Aggiornare WordPress e i suoi plugin non basta: le due vulnerabilità critiche corrette dal team di sicurezza di PHP riguardano il software che esegue il sito sul server. Le falle possono consentire agli aggressori di eseguire codice senza autenticarsi. Le patch di emergenza sono state rilasciate il October 21, 2026.
Secondo PHP, tutte le installazioni che gestiscono richieste web sono a rischio. L’aggiornamento è l’unica soluzione sicura: nessuna misura alternativa risolve completamente le vulnerabilità.
Le versioni corrette e i server più esposti
Le correzioni sono disponibili in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Il rischio maggiore riguarda i server Apache che utilizzano mod_php, il componente che esegue PHP direttamente all’interno di Apache. Un attacco dimostrato può intervenire prima ancora che inizi l’esecuzione del codice del sito.
Per i siti WordPress, la protezione dipende quindi anche dall’intervento del fornitore di hosting: aggiornare il CMS o i plugin non modifica la versione di PHP installata sul server. Anche quando il pannello cPanel permette di cambiare versione, occorre verificare che quella selezionata contenga le correzioni.
La versione in uso è consultabile nelle informazioni sul server della sezione dedicata alla salute del sito in WordPress.
sbb-itb-bc3fb49
Versioni obsolete: correzioni limitate, non un ritorno al supporto
PHP 8.1 e le versioni precedenti hanno raggiunto la fine del ciclo di vita e non ricevono più aggiornamenti ufficiali regolari.
Per questa emergenza, PHP ha messo a disposizione correzioni limitate del codice sorgente per PHP 7.4, 8.0 e 8.1, destinate ai gruppi tecnici che compilano autonomamente il software. Anche i fornitori di hosting e quelli di supporto a lungo termine possono distribuire aggiornamenti propri.
Questi interventi non ripristinano però il supporto continuativo. Per i siti che utilizzano versioni obsolete resta necessario pianificare il passaggio a una versione supportata, effettuando prima un backup.
Siti istituzionali offline per precauzione
Prima della pubblicazione delle patch, alcune organizzazioni hanno sospeso i propri servizi web.
International Cyber Digest ha riferito che sono stati messi offline siti del parlamento e dell’agenzia per la cybersicurezza dei Paesi Bassi, servizi web del governo finlandese e siti universitari. Per le sospensioni finlandesi, la segnalazione parlava di una misura precauzionale, non di una violazione.
Anche Sansec ha riportato che la Dutch House of Representatives e il National Cyber Security Centre avevano disattivato i rispettivi siti per precauzione.
In vista del rilascio, CERT-EU e il National Cyber Security Centre del Regno Unito avevano consigliato di valutare l’isolamento temporaneo o la sospensione dei servizi quando non fosse possibile garantire una protezione immediata.
Firewall e manutenzione non sostituiscono le patch
Un firewall per applicazioni web, o WAF, può bloccare alcuni tentativi di attacco, ma non sostituisce l’installazione delle correzioni. Inoltre, gli aggressori che riescono a raggiungere direttamente il server possono aggirare i controlli del firewall.
Quando non è possibile applicare subito le patch, la sospensione temporanea del sito è una delle misure da valutare con il fornitore di hosting. Durante la manutenzione, Google raccomanda una pagina con risposta HTTP 503, che segnala un’indisponibilità temporanea. Il server web o una rete di distribuzione dei contenuti, detta CDN, possono mostrare questa pagina senza utilizzare PHP.
Anche dopo l’aggiornamento restano necessari controlli su eventuali web shell, cioè script malevoli che consentono l’accesso agli aggressori, account amministrativi sconosciuti e modifiche inattese ai file PHP. Le patch correggono le vulnerabilità, ma non eliminano un’eventuale compromissione già avvenuta.
Read the source
