Vulnerabilità PHP di ottobre 2026: cosa deve fare chi ha un sito WordPress

Ottobre 22, 2026
Fiorella Spagnoli

Indice

In breve

Il 21 ottobre 2026 il progetto PHP ha rilasciato correzioni per due vulnerabilità critiche che possono permettere a un attaccante di eseguire codice sul server senza autenticazione. Il difetto è in PHP, non in WordPress, nei plugin o nei temi: WordPress.org ha precisato che non serve nessun aggiornamento di WordPress. Per metterti al sicuro devi usare una di queste versioni di PHP: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Controlla la versione dalla dashboard (Strumenti › Salute del sito), poi chiedi al tuo hosting se ha applicato la correzione. Se vuoi, la verifica e l’aggiornamento li faccio io: Richiedi un controllo.

Il 21 ottobre 2026 sono state pubblicate le versioni di sicurezza PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due vulnerabilità identificate come CVE-2026-109618 e CVE-2026-109619.

CVE-2026-109618 riguarda la gestione dell’esaurimento della memoria: se PHP si ferma mentre i dati di una richiesta sono inizializzati solo in parte, la fase di pulizia può trattare dati non validi come validi.
CVE-2026-109619 riguarda uno stato interno di una richiesta che sopravvive alla memoria che lo contiene: una richiesta successiva, gestita dallo stesso processo, può usarlo prima che venga azzerato.

In entrambi i casi la conseguenza descritta è l’esecuzione di codice da remoto, senza bisogno di autenticarsi. Il difetto sta in PHP stesso, quindi riguarda qualsiasi sito o applicazione che serve pagine con PHP: WordPress, WooCommerce, gestionali e siti su misura.

Cosa è confermato e cosa no. Più fonti riportano tentativi di sfruttamento: Amazon ha osservato un tentativo il 17 ottobre, quattro giorni prima dell’annuncio, e watchTowr segnala attacchi dal 21 ottobre. Non è invece confermato quanto lo sfruttamento sia diffuso, né da dove arrivi l’exploit. Per questo conviene muoversi subito, senza però cedere al panico.

Se il tuo sito gira su PHP e non è stato aggiornato dopo il 21 ottobre, sì: va controllato. Il rischio non dipende dal tema o dai plugin che usi, ma dalla versione di PHP sul server.

Ci sono però due sfumature importanti:

Un numero di versione “vecchio” non vuol dire per forza “non protetto”. Su molti server Linux PHP viene installato dalla distribuzione, che può correggere la falla senza cambiare il numero visibile. Se la versione che leggi è più bassa di quelle elencate sopra, chiedi all’hosting se ha applicato le correzioni del 21 ottobre.
PHP 8.1 e versioni precedenti non sono più supportate. Per alcune di queste (7.4, 8.0 e 8.1) il progetto ha pubblicato correzioni solo come codice sorgente, per chi compila PHP da sé. Chi è su una versione vecchia dovrebbe passare a PHP 8.2 o successivo, dopo aver fatto un test.

Come controllare la versione di PHP del tuo sito WordPress

Accedi alla dashboard di WordPress.
Vai su Strumenti › Salute del sito.
Apri la scheda Info e la sezione Server: trovi la versione di PHP.

Dal pannello di controllo dell’hosting (cPanel, Plesk o simili) di solito vedi la stessa informazione e puoi anche cambiarla.

Confrontala con le versioni corrette: 8.5.12, 8.4.27, 8.3.36, 8.2.35.

Cosa fare, in base al tipo di hosting

Hosting condiviso (cPanel o simili). L’hosting aggiorna PHP per tutti i clienti del server. Controlla la pagina di stato o le comunicazioni del tuo fornitore e, se ti dà la scelta della versione, selezionane una supportata (8.2 o successiva). Se non hai notizie, scrivi al supporto e chiedi in modo diretto se ha applicato le correzioni del 21 ottobre.

WordPress gestito. Di solito è l’host a occuparsene. Verifica comunque le sue comunicazioni.

VPS o server gestito da te. Nessuno applicherà la correzione al posto tuo: bisogna installare i pacchetti PHP aggiornati e riavviare PHP. Lo stato dei pacchetti varia a seconda della distribuzione e dei repository usati, quindi controlla quale fonte usi.

Sito dietro Cloudflare. Cloudflare ha pubblicato regole del firewall (WAF) per i vettori di attacco noti, disponibili anche sul piano gratuito. È un livello di protezione in più, non una soluzione: alcuni attacchi possono aggirarlo, quindi aggiornare PHP resta necessario.

Se non puoi aggiornare subito

Chiedi all’hosting una data certa per l’aggiornamento e fatti scrivere cosa è stato fatto.
Non modificare le impostazioni del server da solo su hosting condiviso o gestito: chiedi al fornitore.
Su un server che gestisci tu, secondo Codeable (che cita le indicazioni del progetto PHP) puoi disattivare session.upload_progress.enabled e riavviare PHP per chiudere uno dei percorsi di attacco della seconda falla; WordPress non usa quella funzione.
Valuta la sospensione temporanea del sito se è critico e non hai alternative: è una delle indicazioni di WordPress.org e del centro nazionale per la sicurezza informatica britannico per chi non può aggiornare.

Prima e dopo l’aggiornamento di PHP

Aggiornare PHP è un’operazione piccola, ma un salto di versione può rompere temi e plugin vecchi. Per questo:

Prima

Backup completo di file e database, controllando che sia ripristinabile.
Test su una copia (staging) se il sito è un e-commerce, usa plugin su misura o non è aggiornato da tempo.
Elenco dei plugin e del tema con le versioni: quelli abbandonati sono i primi a dare errori su un PHP nuovo.

Dopo

Apri le pagine principali, il modulo di contatto, il carrello e il checkout (se c’è).
Controlla il log degli errori per avvisi o errori nuovi.
Verifica che i backup e le email del sito funzionino ancora.
Cerca segni di compromissione avvenuta prima dell’aggiornamento: utenti amministratori sconosciuti, file modificati di recente nella cartella del sito, reindirizzamenti strani, email del sito che partono senza motivo. Se trovi qualcosa, non basta aggiornare PHP: serve una pulizia completa. Se hai dubbi, scrivimi.

Cosa non serve fare

Non serve aggiornare WordPress, se è già all’ultima versione: WordPress.org ha dichiarato che non è previsto nessun aggiornamento per questa falla.
Non serve cambiare tema o plugin per questa falla.
Non basta installare un plugin di sicurezza. La falla è nel motore PHP: un plugin non può correggerla. Un firewall aiuta, ma non sostituisce l’aggiornamento.

Cosa posso fare io

Sono una sviluppatrice web freelance a Genova e mi occupo di siti WordPress e della loro manutenzione. Posso aiutarti con la parte che riguarda il sito:

Verifica della versione di PHP e di cosa hai installato.
Backup e test su una copia del sito, prima di toccare qualcosa.
Cambio della versione di PHP dal pannello dell’hosting, quando è previsto.
Controllo di temi e plugin incompatibili e loro sostituzione o aggiornamento.
Verifica dopo l’aggiornamento: pagine, moduli, e-commerce, log degli errori.
Primo controllo dei segnali di compromissione, con indicazione di cosa fare se ne trovo.

Quanto costa. Controllo e aggiornamento PHP su un sito WordPress: da 60€ . Fatturo in regime forfettario, senza IVA da aggiungere.

Richiedi un controllo del tuo sito · Scrivimi su WhatsApp: 340 068 7331

Domande frequenti

Il mio sito è stato già attaccato? Non posso saperlo senza controllare. Puoi cercare utenti amministratori sconosciuti, file modificati di recente, reindirizzamenti anomali o email inviate dal sito senza motivo. Se noti qualcosa, scrivimi: l’aggiornamento di PHP da solo non rimuove un’eventuale compromissione già avvenuta.

Serve aggiornare anche WordPress? Non per questa falla. WordPress.org ha chiarito che non è richiesto né previsto un aggiornamento: serve aggiornare PHP.

Cosa succede se uso PHP 8.1 o 7.4? Sono versioni non più supportate dal progetto PHP. Per alcune sono state pubblicate correzioni solo come codice sorgente, per chi compila da sé. La soluzione è passare a PHP 8.2 o successivo, dopo backup e test.

Il mio hosting dice di aver applicato la patch ma la versione non cambia. È normale? Può esserlo: alcune distribuzioni Linux correggono la falla senza cambiare il numero di versione visibile. Chiedi all’hosting di confermarlo per iscritto, indicando la correzione del 21 ottobre 2026.

Basta un firewall o Cloudflare? No. È un livello in più e aiuta, ma non sostituisce l’aggiornamento di PHP.

Quanto tempo ci vuole? Dipende dal sito. Su un sito semplice, la verifica e il cambio di versione richiedono poco; per un e-commerce o un sito con molti plugin serve un test su una copia.