In questi giorni anche i giornali generalisti, come il Post, stanno spiegando cos’è PHP. Il motivo si chiama PHP2Shell: due vulnerabilità gravi nel cuore del linguaggio, corrette il 21 ottobre 2026. Se hai un sito WordPress, la notizia ti riguarda direttamente.
Cos’è PHP, in breve
PHP è il linguaggio che lavora dietro le quinte di gran parte del web. È nato nel 1994, quando il programmatore danese Rasmus Lerdorf scrisse alcuni piccoli programmi per tenere traccia delle visite al suo curriculum online e li chiamò Personal Home Page Tools.
Quando apri una pagina, il server esegue il codice PHP, recupera i contenuti dal database e manda al browser la pagina già pronta. Tu vedi solo il risultato. WordPress e WooCommerce sono scritti in PHP, e lo stesso vale per una quota enorme dei siti che usiamo ogni giorno.
Cosa è successo
Le due falle (CVE-2026-109618 e CVE-2026-109619) hanno una gravità di 9,2 su 10. In pratica permettono a un attaccante di eseguire codice sul server con una sola richiesta, senza bisogno di fare login. Una volta dentro, può modificare le pagine, leggere il database o installare altro software.
Il punto delicato è che il problema sta nel motore di PHP, non in un plugin. Quindi un sito può essere a rischio anche se WordPress e i plugin sono perfettamente aggiornati. E non è un’ipotesi teorica: Amazon ha registrato un primo tentativo di attacco il 17 ottobre, quattro giorni prima dell’annuncio pubblico.
Il tuo sito è a rischio?
Sono vulnerabili tutte le versioni di PHP precedenti a queste:
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Le versioni 8.1 e più vecchie non ricevono più aggiornamenti ufficiali. Esistono correzioni minime per 7.4, 8.0 e 8.1, ma la soluzione vera è passare a una versione supportata.
Per sapere quale versione usa il tuo sito, in WordPress vai su Strumenti, poi Salute del sito, scheda Info, sezione Server.
Cosa fare adesso
- Controlla la versione di PHP del sito.
- Aggiornala dal pannello dell’hosting, oppure chiedi al provider se l’ha già fatto. Molti hosting gestiti aggiornano da soli, ma è meglio verificarlo che darlo per scontato.
- Se gestisci un server tuo, dopo l’aggiornamento riavvia PHP e il web server: finché il vecchio processo resta attivo, la correzione non ha effetto.
- Se non puoi aggiornare subito, le autorità per la sicurezza informatica, tra cui il CERT dell’Unione europea, consigliano di mettere offline i servizi esposti finché la correzione non è applicata. Chi usa Cloudflare ha a disposizione regole del firewall che bloccano gli attacchi noti, anche nel piano gratuito. Aiutano, ma non sostituiscono l’aggiornamento.
La lezione, al di là di questa falla
Molti siti girano su versioni vecchie di PHP per un motivo semplice: funzionano, e nessuno vuole toccarli per paura che qualcosa si rompa. Il conto arriva in giorni come questi, quando bisogna aggiornare in fretta un sito fermo da anni e scoprire all’ultimo momento che un plugin o il tema non sono compatibili.
Tenere PHP, WordPress e plugin aggiornati con regolarità costa molto meno che inseguire le emergenze.
Vuoi una mano?
Se non sai che versione di PHP usa il tuo sito, o se devi aggiornarla senza rompere niente, scrivimi. Mi occupo anche di manutenzione e sicurezza dei siti WordPress.
Fonti: l’avviso di sicurezza del CERT-EU, l’articolo di Help Net Security e la spiegazione del Post.
