Il 21 ottobre il progetto PHP ha rilasciato la correzione per due falle di sicurezza critiche, del tipo che permette a uno sconosciuto di eseguire il proprio codice sul tuo server web senza nemmeno fare il login. La coppia è stata soprannominata PHP2Shell. Hanno fatto notizia banche e compagnie aeree. I siti delle piccole imprese no, e sono proprio quelli che hanno più probabilità di essere ancora senza patch tra un mese.
Se il tuo sito usa WordPress, usa PHP. Ecco cosa è successo, cosa fare oggi e cosa rispondiamo a chi ci chiede perché un sito Surmado non aveva nulla da aggiornare.
Cos’è successo, in parole semplici
PHP è il linguaggio di programmazione in cui è scritto WordPress. Ogni volta che qualcuno visita una pagina WordPress, sul server gira un programma PHP che prende i tuoi contenuti da un database e assembla la pagina al momento. Due bug in quel programma, CVE-2026-109618 e CVE-2026-109619, permettono a un attaccante di inviare una sola richiesta costruita ad arte ed eseguire il proprio codice sul server. Non serve nessuna password. Il progetto PHP assegna a entrambi 9,2 su 10.
Alcune cose da sapere:
- Non è un bug di WordPress. Riguarda qualsiasi sito costruito su PHP: WordPress, Drupal, Joomla, Magento e innumerevoli siti su misura. WordPress.org dice che non serve né è previsto alcun aggiornamento di WordPress. La correzione è in PHP stesso.
- Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP 8.1 e le versioni precedenti non ricevono nessuna correzione dal progetto PHP. Se il tuo sito è su una di queste, la soluzione è un aggiornamento più grosso, non una patch.
- Gli attaccanti ci provavano già prima della notizia. La rete di honeypot di Amazon ha registrato un tentativo di sfruttamento il 17 ottobre, quattro giorni prima della divulgazione pubblica, e ora circola codice di prova pubblico.
- Non esiste una soluzione alternativa sicura. Parole del progetto PHP: aggiornare è l’unica scelta sicura.
Cosa fare oggi
1. Scopri quale versione di PHP usa il tuo sito. Nell’area di amministrazione di WordPress vai su Strumenti, poi Salute del sito, poi la scheda Informazioni, poi Server. Lì trovi la versione di PHP. Di solito la mostra anche il pannello di controllo dell’hosting.
2. Se la versione è 8.2.35, 8.3.36, 8.4.27, 8.5.12 o successiva, hai finito. Un’avvertenza: alcuni host applicano la correzione senza cambiare il numero di versione mostrato a schermo. Se il tuo host ha mandato un’email o pubblicato un avviso dicendo di aver corretto PHP2Shell, fidati dell’avviso più che del numero.
3. Se è inferiore, controlla prima il tuo host. Molti host hanno iniziato ad aggiornare PHP e ad aggiungere regole firewall appena uscita la correzione. Cerca una pagina di stato, un’email o un banner nel tuo account di hosting. Se non trovi nulla, apri un ticket e chiedi direttamente: “PHP è stato corretto per CVE-2026-109618 e CVE-2026-109619 sul mio account?”
4. Se sei su PHP 8.1 o precedente, hai un progetto, non una patch. Il tuo sito deve passare a un ramo supportato, e un passaggio del genere può rompere un tema o un plugin vecchi. Il consiglio di WordPress.org per chi gestisce da sé il proprio server con una versione vecchia è di valutare di mettere il sito offline durante l’aggiornamento. Se lo gestisce qualcun altro per te, questa è la telefonata da fare oggi.
5. Non contare su un plugin di sicurezza per coprire questo caso. Un plugin di WordPress gira dentro PHP, quindi non può correggere una falla di PHP stesso. L’attacco può partire prima ancora che giri qualsiasi codice di WordPress. Un firewall presso il tuo host o davanti al tuo sito può bloccare gli schemi di attacco noti, ed è ciò che molti host hanno fatto per prima cosa.
6. Segnati una nota in calendario per dicembre. PHP 8.2 raggiunge la fine del supporto il 31 dicembre 2026. Dopo quella data non riceve più nemmeno correzioni di sicurezza, e il prossimo PHP2Shell lo colpirà senza nessuna patch in arrivo.
Perché succede di continuo
Niente di tutto questo è una critica a WordPress. È un ottimo software e fa girare una grossa fetta del web delle piccole imprese per buoni motivi. Ma vale la pena capire a cosa hai aderito quando hai comprato un sito WordPress, perché nessuno te lo spiega al momento.
Un sito WordPress è un programma che gira ogni volta che qualcuno lo visita. Da qui nasce la sua flessibilità: un plugin può fare quasi tutto, perché c’è un programma lì, pronto a farlo. È anche il motivo per cui l’elenco delle patch non arriva mai a zero. PHP, il core di WordPress, il tema e ogni plugin sono codice in esecuzione, e ognuno ha bisogno di aggiornamenti per sempre. La manutenzione del sito è soprattutto il lavoro di tenere aggiornato quell’elenco, e i siti che restano indietro sono quelli in cui finiscono link spam iniettati di nascosto.
PHP2Shell è insolito solo per quanto in profondità si trova. Nella maggior parte degli anni il bug spaventoso è in un plugin. Questo è nel linguaggio che sta sotto a tutto.
Cosa significa “statico” e perché i siti Surmado Sites sono fatti così
Surmado Sites segue la strada opposta. Non facciamo girare il tuo sito come un programma. Costruiamo le pagine finite in anticipo, ogni volta che qualcosa sul sito cambia, e serviamo quei file finiti ai visitatori. Quando qualcuno apre la tua homepage, non gira nessun PHP, non viene interrogato nessun database, non viene eseguito nessun codice di plugin. È un file, consegnato da una rete di server vicini al visitatore.
Questo significa “statico”. Non è una scelta di design che si vede. È una decisione su quanto codice in esecuzione c’è tra internet pubblico e la tua attività.
Ecco la versione onesta di cosa ottieni e cosa no:
- Una falla come PHP2Shell non ha nulla da raggiungere. Sul tuo sito non c’è PHP da sfruttare. Il 21 ottobre il numero di cose che i nostri clienti dovevano fare era zero. Non perché abbiamo corretto in fretta. Perché non c’era nulla da correggere.
- L’elenco delle patch esiste ancora. Solo che è nostro, ed è corto. Un sito Surmado riceve input in due punti: il modulo di contatto e, nei siti che ce l’hanno, la finestra della chat. Girano come servizi separati che manteniamo e aggiorniamo noi, lontano dalle tue pagine. Il dominio e il certificato richiedono ancora attenzione, e sono parte dell’abbonamento. Cambiano la quantità di codice esposto al pubblico e di chi è il compito.
- Niente è inattaccabile. Chi ti dice il contrario ti sta vendendo qualcosa. Un sito statico riduce il bersaglio al punto che la maggior parte di ciò che attacca i siti WordPress non ha nulla da attaccare, che è un’affermazione diversa, e quella che ci sentiamo di fare.
Chi dovrebbe restare su WordPress
Le pagine statiche non possono fare tutto, e preferiamo dirlo piuttosto che lasciarti scoprirlo dopo.
- Vendi online. Un negozio deve calcolare i carrelli, incassare i pagamenti e controllare le scorte per ogni cliente. Serve un programma. Surmado Sites non fa negozi online; se vendi tramite una piattaforma e-commerce, mettiamo sul tuo sito il link a quel negozio.
- La tua attività si regge su un plugin. Un sistema di prenotazione, un’area riservata agli iscritti, un portale clienti. Se un visitatore fa il login e il sito calcola qualcosa solo per lui, WordPress o qualcosa di simile è lo strumento giusto, e la manutenzione che ne deriva è il prezzo di quella capacità.
- Sei su un hosting WordPress gestito che ha corretto il problema prima che tu ne sentissi parlare, e sei contento di pagare per questo. È esattamente a questo che serve l’hosting gestito. Se hai ricevuto l’email del 21 ottobre e non avevi niente da fare, la tua configurazione funziona.
Per tutti gli altri, cioè la maggior parte delle piccole imprese, il sito è un insieme di pagine: cosa fai, dove sei, quando sei aperto, come contattarti e un blog. Per quel sito, la flessibilità di WordPress è una capacità che paghi in manutenzione senza mai usarla. E in giorni come il 21 ottobre è il motivo per cui hai dei compiti a casa.
Domande frequenti
Il mio sito non è WordPress. Mi riguarda?
Se è costruito su PHP, sì. Drupal, Joomla, Magento e la maggior parte dei siti su misura fatti da un’agenzia web usano PHP. Se il tuo sito sta su un builder ospitato come Wix, Squarespace o Shopify, i server li gestisce l’azienda e non devi installare nulla. Se non lo sai, chiedilo a chi l’ha costruito.
Surmado può spostare il mio sito WordPress?
Sì. Mandaci l’indirizzo e lo ricostruiamo gratis: stessi contenuti, foto, struttura delle pagine e URL, con reindirizzamenti e metadati riportati e il vecchio codice lasciato indietro. Una persona lo controlla con una lista QA di 42 punti, ricevi un’anteprima e non paghi nulla se non lo approvi. La maggior parte delle ricostruzioni è pronta entro 24 ore.
Perdo il mio blog?
No. I blog sono di serie su un sito Surmado, e con il piano Pro+ scriviamo noi i post settimanali al posto tuo.
Un sito statico danneggia il mio posizionamento nei motori di ricerca?
Di solito il contrario. Le pagine costruite in anticipo si caricano più in fretta di quelle assemblate a ogni visita, e la velocità è un fattore di posizionamento. Tutto ciò che serve ai motori di ricerca e agli assistenti AI per leggere il tuo sito è nei file finiti.
In conclusione
Se hai un sito WordPress, controlla oggi la versione di PHP, verifica che il tuo host abbia applicato la correzione e segna il 31 dicembre in calendario. È tutto il lavoro, e vale un’ora del tuo tempo.
Se preferisci che questa sia l’ultima volta che hai dei compiti a casa per colpa di un bug in un linguaggio di cui non avevi mai sentito parlare, guarda cosa include un sito Surmado e i prezzi attuali. La ricostruzione è gratuita e paghi solo se ti piace.