Vulnerabilità PHP critica: cosa cambia per il sito della tua azienda
Il 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti d’emergenza per due vulnerabilità PHP critiche, e se il sito della tua azienda gira su un hosting con una versione non aggiornata, rischia di diventare un bersaglio. Per una PMI di Bassano del Grappa, Vicenza o Treviso che vende online o raccoglie richieste di preventivo, il rischio è concreto: PHP è il linguaggio su cui funzionano WordPress, Drupal e Magento.
Secondo Blog du Modérateur, le due falle (CVE-2026-109618 e CVE-2026-109619) hanno un punteggio di 9,2 su 10 nella scala CVSS v4.0 e riguardano il motore stesso di PHP, quindi il rischio non dipende dal codice del tuo sito. Come riporta The Decoder, sono state individuate con l’aiuto di modelli AI: GPT-5.6 Sol di OpenAI e Gemini 4 Argon di Google, usato dai ricercatori di Wiz.
Le falle PHP colpiscono quasi tutte le versioni dal 2004 a oggi
Secondo Wired, i difetti toccano tutte le installazioni PHP che servono richieste web, fino alla versione 5 del 2004. Solo PHP 8.2 e successive ricevono le patch ufficiali. Come riporta Wired, il progetto PHP ha messo in chiaro che non esistono mitigazioni complete: l’unica scelta sicura è aggiornare.
| Ramo PHP | Versione corretta |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 e precedenti | Non più supportate: migrare a un ramo attivo |
Il dato più scomodo arriva da W3Techs, citato da Blog du Modérateur: il 26,9% dei siti in PHP usa ancora la versione 7 e il 7,7% la versione 5. È plausibile, ed è una nostra lettura, che molti di questi siano siti aziendali “dimenticati”, senza nessuno che li aggiorni.
L’AI ha abbassato il costo di un attacco, e il tempo per reagire
Wiz sostiene che i modelli linguistici adattano automaticamente un exploit a versioni, configurazioni e layout di memoria diversi, e questo “abbassa la barriera” per attacchi su larga scala. Wired riporta che Cloudflare ha segnalato i primi attacchi già prima della pubblicazione dei dettagli. Al contrario, ActuIA precisa che, secondo le fonti consultate al 21 ottobre, non risultavano ancora intrusioni riuscite. La finestra per intervenire c’è, ma si sta chiudendo.
Un esempio concreto: un negozio online di Treviso con WordPress su hosting condiviso non controlla il server, quindi dipende dal fornitore. Un’azienda di Vicenza con un gestionale web interno rischia di avere PHP “nascosto” dentro software che nessuno ricorda di avere. È il tipo di situazione che ikwaba incontra spesso quando prende in carico un sito esistente.
Come mettere in sicurezza il tuo sito in tre mosse
- Controlla la versione PHP oggi: dal pannello dell’hosting o dalla sezione “Salute del sito” di WordPress. Tempo richiesto: 5 minuti.
- Scrivi al tuo hosting: su hosting condiviso o gestito, chiedi conferma (meglio per iscritto) che la patch sia stata applicata, come suggerisce Blog du Modérateur. Se usi cPanel o Plesk, puoi cambiare ramo PHP dal pannello, dopo un backup completo.
- Se non puoi aggiornare subito, valuta di mettere il sito offline: è l’indicazione data da agenzie di sicurezza come riportato da TechCrunch. Meglio una pagina di cortesia per qualche ora che un sito compromesso.
Se non hai un tecnico interno, il team di ikwaba può verificare e aggiornare il tuo sito, e ricordarti perché la manutenzione del sito web costa meno di un’emergenza. Per capire come l’AI cambia sicurezza e operatività, leggi la nostra guida su intelligenza artificiale per le aziende.
Domande Frequenti
Vuoi che ikwaba verifichi la versione PHP del tuo hosting? Contattaci per una consulenza gratuita →
