Il 21 ottobre 2026 il team di PHP, il linguaggio su cui funziona la maggior parte dei siti web (WordPress compreso), ha pubblicato aggiornamenti di sicurezza urgenti per due vulnerabilità critiche in PHP: CVE-2026-109618 e CVE-2026-109619, con punteggio CVSS 9.2. Permettono a un attaccante di eseguire codice sul server senza alcuna autenticazione, con una semplice richiesta web. Se la tua azienda ha un sito, un e-commerce o un gestionale web, conviene verificare oggi stesso.

Versioni di PHP colpite e versioni corrette

Versione in uso	Versione corretta
PHP 8.5 precedente alla 8.5.12	8.5.12
PHP 8.4 precedente alla 8.4.27	8.4.27
PHP 8.3 precedente alla 8.3.36	8.3.36
PHP 8.2 precedente alla 8.2.35	8.2.35
PHP 8.1 e precedenti	Nessun aggiornamento ufficiale: fuori supporto

Il team di PHP non rilascia più aggiornamenti per PHP 8.1 e versioni precedenti. Alcune distribuzioni Linux e fornitori di supporto esteso possono fornire correzioni proprie, ma la strada sicura è passare a una versione supportata. Attenzione anche a PHP 8.2: arriva a fine supporto il 31 dicembre 2026, quindi conviene pianificare già adesso il passaggio a una versione più recente.

Perché sono così pericolose

Le due falle riguardano il modo in cui PHP gestisce la memoria tra una richiesta e l’altra: in certe condizioni dati non validi o rimasti dalla richiesta precedente vengono riutilizzati. Secondo l’avviso ufficiale, con Apache e mod_php è stato dimostrato un attacco in cui la richiesta colpisce prima ancora che venga eseguito il codice del sito: quindi non serve che il sito abbia un plugin vulnerabile. Sono coinvolte tutte le installazioni che servono pagine web: PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed.

Come verificare la versione di PHP del tuo sito

WordPress: in Bacheca vai su Strumenti → Salute del sito → Info → Server, alla voce “Versione di PHP”.
Pannello dell’hosting: in quasi tutti i servizi di hosting (Aruba, Register, SiteGround e altri) la versione di PHP è indicata nelle impostazioni del dominio o del sito.
Server gestito da voi: da terminale il comando php -v mostra la versione, ma verifica anche quella usata da PHP-FPM o da Apache, che può essere diversa.

Cosa fare subito

Se il sito è su hosting condiviso: controlla la versione e, se non è ancora corretta, chiedi all’hosting quando viene aggiornata. Molti provider aggiornano in automatico, ma non tutti e non sempre subito.
Se il server è vostro (VPS, server dedicato o in azienda): aggiorna PHP e riavvia tutti i processi PHP-FPM o Apache.
Se usi PHP 8.1 o precedente: pianifica la migrazione, verificando prima che sito e plugin siano compatibili con la nuova versione.
Fai un backup completo di file e database prima di qualsiasi aggiornamento.
Aggiorna anche WordPress, temi e plugin: le versioni recenti di PHP richiedono spesso componenti aggiornati.

L’avviso ufficiale elenca anche alcune impostazioni per ridurre il rischio quando non si può aggiornare subito, ma precisa che non rendono sicura l’installazione: l’unica soluzione completa è aggiornare PHP.

Articolo aggiornato al 22 ottobre 2026. Fonte: avvisi di sicurezza di php.net del 21 ottobre 2026.