Vulnerabilità PHP 2026: quali siti sono a rischio?

Il 21 ottobre 2026, il National Cyber Security Centre (NCSC) britannico ha pubblicato un'allerta relativa a due vulnerabilità critiche che interessano PHP, uno dei linguaggi più utilizzati per sviluppare siti e applicazioni web.

Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto entrambe un punteggio 9.2 su 10 nella scala CVSS v4.0, indicando un livello di gravità critico.

Secondo l'avviso ufficiale dell'NCSC, un hacker potrebbe sfruttare queste debolezze per eseguire codice da remoto sui server vulnerabili, anche senza disporre di credenziali di accesso.

Sono inoltre già stati osservati tentativi di sfruttamento delle vulnerabilità, note anche come PHP2Shell.

Secondo Amazon Threat Intelligence, un primo tentativo risale al 17 ottobre 2026, quattro giorni prima della divulgazione pubblica. Dopo il rilascio delle patch, AWS ha rilevato ulteriori tentativi contro i propri sistemi di monitoraggio.

Queste osservazioni confermano l'attività degli attaccanti, pur senza dimostrare necessariamente che i tentativi abbiano compromesso sistemi reali.

Il team PHP ha già rilasciato gli aggiornamenti di sicurezza necessari.

La raccomandazione per aziende e proprietari di siti web è quindi verificare immediatamente la versione PHP utilizzata e applicare le correzioni disponibili.

Cosa significa esecuzione di codice da remoto?

L'espressione tecnica è Remote Code Execution (RCE).

Indica una vulnerabilità che può consentire a un attaccante di eseguire istruzioni su un sistema attraverso una richiesta inviata dall'esterno.

Nel caso delle due vulnerabilità PHP, il problema riguarda la gestione della memoria e di alcune informazioni interne utilizzate durante l'elaborazione delle richieste.

In determinate condizioni, queste anomalie possono essere sfruttate per compromettere il funzionamento del server.

Le conseguenze potenziali includono accessi non autorizzati, alterazioni del sito, esposizione di informazioni riservate e interruzioni dei servizi.

La presenza di una versione vulnerabile non significa automaticamente che un sito sia stato compromesso. Indica però una condizione di rischio che richiede un intervento tempestivo.

Quali siti web possono essere coinvolti?

PHP è utilizzato da numerose piattaforme web, tra cui WordPress, WooCommerce, Drupal e Joomla, oltre a siti e applicazioni sviluppati con framework o soluzioni personalizzate.

Il problema riguarda il componente PHP eseguito sul server e può interessare diverse configurazioni, comprese PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.

Secondo il team PHP, tutte le installazioni vulnerabili che elaborano richieste web richiedono attenzione.

La configurazione Apache con mod_php è considerata particolarmente esposta, poiché è stato dimostrato un attacco attivabile tramite una richiesta senza autenticazione, prima ancora dell'esecuzione del codice applicativo.

Inoltre, WordPress ha confermato che queste vulnerabilità interessano l'ambiente PHP sottostante e che non è previsto uno specifico aggiornamento del core WordPress per correggerle.

Questo significa che un sito WordPress perfettamente aggiornato può comunque utilizzare una versione PHP vulnerabile.

L'attenzione deve quindi concentrarsi anche su hosting, configurazione del server e aggiornamenti dell'infrastruttura.

Per un ecommerce, l'urgenza è particolarmente rilevante: un problema di sicurezza può compromettere la disponibilità del negozio online, le operazioni commerciali e la continuità delle vendite.

Quali versioni PHP devono essere aggiornate?

Il team ufficiale PHP ha pubblicato le versioni che correggono entrambe le vulnerabilità.

Le installazioni che utilizzano release precedenti all'interno di questi rami devono essere aggiornate.

PHP 8.1 e versioni precedenti non ricevono più aggiornamenti ordinari dal progetto PHP.‍

Alcuni provider e distributori possono comunque offrire patch specifiche anche per queste release attraverso aggiornamenti propri o backport.

Per esempio, Plesk ha confermato la disponibilità di build corrette per alcune versioni PHP 7.4, 8.0 e 8.1 su Linux.

In questi casi, il numero di versione può rimanere invariato: è necessario verificare anche la build installata e l'effettiva applicazione della patch, confrontandosi con il provider.

Per i siti ancora basati su versioni obsolete è comunque opportuno programmare la migrazione a una release PHP pienamente supportata.

Va considerato inoltre che PHP 8.2 raggiungerà la fine del supporto il 31 dicembre 2026.

Come controllare la versione PHP del proprio sito

Il primo controllo consiste nell'identificare quale versione PHP viene effettivamente utilizzata dall'ambiente di produzione.

Per i siti WordPress, questa informazione è generalmente disponibile in:

Strumenti → Salute del sito → Informazioni → Server

La versione può essere verificata anche nel pannello del provider hosting.

Chi utilizza un hosting gestito dovrebbe contattare il fornitore per chiedere conferma dell'aggiornamento applicato.

In presenza di server dedicati, VPS o infrastrutture personalizzate, il controllo deve essere effettuato dal team tecnico responsabile.

Prima di modificare manualmente la versione PHP, è importante valutare la compatibilità di CMS, plugin, temi e applicazioni, predisponendo backup e test appropriati.

L'obiettivo è applicare rapidamente la correzione evitando interruzioni impreviste del servizio.

Cosa fare se non è possibile aggiornare immediatamente?

L'NCSC considera l'aggiornamento a una release corretta la soluzione prioritaria.

Se questo non è immediatamente possibile, il progetto PHP ha pubblicato alcune mitigazioni temporanee per ridurre l'esposizione a specifiche modalità di attacco.

Si tratta di interventi tecnici che devono essere valutati e implementati da personale qualificato, perché non eliminano completamente il rischio.

L'NCSC raccomanda inoltre di considerare la disattivazione temporanea dei sistemi vulnerabili quando aggiornamenti e mitigazioni non possono essere applicati in tempi adeguati.

Per i siti accessibili pubblicamente, la priorità è quindi concordare rapidamente un piano con il provider hosting o con il responsabile dell'infrastruttura.

Un Web Application Firewall può offrire ulteriori protezioni, ma la sua presenza non deve essere considerata una conferma dell'avvenuta correzione della vulnerabilità.

Perché controllare anche eventuali segnali di compromissione?

Aggiornare PHP corregge le vulnerabilità, ma un aggiornamento non elimina automaticamente eventuali modifiche malevole introdotte prima dell'intervento.

Per questo l'NCSC invita le organizzazioni che non riescono ad aggiornare tempestivamente a verificare eventuali accessi sospetti, anomalie nei log e possibili backdoor.

La necessità di questi controlli è rafforzata anche dalle osservazioni di Amazon Threat Intelligence.

Poiché i primi tentativi di sfruttamento risalgono almeno al 17 ottobre 2026, AWS suggerisce di utilizzare questa data come punto di partenza per le verifiche retrospettive, senza limitarsi al giorno della pubblicazione delle vulnerabilità.

Un controllo di sicurezza può includere l'analisi delle richieste anomale, dei file modificati senza autorizzazione e delle attività inattese sul server.

Se emergono indizi di compromissione, è opportuno coinvolgere professionisti di incident response prima di ripristinare il servizio.

Anche i componenti di terze parti meritano attenzione: alcuni prodotti possono includere PHP senza che il proprietario del sito ne sia direttamente consapevole.

Checklist: cosa devono verificare subito le aziende?

Per chi gestisce un sito aziendale o un ecommerce, i controlli prioritari sono:

• Versione PHP: identificare la release e, quando necessario, la build installata, verificando che la patch sia stata effettivamente applicata.
• Hosting: ottenere conferma degli aggiornamenti dal provider o dal team IT, anche per eventuali versioni PHP obsolete.
• Compatibilità: controllare che CMS, plugin, temi e applicazioni funzionino correttamente dopo l'intervento.
• Sistemi esposti: dare priorità ai siti e alle applicazioni accessibili da Internet, prestando particolare attenzione alle configurazioni Apache con mod_php.
• Monitoraggio: verificare log, accessi sospetti e possibili segnali di compromissione, considerando anche le attività precedenti al 21 ottobre.
• Software di terze parti: controllare eventuali componenti che includono PHP e richiedono aggiornamenti separati.

Le due vulnerabilità PHP del 2026 ricordano quanto la sicurezza di un sito dipenda anche dall'infrastruttura su cui viene eseguito.

Per le aziende, intervenire rapidamente significa proteggere dati, servizi e continuità operativa.

Per gli ecommerce, soprattutto in prossimità della Peak Season, significa anche ridurre il rischio che un problema tecnico interrompa vendite e attività commerciali.

La priorità è verificare la situazione del proprio ambiente, coordinarsi con i responsabili tecnici e applicare gli aggiornamenti di sicurezza già disponibili.