Perdite critiche di PHP: perché i siti web sono a rischio in tutto il mondo

22 ottobre 2026

The Strategic Newb Editorial Team

Aggiornato il: 22 ottobre 2026

Tradotto dall’originale; cifre e fonti sono state mantenute. Leggi l’originale →

Aggiornato il 21 ottobre 2026. Questo articolo descrive la situazione secondo le fonti elencate di seguito a quella data.

Un sito web può scomparire temporaneamente mentre l'amministratore cerca di prevenire un attacco informatico. Ciò sta accadendo ora dopo la scoperta di due buchi di sicurezza critici in PHP. Il software è utilizzato da siti Web e applicazioni online in diversi paesi. Di conseguenza, il problema ha una portata internazionale.

Gli aggiornamenti di sicurezza sono ora disponibili. La domanda più importante per gli amministratori dei siti web è quindi se il loro provider di hosting o il team tecnico hanno effettivamente implementato la soluzione. Progetto PHP

Cosa sta succedendo con PHP?

PHP è un software che consente ai server di eseguire il codice del sito web. I visitatori di solito vedono solo il risultato: una pagina, un modulo o un negozio online. La stessa tecnologia sottostante può nascondersi dietro quelle parti visibili.

Le vulnerabilità sono registrate come CVE-2026-109618 e CVE-2026-109619. Entrambi hanno un punteggio di gravità di 9,2 su 10. Secondo il CERT-EU, in determinate circostanze possono consentire agli aggressori di eseguire codice senza prima effettuare il login. Questa si chiama esecuzione di codice remoto. CERT-EU

Ciò rende importante la sicurezza del server, anche quando il sito stesso è ben mantenuto.

Il problema PHP è globale?

Sì, il rischio tecnico è globale. È legato al software e alle configurazioni utilizzate, non ai confini nazionali. Un'installazione vulnerabile può trovarsi presso una piccola azienda, un'organizzazione internazionale o su una piattaforma di hosting condiviso.

Gli avvertimenti sono anche internazionali. CERT-EU ha pubblicato consigli sulla sicurezza per le organizzazioni. Anche l’Australian Cyber ​​​​Security Centre ha pubblicato un avviso critico su PHP. Ciò sottolinea che non si tratta di un incidente esclusivamente olandese. CERT-EUCentro australiano per la sicurezza informatica

Tuttavia, il rischio globale non significa che lo stesso sconvolgimento si verificherà in ogni paese. Né significa che tutti i siti Web che utilizzano PHP siano stati violati. Le effettive conseguenze dipendono tra l'altro dalla vulnerabilità di un impianto e dalle misure adottate.

Perché le organizzazioni mettono offline i siti web?

Un sito web temporaneamente inaccessibile può essere il risultato di una misura precauzionale. CERT-EU raccomanda l'aggiornamento immediato. Quando ciò non è possibile, le organizzazioni dovrebbero prendere in considerazione l'isolamento temporaneo delle applicazioni accessibili da Internet dalle reti pubbliche. CERT-EU

Un esempio concreto viene dai Paesi Bassi. Il National Cyber ​​Security Center ha riferito di aver messo offline il proprio sito web a scopo precauzionale a causa delle vulnerabilità PHP. Quel rapporto conferma una misura protettiva, non un furto con scasso riuscito. NCSC Paesi Bassi

La differenza potrebbe essere invisibile agli utenti: vedono un messaggio di errore o una pagina di manutenzione. La differenza è essenziale per la valutazione dell'incidente.

Gli aggressori sono già attivi?

Il CERT-EU riferisce che si stanno discutendo pubblicamente i dettagli tecnici e che circolano le prime manifestazioni di abusi. Ciò aumenta la possibilità di un effettivo sfruttamento. Ciò conferma l’urgenza, ma non fornisce un totale globale di siti Web compromessi. CERT-EU

Occorre quindi tenere distinte tre situazioni:

Un messaggio di errore da solo non dimostra il furto di dati.

Quali aggiornamenti PHP risolvono il problema?

Il progetto PHP ha pubblicato queste versioni di sicurezza il 21 ottobre 2026: Progetto PHP

Anche i fornitori di sistemi operativi possono incorporare le soluzioni nei propri pacchetti. Pertanto, lascia che sia il fornitore o l'amministratore a confermare quale pacchetto è sicuro. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti regolari dal progetto PHP; il supporto di altri fornitori può variare. Progetto PHP

Cosa significa questo per i siti Web WordPress?

WordPress utilizza PHP. Il semplice aggiornamento di WordPress, di un tema o di un plugin non sostituisce l'installazione di PHP sul server. Wordfence sottolinea quindi che i proprietari dovrebbero determinare chi è responsabile dell'aggiornamento PHP: il provider di hosting o il proprio team tecnico. Wordfence

Chiedere a tale parte una conferma concreta della soluzione di sicurezza installata. In caso di interruzione chiedere anche quando il servizio potrà essere ripreso in maniera controllata.

Domande frequenti sulle perdite di PHP

L'intera Internet è inattiva?

Le fonti consultate non suffragano tale affermazione. Esiste un ampio rischio tecnico, mentre le conseguenze differiscono a seconda del servizio.

Un sito web offline è stato violato?

Ciò non deriva dall'inaccessibilità. Un amministratore può disabilitare deliberatamente temporaneamente un sito web.

È sufficiente un aggiornamento WordPress?

L'installazione di PHP deve essere aggiornata separatamente da chi gestisce il server. Wordfence

Sono sufficienti le misure protettive temporanee?

Secondo il progetto PHP, solo l'aggiornamento fornisce una soluzione completa a queste vulnerabilità. Le misure temporanee possono ridurre l’esposizione a specifiche vie di attacco. Progetto PHP

Fonti

Progetto PHP - Avviso ufficiale di sicurezza e comunicati al 21 ottobre 2026

CERT-EU — Vulnerabilità critiche in PHP, parere 2026-018

Centro australiano per la sicurezza informatica – avviso PHP critico sul sito web, 21 ottobre 2026

NCSC Paesi Bassi - rapporto sulla messa offline del sito web a scopo precauzionale, consultato il 21 ottobre 2026

Wordfence — PSA: prossima release critica di sicurezza PHP

Altre letture

Incidenti informatici nei supermercati: rischi digitali nel mondo fisico