Vulnerabilità PHP: cosa sono le due falle e come proteggere il sito
Le vulnerabilità PHP scoperte nell’ottobre 2026 sono due falle critiche nel linguaggio che fa funzionare gran parte dei siti web, WordPress compreso. Permettono a un attaccante di eseguire codice sul server senza autenticarsi. La correzione definitiva consiste nell’aggiornare la versione di PHP installata sul server.
Noi di Leodari Creative realizziamo e gestiamo siti internet ogni giorno e seguiamo da vicino queste problematiche. In questa guida spieghiamo in modo semplice cosa è successo, cosa si rischia e cosa stiamo già facendo per i siti dei nostri clienti.
Cos’è PHP e perché riguarda quasi tutti i siti?
PHP, acronimo di Hypertext Preprocessor, è un linguaggio di programmazione usato per creare siti web dinamici. Sono siti che mostrano contenuti diversi in base alle richieste degli utenti o ai dati salvati in un database, come un modulo di contatto, un carrello o un’area riservata.
Secondo le stime di settore, PHP è presente in circa il settanta per cento dei siti di cui si conosce la tecnologia lato server. È la base di piattaforme molto diffuse come WordPress, Joomla e Drupal. Per questo una falla nel linguaggio riguarda milioni di siti insieme.
Cosa sono le nuove vulnerabilità PHP?
Le due vulnerabilità di PHP sono catalogate con i codici CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ricevuto un punteggio di nove virgola due su una scala di gravità che arriva a dieci. Si tratta quindi di difetti classificati come critici.
Il problema nasce quando una richiesta al sito si blocca all’improvviso, ad esempio per memoria esaurita. PHP dovrebbe fare pulizia, ma lascia in giro dati non più validi. Una richiesta successiva li riutilizza per errore, e un attaccante può sfruttarlo per leggere informazioni riservate o eseguire comandi.
Quali rischi corre un sito non aggiornato?
L’aspetto più serio delle vulnerabilità PHP è l’esecuzione di codice da remoto senza autenticazione. Un malintenzionato può impartire istruzioni al server attraverso la rete, senza credenziali. Le prove dimostrative hanno colpito WordPress, Drupal e Joomla, ma il codice vulnerabile si trova in PHP stesso.
Un attacco riuscito può causare furto di dati riservati, controllo del server e modifica delle pagine pubblicate. Per questo diverse autorità per la sicurezza informatica hanno invitato a intervenire subito. In alternativa hanno suggerito di disattivare temporaneamente i siti esposti.
Perché l’intelligenza artificiale cambia la sicurezza?
Queste vulnerabilità PHP sono state individuate grazie a modelli di intelligenza artificiale avanzati, capaci di analizzare enormi quantità di codice in tempi brevissimi. I difetti erano presenti da anni. Le verifiche tradizionali difficilmente avrebbero raggiunto la stessa rapidità.
La stessa tecnologia però può finire nelle mani sbagliate. Quando i dettagli tecnici diventano pubblici, i criminali informatici possono studiarli per costruire un exploit, cioè un programma che sfrutta la falla. Per questo i tentativi di attacco tendono ad aumentare nelle settimane successive alla divulgazione.
Come difendersi dalle vulnerabilità PHP?
Il ventuno ottobre 2026 gli sviluppatori di PHP hanno rilasciato gli aggiornamenti di sicurezza che correggono il problema alla radice. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le versioni 8.1 e precedenti non ricevono più aggiornamenti ufficiali e vanno sostituite.
Attenzione a un dettaglio decisivo: aggiornare plugin, tema o contenuti del sito non basta. La correzione riguarda il software PHP installato sul server, quindi spetta a chi gestisce l’hosting. Per i siti che ospitiamo e seguiamo, Leodari Creative si occupa direttamente di questo passaggio.
Domande frequenti
Le vulnerabilità PHP riguardano anche il mio sito WordPress?
Sì, potenzialmente. WordPress funziona grazie a PHP, quindi ogni sito con una versione del linguaggio non aggiornata è esposto. La protezione non dipende dai plugin installati, ma dalla versione di PHP attiva sul server che ospita il sito.
Come capisco se la versione PHP del mio sito è aggiornata?
La versione si verifica dal pannello dell’hosting o dalla sezione Salute del sito di WordPress. Sono sicure le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 o successive. Se non sai dove guardare, chiedi a chi gestisce il tuo sito.
Devo spegnere il sito per proteggermi dalle vulnerabilità di PHP?
Non necessariamente. La disattivazione temporanea è una misura prudenziale pensata per i siti che non si possono aggiornare subito. La soluzione definitiva resta l’aggiornamento di PHP a una versione corretta, eseguito da chi amministra il server.
Conclusione
Le vulnerabilità PHP di ottobre 2026 ricordano che un sito web non si pubblica per poi dimenticarlo. Serve una manutenzione costante anche del server, non solo dei contenuti. La correzione esiste già, e applicarla in fretta fa la differenza.
Il team di Leodari Creative sta già aggiornando PHP sui siti dei clienti che gestiamo, verificando che tutto funzioni dopo l’intervento. Se desideri un sito sicuro, aggiornato e protetto dalle vulnerabilità PHP, contattaci: possiamo aiutarti a proteggerlo e a mantenerlo efficiente.
Leggi anche: AI per piccole imprese: da dove cominciare nel 2026
