di sicurezza, poi anticipata e pubblicata il 21 ottobre alle 14:00 UTC, secondo il resoconto della PHP Foundation.
Le due falle hanno gravità CVSS 9,2 su 10. Il punteggio CVSS è una scala standard che misura quanto è grave una vulnerabilità. Entrambe sono di tipo “esecuzione di codice remoto”: in termini pratici, qualcuno da internet potrebbe far eseguire comandi al server su cui gira il sito. Secondo la PHP Foundation, nella configurazione Apache con mod_php è stata dimostrata un’esecuzione di codice senza autenticazione.
Quali versioni di PHP sono corrette?
Gli aggiornamenti che contengono le correzioni sono questi:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Le versioni precedenti all’interno di ciascun ramo sono interessate. Il progetto PHP non rilascia più aggiornamenti per PHP 8.1 e precedenti: per quelle versioni, secondo l’avviso del CERT-EU (la squadra di risposta agli incidenti informatici delle istituzioni europee), servono una verifica con il fornitore oppure il passaggio a una versione supportata.
Attenzione ai numeri di versione: le distribuzioni Linux possono applicare la correzione senza cambiare il numero visibile. Un “PHP 8.2.20” potrebbe quindi essere già protetto, e va controllato nel registro delle modifiche del pacchetto, non solo nel numero.
Gli attacchi sono già in corso?
Le fonti non sono del tutto allineate, ed è un punto da non appiattire. La PHP Foundation riferisce che al momento del rilascio non risultavano exploit funzionanti, pur in presenza di dimostrazioni circolate online prima del tempo. Secondo The Hacker News, Cloudflare ha osservato attacchi già il 21 ottobre e la società di sicurezza watchTowr ha parlato di tentativi di sfruttamento attivi per entrambe le falle. Il CERT-EU ritiene probabile che gli attaccanti le stiano già usando.
Nessuna delle fonti consultate segnala una compromissione confermata di un sito specifico. Il quadro corretto è quindi: tentativi osservati, patch disponibili, nessuna ragione per aspettare.
Perché aggiornare WordPress non basta?
WordPress, i temi e i plugin sono software che girano sopra PHP. Aggiornarli corregge i loro difetti, non quelli del linguaggio sottostante. PHP arriva dal server, dal pacchetto del sistema operativo o dall’immagine usata dall’hosting.
Chi ha un hosting condiviso dipende dal fornitore. Chi ha un server dedicato o un VPS (un server virtuale) dipende da chi lo amministra: spesso un informatico esterno, a volte nessuno. È proprio questa zona grigia di responsabilità a creare il rischio.
Quanto può costare un sito compromesso a una PMI?
Un esempio ipotetico, a scopo illustrativo. Un’azienda lombarda vende ricambi online con circa 40 ordini al giorno e uno scontrino medio di 80 euro. Se il negozio resta fermo per 4 ore nella giornata lavorativa, mancano circa 20 ordini, cioè 1.600 euro di vendite non realizzate, senza contare ore di tecnici, ripristino e comunicazioni ai clienti.
Il danno più serio, secondo la PHP Foundation e The Hacker News, può essere un altro: i difetti permettono di leggere la memoria del server, dove possono trovarsi password, token e chiavi di accesso ad altri sistemi. In quel caso cambiare le credenziali diventa parte della risposta.
Cosa fare nei prossimi giorni, in ordine di priorità
1. Chiedere all’hosting una conferma scritta
Scrivete al fornitore: quale versione di PHP usa il sito, se contiene le correzioni per CVE-2026-109618 e CVE-2026-109619, e quando sono state applicate. Una risposta scritta serve anche come traccia.
2. Aggiornare e riavviare
Chi gestisce il server deve aggiornare PHP e riavviare Apache, PHP-FPM e i processi persistenti. Dopo l’aggiornamento conviene controllare che il sito funzioni: la patch introduce un limite di memoria più rigido, che può far emergere plugin pesanti.
3. Se non si può aggiornare subito
Il CERT-EU indica misure temporanee, per esempio disattivare il monitoraggio dell’avanzamento degli upload di sessione (session.upload_progress.enabled=0) e ridurre la dimensione massima delle richieste. Sono misure per guadagnare tempo e il CERT-EU precisa che non rendono sicura l’installazione. Vanno applicate da un tecnico.
4. Controllare i segnali di anomalia
Richieste di upload insolite seguite da errori di memoria, errori 500 ripetuti, cookie di sessione di dimensioni anomale e riavvii inspiegabili del servizio sono indicati come segnali da cercare nei registri del server.
Se gestite il sito con un fornitore esterno, può essere il momento di chiarire per iscritto chi si occupa degli aggiornamenti del server. Per approfondire come progettare WordPress in modo manutenibile, trovate le nostre soluzioni WordPress e WooCommerce custom.
Cosa resta ancora incerto?
Il 23 ottobre PHP ha segnalato una terza vulnerabilità, CVE-2026-115560, per cui al momento non esiste una patch d’emergenza. Secondo il CERT-EU riguarda solo configurazioni web insolite, il progetto la considera un rischio poco probabile e la mitigazione indicata è la stessa di una delle due falle principali. La correzione arriverà con una release ordinaria e il quadro potrebbe cambiare: controllate gli aggiornamenti nei prossimi giorni.
Domande frequenti
Il mio sito WordPress è a rischio?
Lo è se gira su una versione di PHP priva delle correzioni del 21 ottobre 2026. Per saperlo serve la versione di PHP in uso sul server, che si chiede all’hosting o si legge nello strumento “Salute del sito” di WordPress.
Basta aggiornare WordPress e i plugin?
No. PHP è un componente separato, fornito dal server. Gli aggiornamenti di WordPress non lo sostituiscono.
Che cosa cambia tra mod_php e PHP-FPM?
Sono due modi di far girare PHP sul server. Secondo la fonte consultata, con mod_php il rischio è maggiore perché l’attacco può partire prima che giri il codice del sito; con PHP-FPM il comportamento è diverso, ma per una delle due falle l’esecuzione di codice è stata dimostrata anche lì.
Sono sufficienti le misure temporanee?
No. Servono solo a ridurre l’esposizione in attesa dell’aggiornamento, e non rendono sicura l’installazione. L’unica correzione completa è aggiornare PHP e riavviare i servizi.
Devo cambiare le password?
Se avete il sospetto di una compromissione, o l’hosting non può escluderla, è prudente cambiare le credenziali e le chiavi di accesso salvate sul server. Il tecnico deciderà l’ampiezza della rotazione in base ai registri.
La sicurezza dei sistemi si incrocia spesso con un tema più ampio: quanti processi aziendali dipendono da sito, gestionale e integrazioni, e chi li presidia. Gargano ADV lavora con aziende di Varese, Como e Milano e, nell’analisi gratuita di 60 minuti, aiuta a mappare questi processi e individuare i tre più adatti all’automazione, con una stima indicativa di tempi e costi.
Se volete un confronto sul vostro caso, potete contattarci.