Due gravi vulnerabilità sono state scoperte in PHP, uno dei linguaggi più usati al mondo per siti e applicazioni web. Sono rimaste nascoste per oltre dieci anni e riguardano anche versioni molto datate del software.
Siamo già intervenuti: i servizi gestiti dal nostro team sono stati aggiornati e messi in sicurezza entro poche ore dal rilascio delle patch ufficiali. I nostri clienti non devono fare nulla.
Se invece gestisci un sito o un server in autonomia, o ti affidi ad altri fornitori, leggi cosa verificare.
Cosa è successo
Il 21 ottobre 2026 il team di PHP ha pubblicato gli aggiornamenti di sicurezza per due vulnerabilità critiche: CVE-2026-109618 e CVE-2026-109619.
Il problema è nel funzionamento interno di PHP, non in un singolo sito, plugin o applicazione. Per questo anche un sito sviluppato correttamente può essere esposto se il server usa una versione vulnerabile. PHP è alla base di piattaforme come WordPress, Joomla e Drupal, oltre che di innumerevoli e-commerce e portali aziendali.
Data la gravità, le principali autorità di cybersicurezza, tra cui ENISA, raccomandano interventi immediati.
Un rischio nascosto da oltre dieci anni
Le analisi indicano che le falle interessano versioni di PHP risalenti almeno al 2012, a partire dalla famiglia PHP 5.4.
Questo non significa che siano state sfruttate per tutto questo tempo, ma che il difetto era presente anche quando nessuno ne conosceva la pericolosità. Un sistema considerato affidabile per anni può rivelare di colpo problemi molto seri, anche senza modifiche recenti.
Perché sono così pericolose
Entrambe le vulnerabilità hanno ottenuto un punteggio di 9,2 su 10, nella fascia dei rischi critici. In determinate condizioni, un malintenzionato potrebbe eseguire codice malevolo su un server vulnerabile senza password né credenziali.
Le possibili conseguenze:
- Furto di dati riservati, personali e aziendali
- Compromissione del sito, con alterazione di funzioni e contenuti
- Interruzione dei servizi online, con danni economici e operativi
- Accesso non autorizzato al server, per ulteriori attacchi
In alcune configurazioni l’attacco può avvenire prima ancora che il sito inizi a eseguire il proprio codice. Le protezioni interne dell’applicazione potrebbero quindi non bastare: la falla sta nell’infrastruttura sottostante. Visto che sono già disponibili dettagli tecnici e dimostrazioni di sfruttamento, agire in fretta è ancora più importante.
Chi deve intervenire con urgenza
Riguarda chiunque gestisca siti, applicazioni o server PHP che non abbiano ancora ricevuto le correzioni. In particolare:
- Aziende con siti realizzati molti anni fa, mai sottoposti ad aggiornamenti strutturali
- Organizzazioni con server propri o autogestiti, dove gli aggiornamenti non sono automatici
- E-commerce e portali che trattano dati personali
- Aziende con gestionali web o applicazioni su misura sviluppati anni fa e mai adeguati
Attenzione ai siti realizzati prima del 2020
HP 8 è uscito il 26 novembre 2020. Molti siti nati prima di quella data girano su PHP 5 o 7, versioni obsolete che non ricevono più correzioni di sicurezza. In questi casi non basta una piccola patch: possono servire adeguamenti del software, verifiche di compatibilità e interventi di manutenzione più approfonditi.
Un sito vecchio non è automaticamente vulnerabile, e uno recente non è automaticamente sicuro. Conta la manutenzione: un vecchio sito su un server aggiornato può essere ben protetto, mentre un sito nuovo su un server trascurato può essere esposto.
Un sito che funziona non è per forza un sito sicuro.
Usi WordPress o un altro CMS?
Aggiornare WordPress, plugin e tema non aggiorna PHP: sono componenti diversi e vanno gestiti entrambi. Chiedi una verifica al tuo hosting provider.
Cosa fare se il sito è gestito da altri
Chiedi subito conferma al tuo referente tecnico con questa domanda:
«Il nostro server utilizza PHP? In caso affermativo, sono già state applicate le correzioni di sicurezza per le vulnerabilità CVE-2026-109618 e CVE-2026-109619?»
Richiedi una conferma tecnica, soprattutto per siti datati e non più manutenuti.
Priorità a portali con dati riservati, aree private e applicazioni fondamentali per l’operatività. Se il server usa una versione obsoleta di PHP, valuta con il tecnico se aggiornare o migrare. Non rimandare tutto alla manutenzione programmata.
Il nostro reparto tecnico è a disposizione
Non tutte le aziende hanno personale tecnico interno, e non è sempre facile capire se un’infrastruttura sia davvero protetta. Il nostro team può chiarire i tuoi dubbi, verificare eventuali situazioni di rischio e indicare gli interventi necessari.
