La notizia
Il progetto PHP ha rilasciato il 21 ottobre 2026 le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619. Secondo PHP, ciascuna delle due può permettere a un attaccante di eseguire codice proprio su un server web senza effettuare l'accesso. Entrambe hanno un punteggio di 9,2 su 10, e il progetto aveva annunciato con un giorno di anticipo l'arrivo di un aggiornamento critico.
PHP è il linguaggio di programmazione su cui funzionano WordPress, WooCommerce, Laravel e molti altri sistemi per siti web. Il team di sicurezza di PHP afferma che ogni installazione di PHP che serve pagine web è a rischio. Il rischio è più alto sui server che eseguono PHP dentro Apache come mod_php, dove il team ha dimostrato che basta una sola richiesta per avviare l'attacco prima che parta il codice del sito. PHP precisa che solo l'aggiornamento risolve del tutto il problema, mentre le modifiche alla configurazione riducono soltanto il rischio.
PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti ufficiali. Alcuni fornitori Linux offrono pacchetti corretti, e il team di PHP ha pubblicato correzioni di base per le versioni 7.4, 8.0 e 8.1 per chi compila PHP da sé. CERT-EU, il servizio di cybersicurezza delle istituzioni dell'UE, ha segnalato il 23 ottobre che circola già un primo codice di attacco, il che aumenta la probabilità che le falle siano già sfruttate.
Aggiornamento, 27 ottobre: le falle sono ora usate in attacchi reali. Un ricercatore di sicurezza ha registrato un attacco riuscito contro un server trappola con PHP 8.4.26 dentro Apache come mod_php, e il 26 ottobre CISA, l'agenzia di cybersicurezza degli Stati Uniti, ha aggiunto entrambe le falle al suo elenco di vulnerabilità sfruttate.
Il 23 ottobre PHP ha descritto anche un terzo problema, meno probabile, che riguarda solo configurazioni insolite e sarà corretto nel prossimo rilascio ordinario. PHP 8.2 smette di ricevere correzioni di sicurezza dopo il 31 dicembre 2026.
Cosa significa per te
- Se il tuo sito o il tuo negozio online funziona con WordPress, WooCommerce, Laravel o un altro sistema in PHP, il server ha bisogno della nuova versione di PHP. Aggiornare i plugin o il tema non basta.
- Con un hosting condiviso o gestito, di solito è il fornitore ad aggiornare PHP. Su un server tuo o su un server virtuale in affitto, deve farlo qualcuno dalla tua parte.
- I siti ancora su PHP 8.1 o precedenti non hanno una correzione ufficiale, e PHP 8.2 perde le correzioni di sicurezza dopo il 31 dicembre 2026.
Cosa fare ora
- Chiedi al tuo hosting o al tuo sviluppatore quale versione di PHP usa ciascuno dei tuoi siti e se è già passata a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o a un pacchetto corretto del fornitore del server.
- Includi tutti i sistemi in PHP che usi, come un portale clienti, un sistema di prenotazione o uno strumento interno, non solo il sito principale.
- Se qualcosa gira ancora su PHP 8.1 o precedenti, pianifica subito il passaggio a una versione supportata.
- Dopo l'aggiornamento, prova i moduli di contatto, il checkout e gli accessi.
Come può aiutarti Didset
Realizziamo e gestiamo web app e integrazioni, e possiamo aggiornare la versione di PHP del tuo sito e verificare che moduli, pagamenti e accessi funzionino ancora.
Parliamone
