Immagina di aprire il sito della tua attività e scoprire che qualcuno potrebbe averne compromesso la sicurezza. Nessuna password rubata, nessun clic su link sospetti. Il problema potrebbe trovarsi direttamente nel software che permette al tuo sito di funzionare.
Non è la trama di un film sugli hacker. È lo scenario che ha portato il mondo del web a parlare di PHP2Shell, una delle più importanti emergenze di sicurezza informatica dell’ottobre 2026.
Il 21 ottobre sono state rese pubbliche due vulnerabilità critiche di PHP, il linguaggio di programmazione utilizzato da moltissimi siti web, compresi quelli realizzati con WordPress.
La notizia ha rapidamente attirato l’attenzione di aziende, sviluppatori e organizzazioni di cybersecurity in tutto il mondo.
Ma cosa significa davvero? Tutti i siti WordPress sono in pericolo? E soprattutto, cosa deve fare chi possiede un sito web?
Facciamo chiarezza, senza inutili allarmismi.
Cos’è PHP2Shell e perché se ne parla così tanto?
PHP2Shell è il nome con cui sono diventate note due gravi vulnerabilità di sicurezza che interessano PHP, una delle tecnologie più diffuse per la realizzazione di siti web dinamici.
Per capire il problema, pensa al tuo sito come a un negozio.
WordPress è l’arredamento, il bancone e tutto ciò che i clienti vedono. PHP è parte dell’infrastruttura che permette al negozio di funzionare.
Puoi avere un negozio bellissimo, ordinato e con tutte le serrature nuove. Ma se esiste un problema nell’infrastruttura, la sicurezza complessiva potrebbe comunque essere compromessa.
Le vulnerabilità identificate sono:
- CVE-2026-109618: un problema nella gestione della memoria quando PHP incontra determinate condizioni di esaurimento delle risorse.
- CVE-2026-109619: un difetto nella gestione di informazioni interne che possono rimanere accessibili dopo che la memoria associata è stata liberata.
Entrambe hanno ricevuto una valutazione di gravità pari a 9,2 su 10, secondo il sistema CVSS 4.0.
In determinate condizioni, un malintenzionato potrebbe sfruttarle per eseguire codice sul server senza conoscere le credenziali di accesso.
È proprio questa possibilità a rendere il problema particolarmente serio.
Cosa rischia concretamente un sito web?
Una vulnerabilità non significa automaticamente che un sito sia stato hackerato.
Significa però che, se il sistema è esposto e non adeguatamente protetto, potrebbe esistere una strada percorribile da un attaccante.
Le conseguenze di una compromissione possono includere:
1. Furto di informazioni
Un attaccante potrebbe tentare di accedere a dati riservati, configurazioni, credenziali o informazioni gestite dal sito.
Per un e-commerce, il rischio può coinvolgere anche dati dei clienti e informazioni relative agli ordini.
2. Modifica dei contenuti
Immagina che qualcuno sostituisca la homepage della tua azienda con una pagina fraudolenta, modifichi i collegamenti o inserisca contenuti indesiderati.
Oltre al danno tecnico, potrebbe esserci un problema di reputazione.
3. Interruzione del sito
Un sito compromesso può diventare irraggiungibile o funzionare in modo anomalo.
E se il tuo sito serve a ricevere contatti, appuntamenti o vendite, ogni interruzione può avere conseguenze economiche.
4. Utilizzo del server per attività malevole
Nei casi più gravi, un attaccante potrebbe tentare di utilizzare le risorse del server compromesso per eseguire ulteriori operazioni non autorizzate.
La buona notizia? Per le due vulnerabilità principali sono già disponibili aggiornamenti correttivi.
PHP2Shell colpisce anche WordPress?
Sì, i siti WordPress possono essere esposti, ma non significa che ogni sito WordPress sia vulnerabile o compromesso.
WordPress utilizza PHP per eseguire gran parte delle proprie funzionalità.
Questo significa che la sicurezza del sito dipende non soltanto dal CMS, dai temi e dai plugin, ma anche dalla versione PHP installata sul server e dalla configurazione dell’ambiente di hosting.
Ed è qui che nasce un equivoco molto comune.
Aggiornare WordPress all’ultima versione non equivale ad aggiornare PHP.
Sono due componenti differenti.
Puoi avere WordPress perfettamente aggiornato e continuare a utilizzare una versione PHP vulnerabile.
Allo stesso modo, installare un plugin di sicurezza non sostituisce gli aggiornamenti del software server.
La protezione richiede quindi un approccio più completo.
Quali versioni PHP sono vulnerabili?
Il 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti di sicurezza per correggere le due vulnerabilità principali.
Le versioni corrette sono:
| Ramo PHP | Versione con correzione |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Le installazioni che utilizzano versioni precedenti all’interno di questi rami richiedono un aggiornamento o una correzione equivalente fornita dal gestore dell’infrastruttura.
Le versioni PHP 8.1 e precedenti non ricevono più gli aggiornamenti ordinari di sicurezza dal progetto PHP, anche se alcuni fornitori possono distribuire correzioni specifiche.
Attenzione: passare direttamente alla versione numericamente più recente senza verificare la compatibilità di temi, plugin e applicazioni può provocare malfunzionamenti.
Per questo gli aggiornamenti devono essere gestiti con attenzione, preferibilmente dopo aver effettuato un backup e verificato la compatibilità dell’ambiente.
Una terza vulnerabilità da conoscere
Il 23 ottobre è stata inoltre segnalata CVE-2026-115560, una vulnerabilità distinta che riguarda una combinazione poco comune di configurazioni PHP e gestione delle sessioni.
Questa problematica non è risolta dagli aggiornamenti del 21 ottobre e richiede verifiche specifiche e le mitigazioni indicate dal team PHP.
È un ulteriore esempio del motivo per cui la sicurezza non può ridursi a un semplice clic sul pulsante “Aggiorna”.
Come verificare se il tuo sito WordPress è a rischio
Se gestisci autonomamente il tuo sito, ci sono alcuni controlli che puoi effettuare.
Controlla la versione PHP
Nel pannello di WordPress puoi consultare la sezione:
Strumenti → Salute del sito → Informazioni → Server
Qui, nella maggior parte delle installazioni, viene mostrata la versione PHP utilizzata.
Puoi verificarla anche dal pannello di gestione del tuo hosting.
Verifica gli aggiornamenti disponibili
Controlla che la versione PHP utilizzata includa le correzioni di sicurezza necessarie.
Se il tuo hosting utilizza versioni personalizzate o correzioni distribuite direttamente dal fornitore, potrebbe essere necessario chiedere conferma al supporto tecnico.
Contatta il tuo provider hosting
Non tutti gli aggiornamenti sono gestiti direttamente da WordPress.
Alcuni interventi riguardano il server e devono essere eseguiti dal provider che ospita il sito.
Chiedi esplicitamente se le vulnerabilità CVE-2026-109618 e CVE-2026-109619 sono state corrette nell’ambiente che ospita il tuo sito.
Verifica backup e attività sospette
Controlla che esistano copie di sicurezza recenti e ripristinabili.
Inoltre, se sospetti una compromissione, è importante analizzare i log, i file modificati e gli accessi anomali con il supporto di un tecnico.
Ricorda: un sito che si apre normalmente non è necessariamente un sito sicuro.
Perché la sicurezza di un sito non finisce quando viene pubblicato
C’è un aspetto che spesso viene sottovalutato.
Quando si realizza un sito web, tutta l’attenzione si concentra sul design, sui contenuti, sulla velocità e sull’esperienza utente.
Sono elementi fondamentali.
Ma cosa succede dopo la pubblicazione?
Il sito continua a utilizzare software, componenti e servizi che cambiano nel tempo.
Vengono individuate nuove vulnerabilità, rilasciati aggiornamenti e introdotte nuove tecnologie.
Un sito lasciato senza manutenzione può diventare progressivamente più esposto a problemi tecnici e di sicurezza.
È un po’ come acquistare un’automobile e pensare che, una volta usciti dal concessionario, non servirà mai più un controllo.
Un sito web non è un prodotto statico. È un servizio digitale che richiede attenzione nel tempo.
Ed è proprio qui che entra in gioco una gestione professionale.
Come affrontiamo la sicurezza dei siti web in Sitiamo
In Sitiamo crediamo che chi gestisce un’attività debba potersi concentrare sul proprio lavoro, senza dover diventare anche un esperto di hosting, linguaggi di programmazione e aggiornamenti di sicurezza.
Per questo abbiamo scelto un modello diverso dalla tradizionale realizzazione di siti web.
Con Sitiamo il sito non è semplicemente un progetto da consegnare: è un servizio da seguire nel tempo.
La gestione tecnica, il supporto e l’attenzione alla continuità del servizio sono parte del nostro approccio.
Anche eventi come PHP2Shell dimostrano quanto sia importante poter contare su professionisti che conoscono l’infrastruttura e sanno come affrontare le problematiche tecniche.
La sicurezza informatica non può essere garantita al 100% da nessuno.
Quello che fa la differenza è la capacità di prevenire, individuare e gestire i rischi in modo tempestivo e competente.
Il vantaggio di un sito web in abbonamento
Con un sito tradizionale, spesso il rapporto con chi lo ha realizzato termina dopo la pubblicazione.
Quando emerge un problema, il proprietario deve cercare assistenza, capire chi contattare e affrontare eventuali costi di intervento.
Il modello Sitiamo nasce per offrire un’esperienza diversa.
Un sito web professionale, con un servizio continuativo e un riferimento a cui rivolgersi per le esigenze tecniche previste dal proprio piano.
Meno complessità da gestire, più tempo per far crescere la propria attività.
Perché il vero valore di un sito non è soltanto essere online. È poter contare su qualcuno anche dopo il lancio.
PHP2Shell: le domande più frequenti
PHP2Shell può colpire tutti i siti web?
No. La vulnerabilità riguarda PHP e gli ambienti che utilizzano versioni e configurazioni interessate. Non tutti i siti web utilizzano PHP e non tutte le installazioni presentano lo stesso livello di esposizione.
Un sito WordPress aggiornato è automaticamente protetto?
No. WordPress e PHP sono componenti differenti. Aggiornare WordPress non corregge automaticamente una vulnerabilità presente nel motore PHP del server.
Devo aggiornare PHP immediatamente?
Se utilizzi una versione vulnerabile, è necessario applicare tempestivamente le correzioni. L’intervento deve però considerare la compatibilità del sito e le indicazioni del fornitore hosting.
Un plugin di sicurezza WordPress basta per proteggermi?
No. I plugin di sicurezza possono offrire protezioni aggiuntive, ma non sostituiscono gli aggiornamenti PHP necessari per correggere le vulnerabilità del motore.
Come faccio a sapere se il mio sito è stato hackerato?
Non è sempre possibile capirlo osservando il sito. Possono essere necessari controlli dei log, dei file, degli accessi e delle attività del server. In presenza di sospetti, è consigliabile rivolgersi a un professionista.
PHP2Shell riguarda anche WooCommerce?
Sì, un e-commerce WooCommerce può essere esposto se l’ambiente PHP su cui viene eseguito è vulnerabile. Non si tratta però di una vulnerabilità specifica di WooCommerce.
Posso proteggere il mio sito senza essere un esperto informatico?
Sì. Affidarsi a un fornitore di hosting affidabile e a un servizio professionale di gestione del sito permette di delegare molte delle attività tecniche. È comunque importante conoscere le responsabilità e i servizi inclusi nel proprio contratto.
Conclusione: la sicurezza del tuo sito non dovrebbe essere un pensiero in più
PHP2Shell ci ricorda una cosa importante: anche le tecnologie più diffuse possono presentare vulnerabilità impreviste.
Non significa che internet sia improvvisamente diventato insicuro, né che tutti i siti web siano stati compromessi.
Significa che la manutenzione e la sicurezza devono essere considerate parte integrante della presenza online di qualsiasi attività.
Un sito web dovrebbe aiutarti a trovare clienti, raccontare il tuo brand e far crescere il tuo business.
Non diventare un’altra preoccupazione.
Tu pensa alla tua attività. Al tuo sito pensiamo noi.
Con Sitiamo puoi avere un sito web professionale in abbonamento, con assistenza tecnica e un servizio pensato per accompagnarti anche dopo la pubblicazione.
Scopri i nostri siti web in abbonamento
Articolo aggiornato al 27 ottobre 2026.
Fonti e approfondimenti