Vulnerabilità PHP 2026: il tuo sito WordPress è a rischio? Ecco cosa sapere

Un rischio che c'è anche se il sito funziona

Il tuo sito WordPress potrebbe utilizzare una versione di PHP vulnerabile, anche se apparentemente funziona senza problemi. Il 21 ottobre 2026 sono stati rilasciati aggiornamenti di sicurezza urgenti per correggere due gravi vulnerabilità di PHP, il linguaggio di programmazione su cui si basa WordPress. Il problema non riguarda soltanto siti obsoleti o poco curati: anche un sito regolarmente aggiornato potrebbe essere esposto se il server utilizza una versione di PHP non corretta. Vediamo cosa è successo, quali sono i rischi e come verificare se il tuo sito necessita di un intervento.

Cosa è successo a PHP nell'ottobre 2026?

Il team di sviluppo di PHP ha identificato e corretto due vulnerabilità critiche, note anche con il nome di PHP2Shell. Entrambe hanno ricevuto un punteggio di gravità di 9,2 su 10. In determinate condizioni, queste falle possono permettere a un malintenzionato di eseguire codice sul server senza conoscere le credenziali di accesso al sito. Le informazioni sono trapelate prima della pubblicazione ufficiale e, secondo diversi operatori del settore, sono già stati segnalati i primi tentativi di attacco: per questo l'aggiornamento non va rimandato.

CVE-2026-109618

Una vulnerabilità legata alla gestione della memoria.

CVE-2026-109619

Una vulnerabilità relativa alla gestione dello stato interno delle richieste.

Perché riguarda anche WordPress?

WordPress utilizza PHP per gestire numerose funzionalità del sito, dalla visualizzazione delle pagine alla comunicazione con il database. Il problema è che la vulnerabilità non si trova direttamente in WordPress, ma nel linguaggio utilizzato dal server. Non tutti i siti WordPress sono necessariamente esposti: il rischio dipende dalla versione di PHP, dalle patch applicate dal provider e dalla configurazione del server.

Cosa significa in pratica

Aggiornare WordPress non basta

Il problema è nel linguaggio del server, non nel software del sito.

Temi e plugin non lo risolvono

Tenerli aggiornati è importante, ma non corregge queste vulnerabilità.

Un plugin di sicurezza non sostituisce PHP

L'aggiornamento di PHP resta necessario.

Un sito che funziona può essere vulnerabile

Anche se sembra funzionare perfettamente, potrebbe usare una versione esposta.

Quali sono i rischi per il tuo sito?

Se un server vulnerabile viene compromesso, le conseguenze possono essere importanti. Sono scenari possibili, non conseguenze inevitabili: utilizzare una versione vulnerabile non significa che il sito sia già stato compromesso.

Accesso non autorizzato ai dati

Un attaccante potrebbe riuscire ad accedere a informazioni presenti sul server, inclusi dati riservati.

Modifiche al sito web

Una compromissione potrebbe consentire l'alterazione di file e contenuti o l'inserimento di codice dannoso.

Interruzione dei servizi

Il sito potrebbe diventare inutilizzabile, con possibili ripercussioni sulle attività commerciali.

Danni economici e reputazionali

Per un e-commerce o un sito aziendale, un incidente può tradursi in perdita di vendite, costi di ripristino e minore fiducia dei clienti.

Come verificare se il tuo sito WordPress è vulnerabile

Il primo controllo richiede pochi minuti: accedi alla dashboard di WordPress, apri Strumenti, poi Salute del sito, seleziona la scheda Informazioni, espandi la sezione Server e individua la versione di PHP in uso. Conoscere il numero di versione è un primo passo, ma non sempre basta: occorre verificare anche le patch effettivamente installate dal provider. Le versioni PHP 8.1 e precedenti non ricevono più aggiornamenti di sicurezza ordinari dal progetto PHP, anche se alcuni fornitori possono distribuire correzioni specifiche. La 8.2 riceve ancora correzioni di sicurezza, ma solo fino al 31 dicembre 2026: conviene già pianificare il passaggio alla 8.4 o alla 8.5.

Prima versione corretta

PHP 8.2

8.2.35

PHP 8.3

8.3.36

PHP 8.4

8.4.27

PHP 8.5

8.5.12

Come risolvere il problema senza compromettere il sito

La soluzione definitiva consiste nell'applicare una versione di PHP che includa le correzioni di sicurezza. Aggiornare senza verificare prima la compatibilità, però, può causare malfunzionamenti, soprattutto con temi personalizzati, plugin datati o integrazioni su misura. Se il server è vulnerabile, l'aggiornamento va considerato urgente; quando non è possibile intervenire subito, conviene concordare con il provider misure temporanee di contenimento, che riducono l'esposizione ma non sostituiscono l'aggiornamento. Se nei giorni scorsi hai notato errori 500 improvvisi o comportamenti anomali del sito, fai controllare il server e cambia le password che gestisce.

Un intervento controllato

1. Backup completo

Salva file e database prima di toccare qualsiasi cosa.

2. Controllo della versione

Verifica la versione di PHP e gli aggiornamenti di sicurezza disponibili.

3. Compatibilità

Controlla WordPress, temi e plugin rispetto alla nuova versione.

4. Aggiornamento

Eseguilo, preferibilmente dopo averlo provato in un ambiente di staging.

5. Verifica finale

Controlla il corretto funzionamento del sito e delle funzionalità principali.

Non sai se il tuo sito è sicuro? Possiamo aiutarti

Non tutti i proprietari di siti web hanno le competenze per gestire aggiornamenti del server, compatibilità dei plugin e configurazioni di sicurezza, ed è normale: chi gestisce un'attività dovrebbe potersi concentrare sul proprio lavoro, senza dover diventare un esperto di PHP. In inLumine Studio sviluppiamo soluzioni web e possiamo aiutarti a capire lo stato tecnico del tuo sito WordPress: con una consulenza mirata valutiamo la versione di PHP in uso, individuiamo le eventuali criticità e definiamo gli interventi per metterlo in sicurezza. Non aspettare di scoprire un problema quando il sito smette di funzionare: scrivici dalla pagina Contatti. Fonti: PHP Foundation (annuncio del 21 ottobre 2026), changelog ufficiale di PHP, Patchstack.