Due vulnerabilità critiche in PHP possono consentire a un attaccante senza credenziali di eseguire codice sui server che ospitano siti e applicazioni web. Il progetto PHP ha pubblicato il 21 ottobre 2026 gli aggiornamenti per CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio di gravità CVSS v4.0 pari a 9,2 su 10. La disponibilità delle correzioni, però, non equivale alla loro installazione: occorre verificare che il fornitore di hosting o chi amministra il server le abbia applicate.
Che cos’è PHP e perché il problema riguarda tanti siti
PHP è un linguaggio che permette al server di elaborare le richieste dei visitatori e produrre le pagine che arrivano al browser. È alla base di numerosi servizi online, negozi digitali e sistemi di gestione dei contenuti, tra i quali WordPress. La sua ampia diffusione rende queste falle rilevanti anche per chi non ha mai scritto una riga di codice.
Voldemaras Kadys, Head of Security & Platform Engineering di Mediatech, sottolinea nei commenti forniti alla stampa che un server compromesso potrebbe esporre le informazioni dei clienti, subire modifiche ai contenuti, ospitare malware o diventare indisponibile. Si tratta di possibili conseguenze di un attacco riuscito: la presenza di PHP non dimostra che un sito abbia già subito un’intrusione.
Le due vulnerabilità e le versioni corrette
Secondo l’avviso tecnico del CERT-EU, la prima falla riguarda errori nella gestione della memoria quando una richiesta supera il limite disponibile; la seconda riguarda uno stato interno che può restare accessibile dopo la liberazione della memoria. In determinate condizioni, questi difetti possono aprire la strada all’esecuzione di codice remoto, anche prima dell’avvio del codice dell’applicazione.
Le versioni correttive indicate dal progetto PHP sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ciascuna per il rispettivo ramo. Chi utilizza pacchetti forniti da una distribuzione Linux o da un servizio con supporto esteso deve controllare anche gli avvisi del proprio fornitore: una correzione può essere applicata a un pacchetto senza che questo assuma lo stesso numero della versione ufficiale.
PHP fuori supporto: la precisazione sulle patch
Il materiale fornito alla stampa afferma che sono arrivati aggiornamenti anche per versioni fuori supporto. Il punto richiede una distinzione: PHP 8.1 e i rami precedenti non ricevono più il normale supporto di sicurezza del progetto. Il CERT-EU segnala tuttavia correzioni minime nel codice sorgente per PHP 7.4, 8.0 e 8.1, oltre a possibili patch di distributori e fornitori LTS. Questi interventi eccezionali non ripristinano il supporto ordinario: la migrazione a un ramo supportato resta necessaria.
Cosa deve fare chi usa WordPress
Come chiarisce WordPress.org, il difetto riguarda PHP e non richiede un aggiornamento specifico di WordPress. Aggiornare soltanto il CMS, i temi o i plugin non corregge il linguaggio installato sul server.
La versione in uso è visibile nella bacheca, nel percorso Strumenti > Salute del sito > Informazioni > Server, oppure nel pannello dell’hosting. Chi non gestisce direttamente l’infrastruttura deve chiedere al provider la conferma dell’applicazione delle patch. Dopo l’intervento serve verificare il funzionamento del sito e dei servizi essenziali. Un firewall applicativo può ridurre alcuni rischi, ma non sostituisce l’aggiornamento.
Quali rischi corrono gli utenti
Per chi naviga, visitare un sito basato su PHP non equivale automaticamente a compromettere il dispositivo. Kadys richiama soprattutto il rischio per i dati conservati dal servizio: se un negozio online subisse un’intrusione, informazioni come nome, indirizzo, email o data di nascita potrebbero finire nelle mani degli attaccanti.
Questi dati potrebbero alimentare tentativi di phishing e truffe con messaggi più credibili. Non serve interrompere gli acquisti online, ma occorre controllare con attenzione richieste inattese di accesso, pagamento o verifica dell’account. Un messaggio che contiene dati personali corretti non è, da solo, una prova di autenticità.
Fonti: progetto PHP, CERT-EU, WordPress.org e commenti di Voldemaras Kadys forniti alla stampa. Immagine illustrativa creata con AI.
