Il 21 ottobre 2026 il progetto PHP ha rilasciato le correzioni per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che possono permettere a un attaccante di eseguire codice su un server senza autenticarsi. Se il tuo sito web gira su PHP, come ogni sito WordPress, va verificato oggi stesso. Ecco cosa è successo, cosa fare e come siamo intervenuti sui siti che gestiamo.
Cosa sono CVE-2026-109618 e CVE-2026-109619?
Sono entrambe falle di PHP stesso, ciascuna con un punteggio di 9,2 sulla scala CVSS v4.0, e il progetto PHP le classifica come critiche. Consentono l’esecuzione di codice da remoto senza autenticazione: chiunque, anche senza un account sul tuo sito, potrebbe far eseguire il proprio codice al tuo server.
- CVE-2026-109618: quando PHP esaurisce la memoria, può interrompersi mentre i dati interni della richiesta sono configurati solo a metà, e la pulizia successiva può trattare come validi quei dati non validi.
- CVE-2026-109619: i dati interni di una richiesta possono sopravvivere alla memoria a cui puntavano, e una richiesta successiva sullo stesso worker può utilizzarli.
Il tuo sito web è a rischio?
Molto probabilmente sì, se è costruito su PHP e non è stato aggiornato da allora. L’avviso di sicurezza riguarda ogni installazione PHP che risponde a richieste web, compresi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, e indica il rischio più alto per mod_php.
Tenere aggiornati WordPress, il tema e i plugin è una buona pratica, e lo consigliamo nella nostra guida alla sicurezza di WordPress, ma non risolve questo problema. La falla si trova nel livello sottostante.
Cosa fare subito
- Verifica la tua versione di PHP. In WordPress: Strumenti, Salute del sito, Info, Server.
- Aggiorna a una release corretta: PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Se hai un hosting gestito, chiedi al fornitore di confermarti che l’aggiornamento è stato fatto.
- Assicurati che la nuova versione sia davvero attiva. I worker PHP devono essere riavviati per caricarla.
- Prima il backup, poi i test. Subito dopo controlla home page, moduli, checkout e area di amministrazione.
- Se usi una versione vecchia, pianifica il passaggio. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto, e PHP 8.2 arriva a fine vita il 31 dicembre 2026.
Se non puoi aggiornare subito, l’avviso di sicurezza indica alcune impostazioni temporanee. Per sua stessa ammissione riducono l’esposizione ma non la eliminano: l’unica scelta sicura resta l’aggiornamento.
Come abbiamo gestito l’aggiornamento
Ci occupiamo dei siti web che realizziamo, sul nostro server, quindi questo intervento spettava a noi. Il progetto PHP ha pubblicato le correzioni il 21 ottobre alle 14:00 UTC. Alle 9:27 UTC della mattina dopo, meno di 20 ore più tardi, il nostro aggiornamento era già in corso. Ecco cosa abbiamo fatto:
- Prima un backup. Abbiamo salvato la configurazione di PHP e l’elenco dei pacchetti installati, per poter tornare indietro in caso di problemi.
- Solo ciò che serviva alla correzione. Abbiamo aggiornato i pacchetti PHP e nient’altro, lasciando invariate le impostazioni di ogni sito.
- Tutte le versioni ancora mantenute. Abbiamo portato 8.2, 8.3, 8.4 e 8.5 alle rispettive release corrette, non solo la versione usata dai nostri siti.
- Un controllo di ogni sito. Subito dopo abbiamo aperto i siti uno per uno, comprese le pagine di contatto e le versioni tradotte, e verificato che ciascuno rispondesse normalmente.
Niente di eroico. È semplicemente lo scopo di manutenzione e assistenza: quando arriva l’avviso c’è già qualcuno che controlla, conosce la configurazione del server e ha pronta una via per tornare indietro. Per saperne di più su cosa comporta questo lavoro, leggi la nostra checklist per la manutenzione del sito web.
Le domande da fare a chi gestisce il tuo sito web
- Quale versione di PHP usa il mio sito e quando è stata aggiornata l’ultima volta?
- Come verreste a sapere di una vulnerabilità critica e in quanto tempo interverreste?
- Esiste un backup recente, e qualcuno ha provato a ripristinarlo?
- Chi controlla il sito dopo un aggiornamento?
Se a queste domande non c’è una risposta rapida, conviene rimediare prima del prossimo avviso di sicurezza.
Domande frequenti
Quali versioni di PHP correggono CVE-2026-109618 e CVE-2026-109619?
PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, secondo l’avviso di sicurezza del progetto PHP. La tua versione deve essere questa release o una successiva, oppure il tuo fornitore deve confermare di aver integrato le correzioni (backport).
Un sito WordPress può essere a rischio?
Sì, se il PHP su cui gira non è stato aggiornato. Le falle sono in PHP stesso: non dipendono dal tema o dai plugin, e aggiornare WordPress non le risolve. L’aggiornamento va fatto sul server.
Un firewall o un’impostazione del server possono proteggermi al posto dell’aggiornamento?
Non del tutto. L’avviso di sicurezza indica impostazioni temporanee che riducono l’esposizione, ma precisa che non rendono sicura un’installazione. L’unica scelta sicura è aggiornare.
E se il mio sito usa PHP 8.1 o una versione precedente?
Il progetto PHP non rilascia più aggiornamenti per quelle versioni. L’avviso di sicurezza segnala che alcuni fornitori integrano comunque le correzioni: chiedi al tuo, oppure passa a una versione ancora mantenuta. Lo stesso PHP 8.2 smetterà di ricevere correzioni di sicurezza il 31 dicembre 2026.
Come verifico quale versione di PHP usa il mio sito?
In WordPress apri Strumenti, poi Salute del sito, poi Info e infine Server. In altri casi la versione compare di solito nel pannello dell’hosting, oppure può indicartela il tuo provider o chi sviluppa il sito.
Non sai se il tuo sito è stato aggiornato? Inviaci l’indirizzo e ti diremo cosa controllare.
