Due vulnerabilità critiche di PHP: aggiornare subito per proteggere siti web ed e-commerce

Data di pubblicazione: 23 ottobre 2026

Due nuove vulnerabilità critiche nel linguaggio PHP hanno acceso l’attenzione degli esperti di sicurezza informatica. Identificate con i codici CVE-2026-109618 e CVE-2026-109619, le falle possono consentire a un attaccante di eseguire codice malevolo da remoto su sistemi vulnerabili, senza dover necessariamente disporre di un account.

Il 21 ottobre 2026 il team di sviluppo PHP ha pubblicato aggiornamenti di sicurezza urgenti per correggere queste problematiche. Si tratta di un intervento importante per tutti i gestori di siti web, e-commerce e applicazioni che utilizzano PHP.

Per chi gestisce un sito WordPress, un negozio WooCommerce o un’altra piattaforma web, verificare l’aggiornamento del PHP non è quindi una semplice operazione di manutenzione: è una misura fondamentale per ridurre il rischio di compromissione del proprio ambiente online.

Quali sono le vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619?

Le due vulnerabilità, talvolta indicate con il nome PHP2Shell, interessano il motore PHP, il componente che esegue il codice alla base di moltissimi siti e applicazioni web.

Le falle riguardano la gestione interna della memoria e dello stato delle richieste. In determinate condizioni, un attaccante può sfruttarle per provocare l’esecuzione di codice arbitrario sul server.

Il livello di gravità è particolarmente elevato: entrambe le vulnerabilità hanno ricevuto una valutazione CVSS 4.0 pari a 9,2 su 10.

Le possibili conseguenze di un attacco riuscito dipendono dalla configurazione del server e dai privilegi del processo PHP, ma possono includere:

• Compromissione del sito web, con inserimento di codice malevolo o modifica dei contenuti.
• Furto di dati, comprese informazioni presenti nell’applicazione e, in determinate condizioni, credenziali o dati degli utenti.
• Reindirizzamenti verso siti fraudolenti e distribuzione di contenuti dannosi.
• Accesso non autorizzato a risorse del server, nei limiti dei privilegi ottenuti dall’attaccante.
• Interruzioni del servizio e attività di ripristino con conseguenti costi operativi.

È importante precisare che la presenza di una versione vulnerabile non significa che un sito sia già stato violato. Significa, però, che è necessario intervenire tempestivamente per ridurre l’esposizione al rischio.

Quali versioni di PHP sono interessate?

Secondo le informazioni pubblicate sul problema, le vulnerabilità interessano numerose versioni di PHP, comprese quelle meno recenti. Le versioni corrette rilasciate per i principali rami supportati sono:

Questi aggiornamenti correggono entrambe le vulnerabilità.

Attenzione: utilizzare una versione principale recente non è sufficiente. È necessario verificare anche il numero completo della versione e accertarsi che la correzione sia stata effettivamente applicata.

Per esempio, PHP 8.3.35 è precedente alla versione corretta PHP 8.3.36. La sola indicazione «PHP 8.3» non permette quindi di stabilire se il sistema sia aggiornato.

Per i rami PHP non più supportati, la disponibilità delle correzioni dipende dal fornitore e dal programma di manutenzione adottato. In questi casi è opportuno valutare un aggiornamento a un ramo supportato, verificando prima la compatibilità dell’applicazione.

Perché sono a rischio anche WordPress e WooCommerce?

WordPress, WooCommerce e molti altri CMS ed e-commerce utilizzano PHP per elaborare le richieste degli utenti, gestire il database e generare le pagine del sito.

Quando una vulnerabilità interessa il motore PHP, il problema non riguarda soltanto il CMS o i suoi plugin: può coinvolgere l’ambiente server sul quale vengono eseguiti.

Aggiornare WordPress e i plugin è importante, ma non sostituisce l’aggiornamento di sicurezza di PHP.

Allo stesso modo, un firewall applicativo, un sistema antimalware o un certificato SSL non correggono una vulnerabilità presente nel motore PHP. Questi strumenti contribuiscono alla protezione complessiva, ma devono essere affiancati da una corretta gestione degli aggiornamenti.

Come proteggere un sito web dalle vulnerabilità PHP

Per ridurre il rischio è consigliabile seguire una procedura di verifica e aggiornamento strutturata.

1. Verificare la versione PHP effettivamente utilizzata

Occorre controllare la versione associata a ciascun sito, non soltanto quella predefinita del server. Su un hosting che gestisce più domini, applicazioni differenti possono utilizzare versioni PHP diverse.

2. Applicare la patch corretta

L’aggiornamento deve essere installato attraverso il sistema di gestione del server o il fornitore hosting, verificando che i processi PHP interessati utilizzino effettivamente la versione corretta.

3. Controllare la compatibilità

Dopo l’aggiornamento è opportuno verificare il funzionamento di CMS, temi, plugin, moduli e applicazioni personalizzate. Soprattutto negli e-commerce, è importante controllare anche checkout, pagamenti, ordini e integrazioni esterne.

4. Verificare log e segnali di compromissione

In presenza di versioni vulnerabili, è prudente controllare i log disponibili e gli eventuali alert di sicurezza. L’aggiornamento elimina la vulnerabilità nota, ma non dimostra che non sia avvenuto un attacco in precedenza.

5. Mantenere backup e protezioni aggiornati

Backup verificati, monitoraggio, firewall e strumenti antimalware contribuiscono a ridurre l’impatto di un eventuale incidente e a facilitare il ripristino.

La sicurezza del server è parte integrante della manutenzione del sito

Le vulnerabilità PHP di ottobre 2026 ricordano quanto sia importante mantenere aggiornato non soltanto il software installato sul sito, ma anche tutta l’infrastruttura che lo esegue.

Un sito può avere WordPress aggiornato, plugin affidabili e password sicure, ma rimanere esposto se il motore PHP presenta una vulnerabilità critica non corretta.

Per questo motivo, la sicurezza deve essere affrontata su più livelli: aggiornamenti tempestivi, configurazione corretta del server, monitoraggio, backup e verifiche periodiche.

Web Studio: attenzione alla sicurezza e all’affidabilità dei siti web

In Web Studio consideriamo la gestione tecnica dell’hosting e la manutenzione dei siti web elementi essenziali per la continuità operativa delle aziende.

Un’infrastruttura gestita correttamente deve consentire di intervenire sulle vulnerabilità, verificare le versioni effettivamente utilizzate e controllare che gli aggiornamenti non compromettano il funzionamento delle applicazioni.

Se gestisci un sito WordPress, un e-commerce WooCommerce o un’applicazione PHP e hai dubbi sulla sicurezza del tuo ambiente, contatta Web Studio per una verifica tecnica e per valutare gli interventi di aggiornamento necessari.

Proteggere un sito significa intervenire prima che una vulnerabilità diventi un problema concreto per l’attività.

Web Studio – Sviluppo web, hosting gestito e sicurezza informatica.