Due falle critiche di PHP, corrette il 21 ottobre, riguardano WordPress e tutti i siti in PHP. Cosa chiedere a chi gestisce il sito e perché aggiornare i plugin non basta.
Il 21 ottobre 2026 PHP ha corretto due falle critiche, chiamate PHP2Shell, che in certe configurazioni permettono a un estraneo di far eseguire comandi al server di un sito, senza password. Se il tuo sito è fatto con WordPress, Joomla, PrestaShop o un altro programma in PHP, chiedi oggi a chi lo gestisce se il server è già aggiornato.
Cosa è successo
PHP è il linguaggio con cui funziona la maggior parte dei siti: secondo W3Techs lo usa il 69% dei siti di cui si conosce il linguaggio usato sul server, compresi tutti quelli fatti con WordPress. Il 20 ottobre il progetto PHP ha avvisato di un aggiornamento di sicurezza critico in arrivo e il 21 ottobre, alle 16 ora italiana, ha pubblicato le versioni corrette.
Le falle sono due, CVE-2026-109618 e CVE-2026-109619, entrambe con gravità 9,2 su 10. Sono errori nella gestione della memoria dentro PHP stesso: con richieste costruite apposta, in certe configurazioni, un estraneo può far eseguire codice al server. Il rischio più alto è per i server con Apache e mod_php, dove l'attacco può partire prima ancora del sito vero e proprio, ma sono coinvolti anche PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.
Le hanno trovate ricercatori di sicurezza, tra cui Wiz, Calif e OpenAI, che le hanno segnalate a PHP ad agosto. I dettagli però sono trapelati prima della data prevista e PHP ha anticipato il rilascio di un giorno. I primi tentativi di attacco sono stati visti da Amazon già il 17 ottobre e, dopo la pubblicazione, da Cloudflare e watchTowr. Al 22 ottobre non erano stati resi pubblici casi di siti violati, ma chi si occupa di sicurezza si aspetta attacchi su larga scala. In Italia l'Agenzia per la Cybersicurezza Nazionale ha pubblicato l'allerta AL07/261021/CSIRT-ITA, con gravità critica.
Il mio sito è coinvolto?
Ti riguarda se il sito è fatto con:
- WordPress (anche con WooCommerce), Joomla, Drupal, PrestaShop;
- un gestionale o un'area clienti scritta in PHP;
- un sito fatto «su misura» anni fa da un programmatore, su un hosting tradizionale.
La falla non sta nel tuo sito, nel tema o nei plugin: sta nel programma PHP installato sul server. Per questo aggiornare WordPress o i plugin non basta: va aggiornato PHP, e lo fa chi gestisce il server.
Se non sai con cosa è fatto il tuo sito, chiedilo a chi te l'ha fatto. È una domanda normale e la risposta è una riga. Già che ci sei, controlla anche a chi è intestato il dominio: spesso chi non sa come è fatto il sito non sa nemmeno questo.
Quali versioni di PHP sono corrette
| Versione di PHP | Versione corretta | Note |
|---|---|---|
| 8.5 | 8.5.12 | — |
| 8.4 | 8.4.27 | — |
| 8.3 | 8.3.36 | — |
| 8.2 | 8.2.35 | Non riceve più correzioni dopo il 31 dicembre 2026 |
| 8.1 e precedenti | nessuna | Il progetto PHP non le aggiorna più: bisogna passare a una versione supportata |
Molti hosting usano PHP preparato dalla distribuzione Linux (Debian, Ubuntu, Red Hat…), che corregge la falla senza cambiare il numero di versione. In quel caso conta la conferma di chi gestisce il server, non il numero.
Cosa fare adesso, in cinque passi
1. Chiedi a chi gestisce il sito o l'hosting. Puoi mandare questo messaggio, anche su WhatsApp:
«Ciao, ho letto delle falle di PHP del 21 ottobre (PHP2Shell, CVE-2026-109618 e CVE-2026-109619). Il server del mio sito è già aggiornato? Che versione di PHP usa?»
Se sei su un hosting condiviso, di solito l'aggiornamento lo fa l'hosting per tutti i clienti: controlla le email e la pagina di stato del servizio. Se il sito è su un server tuo o in gestione a un'agenzia, l'aggiornamento lo deve fare chi ha l'accesso al server.
2. Se il sito usa PHP 8.1 o una versione più vecchia, è il momento di cambiare. Quelle versioni non ricevono più correzioni dal progetto PHP. Un sito fermo da anni su un hosting mai toccato è il caso più a rischio.
3. Aggiorna comunque WordPress, il tema e i plugin. Non chiude questa falla, ma chiude le altre porte: un plugin vecchio è una delle strade più usate per entrare in un sito.
4. Controlla il backup. Chiedi se c'è una copia recente del sito e dove si trova. Una copia che sta solo sullo stesso server non serve, se il server è compromesso.
5. Tieni d'occhio i segnali strani. Pagine che non hai scritto, il sito che porta ad altri siti, avvisi di Google o del browser, email che partono dal tuo dominio senza che tu le mandi. Se vedi una di queste cose, fallo controllare e, dopo il controllo, cambia le password del pannello del sito e dell'hosting.
Basta un firewall?
In parte. Cloudflare dal 21 ottobre blocca gli attacchi noti a questa falla anche per i siti con il piano gratuito, se il sito passa da Cloudflare. Ma lo stesso Cloudflare dice che il firewall è uno strato in più e non sostituisce l'aggiornamento: chi attacca cambia i tentativi per aggirare le regole, e Cloudflare li ha già visti farlo.
Perché i siti di Sitolocale non corrono questo rischio
I nostri siti sono costruiti con una tecnologia moderna, pensata per essere veloce e sicura fin dall'inizio, invece che da tenere al riparo con aggiornamenti continui. Ecco cosa vuol dire per te:
- Niente PHP, niente plugin. Il sito non dipende da WordPress, da temi o da plugin di altri. Non c'è un PHP da aggiornare, e una falla come PHP2Shell non ha nulla da colpire.
- Disegnato per la tua attività. Ogni sito nasce dal tuo brief: struttura pensata per il tuo mestiere (ristorante, agriturismo, studio, impresa di impianti, negozio), colori, caratteri e stile scelti per te, testi scritti sulla tua attività.
- Veloce sul telefono. Le nostre demo fanno 97–100 su 100 in PageSpeed, lo strumento di Google che misura la velocità. Il sito viaggia sulla rete di Cloudflare, vicino a chi lo apre.
- I testi li cambi tu. Testi, foto, menu e orari si modificano da un pannello semplice, anche dal telefono. Quando pubblichi, il sito si aggiorna da solo in pochi minuti.
- Alla parte tecnica pensiamo noi. Il modulo dei contatti ha il suo filtro anti-spam, gli aggiornamenti li facciamo noi e ogni notte un controllo automatico verifica che il tuo sito e il modulo funzionino.
Nessun sito è invulnerabile e non lo promettiamo: anche i servizi che usiamo, come Cloudflare e Sanity, hanno i loro aggiornamenti e i loro team di sicurezza. Ma il 21 ottobre, mentre chi ha un sito in PHP correva ai ripari, i nostri clienti non hanno dovuto fare niente.
In breve
- PHP2Shell sono due falle critiche di PHP corrette il 21 ottobre 2026.
- Riguardano il server, non il tuo tema o i plugin: aggiorna chi gestisce il server.
- Chiedi oggi se il tuo server è aggiornato e che versione di PHP usa.
- PHP 8.1 o più vecchio: va cambiato, non riceve più correzioni.
- I siti di Sitolocale non usano PHP: questa falla non li riguarda.
Vuoi un sito che non ti fa preoccupare?
Se il tuo sito in WordPress ti preoccupa ogni volta che esce una notizia così, possiamo rifarlo: disegnato per la tua attività, veloce, senza PHP e senza plugin da inseguire. Ci racconti la tua attività o ci mandi il sito di adesso e ti prepariamo una prima bozza: paghi solo se ti piace. I prezzi sono scritti nella pagina Prezzi e per cominciare basta compilare il brief.
Fonti
Vuoi un sito che lavora così per la tua attività?
Raccontaci cosa fai: la prima bozza la vedi prima di pagare.
Richiedi il sito
