In questi giorni si è parlato molto di due gravi vulnerabilità di sicurezza scoperte in PHP. Desidero spiegarvi con calma che cosa è successo, qual è la situazione dei siti web che gestisco e come posso aiutarvi se il vostro sito non è ancora seguito da me.
✓ Siti seguiti da AMWeb
Al sicuro, nessuna azione richiesta
Il fornitore di hosting ha installato la patch di sicurezza su tutti i server dei siti con abbonamento di manutenzione.
? Gli altri siti
Verifichiamolo insieme
Verifica del sito e supporto nelle procedure con il vostro fornitore di hosting, fino alla conferma che la correzione sia installata.
Che cos’è PHP
PHP è il linguaggio di programmazione su cui funziona gran parte dei siti web, compresi quelli realizzati con WordPress. Lavora sul server che ospita il sito: chi lo visita non lo vede, ma ogni pagina viene preparata proprio tramite PHP prima di essere mostrata nel browser.
Che cosa è successo
Il 20 ottobre è circolata online la notizia di due vulnerabilità critiche in PHP, identificate con i codici CVE-2026-109618 e CVE-2026-109619. La notizia è trapelata prima del previsto e, per questo motivo, il 21 ottobre il team di PHP ha anticipato di un giorno il rilascio degli aggiornamenti di sicurezza.
9.2 / 10
Livello di gravità delle due vulnerabilità
5.4 → 8.5.11
Versioni di PHP coinvolte
21.10
Rilascio della correzione ufficiale
Le vulnerabilità sono così gravi perché, in determinate condizioni, consentono a un malintenzionato di eseguire codice sul server senza disporre di alcuna credenziale. Riguardano inoltre quasi tutte le versioni di PHP in circolazione: l’aggiornamento è quindi urgente per qualsiasi server che utilizzi PHP.
I siti web che gestisco: nessun rischio
Non appena la notizia è diventata pubblica, ho contattato il fornitore di hosting per esaminare insieme la situazione. Il fornitore ha installato correttamente la patch di sicurezza su tutti i server e gli spazi di hosting che ospitano i siti dei miei clienti con abbonamento di manutenzione. Le versioni corrette di PHP (8.5.12, 8.4.27, 8.3.36 e 8.2.35) risolvono entrambe le vulnerabilità.
Se il vostro sito rientra fra questi, da parte vostra non serve fare nulla: non è necessario cambiare le password, né apportare modifiche al sito. Continuo comunque a seguire gli sviluppi e, se dovessero esserci novità che vi riguardano, vi avviserò senza indugio.
Il vostro sito non è ancora seguito da me?
In questo caso la sicurezza del sito dipende dal fornitore di hosting e dalla versione di PHP in uso. Molti fornitori stanno aggiornando i propri server in questi giorni, ma non tutti con la stessa rapidità.
Attenzione a PHP 8.1 e alle versioni precedenti. Sono giunte alla fine del proprio ciclo di vita e non ricevono aggiornamenti ufficiali. Un sito che funziona ancora su una di queste versioni va portato a una versione più recente, verificando prima che temi ed estensioni restino compatibili.
Vi propongo volentieri il mio aiuto, in particolare per:
- una verifica del vostro sito, per capire quale versione di PHP utilizza e se il server ha già ricevuto la correzione;
- il supporto nelle procedure con il fornitore di hosting, dalla richiesta di aggiornamento fino alla conferma che la patch sia stata installata;
- l’eventuale passaggio a una versione di PHP più recente, effettuando prima un controllo di compatibilità, così da garantire che il sito continui a funzionare correttamente.
E il vostro sito? Verifichiamolo insieme.
Scrivetemi l’indirizzo del vostro sito e, se lo conoscete, il fornitore di hosting: effettuerò una prima verifica e vi indicherò se sono necessari ulteriori accessi.
Se preferite, potete anche chiamarmi o scrivermi su WhatsApp.
Domande frequenti
Devo cambiare le password?
Se il vostro sito è seguito da AMWeb, no: la correzione è stata installata sui server e le password non sono coinvolte. Per gli altri siti conviene prima verificare che il server sia stato aggiornato.
Come faccio a sapere quale versione di PHP usa il mio sito?
Di solito l’informazione si trova nel pannello di controllo dell’hosting. In WordPress è indicata anche in Strumenti › Salute del sito › Info › Server. Se non la trovate o non avete accesso al pannello, la verifico volentieri io insieme a voi.
Il mio sito non usa WordPress: sono comunque coinvolto?
Dipende: le vulnerabilità riguardano PHP, non WordPress in sé. Anche Joomla, Drupal, PrestaShop, Magento e molti siti sviluppati su misura funzionano con PHP. Se non ne siete sicuri, una verifica chiarisce la situazione in poco tempo.
Per qualsiasi domanda resto naturalmente a disposizione.
Per chi desidera approfondire: UFCS, oppure (articoli in inglese) Qualys, Help Net Security, Tenable.
