Allarme sicurezza PHP: due vulnerabilità critiche. Webmaster360 ha già aggiornato tutti i server

Il 21 ottobre 2026 il team di sviluppo di PHP, uno dei linguaggi di programmazione più utilizzati al mondo per realizzare siti e applicazioni web, ha pubblicato un importante avviso di sicurezza relativo alla scoperta di due vulnerabilità critiche che potrebbero consentire a un malintenzionato di eseguire codice direttamente sui server che ospitano i siti web.

Non si tratta di un normale aggiornamento correttivo. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto entrambe un punteggio di gravità pari a 9,2 su 10, un livello che richiede particolare attenzione da parte di chiunque gestisca un'infrastruttura web basata su PHP.

La notizia riguarda potenzialmente milioni di siti, compresi quelli realizzati con CMS molto diffusi come WordPress e Joomla.

Per gli editori che utilizzano Webmaster360, invece, possiamo già dare una buona notizia: abbiamo aggiornato tempestivamente le versioni di PHP presenti sui nostri server, mettendo in sicurezza tutti i sistemi rispetto alle vulnerabilità segnalate. Nessun intervento è stato richiesto agli editori e tutte le operazioni sono state gestite autonomamente dal nostro team tecnico, in modo completamente trasparente.

Cosa è successo a PHP e perché queste vulnerabilità sono così pericolose

PHP è il linguaggio che permette a moltissimi siti web di funzionare. Ogni volta che un visitatore apre una pagina, legge un articolo, effettua una ricerca o utilizza una funzionalità dinamica, dietro le quinte possono essere eseguite operazioni gestite proprio da PHP.

Le due vulnerabilità appena individuate riguardano alcuni meccanismi interni utilizzati dal linguaggio per gestire la memoria e le richieste ricevute dai server.

Il problema è particolarmente delicato perché, in determinate condizioni, un attaccante potrebbe sfruttare queste debolezze senza conoscere alcuna password e senza avere accesso al pannello amministrativo del sito.

In termini tecnici si parla di Remote Code Execution (RCE), ovvero la possibilità di eseguire codice da remoto su un sistema vulnerabile.

Le conseguenze di un eventuale attacco riuscito potrebbero essere molto serie: dalla modifica non autorizzata dei file del sito all'accesso a informazioni riservate, fino all'installazione di codice malevolo o all'interruzione del servizio.

Naturalmente, la presenza di una vulnerabilità non significa automaticamente che un sito sia stato compromesso. Significa però che esiste un rischio concreto da affrontare tempestivamente.

Proprio per questo il team ufficiale di PHP ha rilasciato immediatamente nuove versioni di sicurezza: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, invitando gli amministratori dei server a procedere quanto prima con l'aggiornamento.

WordPress, Joomla e altri CMS: perché aggiornare il sito potrebbe non bastare

Quando si parla di sicurezza di un sito web, molti pensano immediatamente agli aggiornamenti di WordPress, Joomla, dei plugin o dei temi installati.

Si tratta certamente di attività importanti, ma rappresentano soltanto una parte della manutenzione necessaria.

Un sito web, infatti, non è composto esclusivamente dal CMS utilizzato per pubblicare i contenuti. Dietro ogni installazione esiste un'intera infrastruttura tecnologica fatta di server, sistemi operativi, database, servizi web e linguaggi di programmazione.

Anche un sito WordPress perfettamente aggiornato potrebbe risultare vulnerabile se il server sul quale viene ospitato utilizza una versione di PHP non sicura.

Ed è proprio questo il caso dell'allerta pubblicata il 21 ottobre.

La vulnerabilità non nasce da WordPress o Joomla, ma da un componente tecnologico sottostante, utilizzato per eseguire il codice delle applicazioni.

Di conseguenza, aggiornare semplicemente il CMS o installare l'ultima versione di un plugin di sicurezza non è sufficiente per risolvere il problema.

Occorre intervenire direttamente sull'ambiente server, individuare la versione di PHP utilizzata, installare gli aggiornamenti necessari e verificare che le applicazioni continuino a funzionare correttamente.

Operazioni che, soprattutto nei siti personalizzati o con numerose estensioni, possono richiedere competenze tecniche specifiche.

La manutenzione di un sito web è un lavoro continuo, spesso invisibile

Questo episodio ci ricorda una questione che viene frequentemente sottovalutata nel mondo dell'editoria digitale: un sito web non può essere considerato un prodotto che si realizza una volta e poi si lascia funzionare indefinitamente.

Le tecnologie evolvono, vengono individuati nuovi problemi di sicurezza, cambiano le versioni dei software e diventano necessari aggiornamenti sempre più frequenti.

Per un editore che gestisce autonomamente un sito WordPress o Joomla, tutto questo può trasformarsi in una responsabilità complessa.

Bisogna sapere quali componenti sono installati, verificare periodicamente la disponibilità di aggiornamenti, comprendere la gravità degli avvisi di sicurezza e soprattutto essere in grado di intervenire senza compromettere il funzionamento del sito.

Spesso è necessario affidarsi a webmaster esterni, sviluppatori o sistemisti, professionisti che dispongano delle competenze necessarie per comprendere il problema e applicare correttamente le soluzioni.

E non sempre l'aggiornamento è un'operazione banale: una nuova versione di PHP, per esempio, potrebbe creare incompatibilità con plugin, temi o codice personalizzato.

Occorre quindi trovare il giusto equilibrio tra tempestività dell'intervento, sicurezza e continuità del servizio.

Per un sito editoriale, dove ogni minuto di indisponibilità può tradursi in lettori persi e ricavi pubblicitari mancati, questa attività assume un'importanza ancora maggiore.

Webmaster360: abbiamo già aggiornato tutti i sistemi, senza alcun intervento degli editori

È proprio in situazioni come questa che emerge uno dei vantaggi più importanti di una piattaforma editoriale completamente gestita come Webmaster360.

La nostra responsabilità non si limita a mettere a disposizione un CMS per scrivere e pubblicare articoli. Ci occupiamo direttamente anche dell'infrastruttura tecnologica sulla quale vengono ospitati i siti degli editori.

Questo significa che aggiornamenti, manutenzione e interventi di sicurezza non devono essere organizzati individualmente da ogni singola testata.

In seguito all'allerta pubblicata dal team PHP, siamo intervenuti immediatamente sui nostri server, aggiornando le versioni del linguaggio e completando le operazioni necessarie a proteggere le installazioni dalle due vulnerabilità appena scoperte.

Tutti i nostri sistemi sono già aggiornati e sicuri rispetto alle criticità oggetto dell'avviso.

Gli editori non hanno dovuto aprire ticket, contattare un webmaster, acquistare interventi di manutenzione o preoccuparsi di verificare autonomamente la versione di PHP utilizzata dal proprio sito.

Abbiamo gestito direttamente tutte le attività tecniche, senza richiedere modifiche alle installazioni e senza coinvolgere le redazioni.

Per chi utilizza Webmaster360, l'intervento è stato completamente trasparente: il sito continua a funzionare normalmente, ma con un'infrastruttura aggiornata e protetta.

Ed è esattamente così che dovrebbe funzionare un servizio tecnologico gestito: i problemi vengono affrontati e risolti da chi ha le competenze e la responsabilità di mantenere operativa la piattaforma.

La sicurezza non è un intervento straordinario, ma parte del nostro lavoro quotidiano

C'è un aspetto che riteniamo particolarmente importante sottolineare.

Quando un sito web funziona correttamente, è naturale che un editore non si chieda continuamente quale versione di PHP stia utilizzando, se il server abbia ricevuto gli ultimi aggiornamenti o se siano state individuate nuove vulnerabilità nei componenti dell'infrastruttura.

E, in fondo, non dovrebbe essere questo il suo lavoro.

Un editore deve potersi concentrare sui contenuti, sulla qualità dell'informazione, sui lettori e sulla crescita della propria testata, senza essere costretto a trasformarsi in un amministratore di sistema.

Con Webmaster360 abbiamo scelto di costruire un modello nel quale anche queste responsabilità vengono gestite centralmente dal nostro team.

Significa occuparsi di sicurezza, prestazioni, aggiornamenti e manutenzione con continuità, intervenendo quando necessario, spesso prima ancora che gli editori vengano a conoscenza di una determinata criticità.

L'allerta PHP del 21 ottobre 2026 è un esempio concreto di questo approccio.

La notizia ha richiamato l'attenzione di amministratori di sistema e sviluppatori di tutto il mondo, chiamati ad aggiornare rapidamente le proprie infrastrutture.

Per gli editori Webmaster360, invece, il problema è già stato affrontato e risolto.

Tutti i sistemi sono aggiornati, le vulnerabilità segnalate sono state corrette e non è richiesta alcuna azione da parte delle redazioni.

Perché la sicurezza di un sito web non dovrebbe dipendere dalla capacità di un editore di interpretare un bollettino tecnico o dalla disponibilità di un webmaster esterno.

Dovrebbe essere una garanzia del servizio che ha scelto di utilizzare.

Ed è questa una delle responsabilità che ci assumiamo ogni giorno con Webmaster360.