Leak di PHP: il tuo sito non va pubblicato e dimenticato, va manutenuto

Tempo di lettura: 5 minuti

Che cosa è successo con PHP?

Il 20 ottobre 2026 un post su Hacker News, poi cancellato, ha annunciato l’esistenza di due vulnerabilità critiche in PHP. Nel giro di poche ore il team di sicurezza di PHP ha dovuto anticipare il preavviso e portare il rilascio delle patch dal 22 al 21 ottobre.

Se il tuo sito gira su PHP (WordPress, WooCommerce, Drupal, Joomla, PrestaShop e buona parte dei gestionali custom), questa storia riguarda te. Non perché devi preoccuparti: perché devi sapere chi si sta occupando della tua versione di PHP.

Cosa è successo con il leak di PHP2Shell

Le due falle sono state battezzate PHP2Shell e sono tracciate come CVE-2026-109618 e CVE-2026-109619. Il team di PHP le ha valutate entrambe 9.2 su 10 nella scala CVSS v4.0. Sono vulnerabilità di remote code execution: in pratica, un attaccante può far eseguire codice al tuo server senza nemmeno autenticarsi.

La cronologia è istruttiva:

• Agosto 2026: un gruppo di ricerca individua le falle usando strumenti di ricerca assistiti da AI e le segnala al team di PHP.
• 20 ottobre: il leak anticipa la disclosure coordinata. PHP pubblica subito un avviso preliminare.
• 21 ottobre: arrivano le versioni corrette, mentre in rete circolano già proof of concept e tentativi di sfruttamento.

Il dettaglio che conta per chi gestisce un sito: queste falle stanno nel motore di PHP, non nel tuo codice. Un plugin aggiornato non le chiude. Un composer update nemmeno. L’unica correzione possibile è aggiornare PHP sul server.

Le versioni da installare

Il rischio riguarda le installazioni PHP che servono richieste web, quindi PHP-FPM, Apache con mod_php, php-cgi e gli altri runtime comuni. Se il tuo hosting è gestito, spesso il provider aggiorna per te, ma “spesso” non è una garanzia: va verificato, sito per sito.

Il problema vero: le versioni che nessuno aggiorna più

Il leak fa notizia, ma il dato che dovrebbe farti riflettere è un altro. Secondo un’analisi di fine ottobre, circa 884.000 host esposti su internet dichiaravano una versione PHP 8.1 o precedente, il 59% di quelli che mostrano la versione. Sono rami a fine vita, senza patch ufficiali. Il team di PHP ha concesso backport minimi per 7.4, 8.0 e 8.1, ma è una misura eccezionale e non un ritorno al supporto normale.

E la scadenza successiva è già vicina: il supporto di sicurezza per PHP 8.2 termina il 31 dicembre 2026. Chi ha un sito su quel ramo ha due mesi per pianificare la migrazione, non per decidere se farla.

Un sito lasciato “al suo destino” non resta fermo: invecchia, e invecchia in un ambiente dove gli attaccanti usano strumenti sempre più veloci per trovare falle e sfruttarle.

Cosa rischia un sito compromesso (anche in ottica SEO)

Un’intrusione non è solo un problema informatico. È un problema di fatturato e di visibilità:

• Spam e redirect iniettati: pagine di farmaci, scommesse o contenuti per adulti che compaiono nel tuo dominio e finiscono nell’indice di Google.
• Avvisi di sicurezza: Google può segnalare il sito come compromesso, con crollo del traffico e della fiducia degli utenti.
• Downtime e errori 5xx: se il server cade o viene messo offline in emergenza, i crawler lo notano e la scansione rallenta.
• Dati dei clienti esposti: con le implicazioni legali e reputazionali che un’azienda di medie dimensioni conosce bene.
• Ripristino a posteriori: pulire un sito infettato, rimuovere le pagine spam dall’indice e recuperare le posizioni costa molto più di qualsiasi manutenzione.

Chi investe in SEO costruisce un asset. Lasciarlo su un’infrastruttura non aggiornata è come costruire una vetrina in centro e tenere la porta senza serratura.

Perché in Pistakkio® chiediamo una fee di manutenzione

Quando proponiamo un canone di manutenzione non lo facciamo per aggiungere una voce al preventivo. Lo facciamo perché un sito è un sistema vivo: PHP, CMS, plugin, temi, certificati, database e configurazioni del server cambiano di continuo, e ogni componente può diventare un punto d’ingresso.

Consegnare un sito e sparire non fa parte del nostro modo di lavorare. Non possiamo abbandonare i nostri clienti dopo il go-live, perché i risultati SEO che abbiamo costruito dipendono da un sito sano, veloce, raggiungibile e sicuro. La manutenzione è la parte del lavoro che protegge l’investimento fatto in posizionamento.

In concreto, una manutenzione fatta bene comprende:

1. Controllo della versione di PHP e dell’ambiente di hosting, con pianificazione delle migrazioni prima che un ramo arrivi a fine vita.
2. Aggiornamenti di CMS, plugin e temi testati prima di andare in produzione, per non rompere funzionalità né conversioni.
3. Backup verificati, perché un backup mai ripristinato non è un backup.
4. Monitoraggio di disponibilità, errori server e segnalazioni di sicurezza lato Google.
5. Intervento rapido quando esce un avviso critico, come in questi giorni.

Il vero costo non è la manutenzione. È l’emergenza che arriva quando nessuno la stava facendo.

Che cosa fare adesso

Se gestisci un sito su PHP, parti da qui:

1. Verifica la versione di PHP in uso e confrontala con quelle corrette indicate sopra.
2. Chiedi al tuo hosting se ha già applicato le patch e con quale versione, senza fermarti a una risposta generica.
3. Se sei su PHP 8.1 o precedente, considera la migrazione una priorità e non un progetto da “prima o poi”.
4. Pianifica ora il passaggio da PHP 8.2 prima del 31 dicembre 2026.
5. Controlla i segnali anomali: processi sospetti, file modificati di recente, pagine strane indicizzate, picchi di errori.
6. Affida la manutenzione a qualcuno, con un perimetro chiaro e responsabilità precise.

Parliamone prima che serva

Non sai quale versione di PHP gira sul tuo sito? Non sai chi se ne occupa dopo il rilascio? Allora è il momento giusto per una verifica.

In Pistakkio® controlliamo lo stato tecnico del tuo sito, ti diciamo con chiarezza dove sono i rischi e costruiamo un piano di manutenzione che protegge sia la sicurezza sia il posizionamento.

Contattaci per una verifica tecnica del tuo sito →

Inizia da qui

Metodo Pistakkio®
In Pistakkio® ogni intervento SEO viene trattato come un processo strutturato, non come una soluzione estemporanea.
Lavoriamo con questo processo:
Analisi → Validazione → Esecuzione → Monitoraggio.
Se vuoi lavorare sul tuo progetto con metodo e controllo, possiamo aiutarti.

👉 Prenota una call!