Il sito si apre, il logo è al suo posto, il modulo sembra funzionare. Tutto bene? Non necessariamente. Un sito può continuare a mostrarsi impeccabile mentre il software che lo fa funzionare contiene una falla critica. E quando quel sito raccoglie contatti, prenotazioni o ordini, il problema smette in fretta di essere una questione da tecnici: riguarda il tuo lavoro, i tuoi clienti e la fiducia che ti hanno affidato.
L’allarme è reale. Le correzioni sono già disponibili.
Il 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti urgenti per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, valutate 9,2 su 10 secondo CVSS v4.0. Possono consentire a un attaccante di eseguire codice da remoto senza autenticarsi. In termini concreti: su un sistema vulnerabile, qualcuno potrebbe riuscire a far eseguire al server istruzioni che non hai autorizzato. Fonte: avviso di sicurezza PHP del 21 ottobre 2026.
Le versioni correttive indicate nell’avviso sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Per i pacchetti distribuiti da hosting e fornitori occorre verificare anche eventuali correzioni riportate sulle loro versioni. PHP segnala un rischio particolarmente elevato per Apache con mod_php, con un attacco dimostrato che può scattare prima dell’esecuzione del codice dell’applicazione. Le mitigazioni temporanee descritte nell’avviso non sostituiscono l’aggiornamento.
Anche ENISA e le altre autorità europee firmatarie dell’allerta del 21 ottobre chiedono interventi immediati: individuare le applicazioni PHP, coordinarsi con hosting e fornitori e applicare le correzioni, dando priorità ai sistemi esposti su Internet. Se non è possibile correggerli subito, invitano a valutare l’isolamento delle applicazioni esposte fino alla messa in sicurezza. Non è una manutenzione da rimandare al prossimo restyling.
«Ma io uso WordPress». È proprio questo il punto.
WordPress utilizza PHP sul server. Per questo una criticità nel linguaggio può riguardare anche l’infrastruttura su cui gira il tuo sito, indipendentemente dall’aspetto delle pagine. La documentazione ufficiale di WordPress include PHP tra i requisiti dell’hosting. Aggiornare WordPress, temi e plugin resta necessario, ma non equivale ad aggiornare il PHP che li esegue: quel livello va verificato con chi gestisce il server.
Questo non significa che ogni sito WordPress sia già stato violato. L’esposizione concreta dipende dall’ambiente e dalle correzioni effettivamente applicate. Significa però che «il sito si vede» e «non ho ricevuto segnalazioni» non sono prove di sicurezza. Se nessuno sa dirti quale ambiente stai usando, se è stato corretto e chi lo ha verificato, manca un’informazione essenziale per la tua attività.
Il risparmio finisce quando si ferma il lavoro
Un sito compromesso può comportare contenuti alterati, accessi abusivi ai dati, richieste che non arrivano o servizi da sospendere. Sono possibili conseguenze di una compromissione, non esiti inevitabili di queste due falle. Ma basta immaginare un modulo di preventivo inutilizzabile durante una campagna, o un sistema di prenotazione fermo nel momento di maggiore richiesta, per capire quanto poco racconti il solo costo iniziale del sito.
Al conto si aggiungono le ore per ricostruire l’accaduto, recuperare l’operatività, verificare i dati e rispondere ai clienti. Il prezzo più basso alla consegna può diventare una scelta costosa se lascia fuori manutenzione e responsabilità. Il confronto utile riguarda il costo nel tempo: realizzazione, licenze, gestione, aggiornamenti e conseguenze di un fermo.
Uno strumento su misura conviene quando elimina complessità inutile
Un’attività che deve presentare servizi e raccogliere poche richieste ha esigenze diverse da un negozio online o da un portale riservato. Eppure spesso parte dalla stessa piattaforma, aggiungendo estensioni fino a ottenere ciò che serve. Ogni componente porta funzioni, compatibilità da verificare e aggiornamenti da seguire. Chiedersi se tutto questo sia necessario è una scelta economica, oltre che progettuale.
Una soluzione su misura può concentrarsi sui passaggi che contano: un catalogo essenziale, richieste organizzate, un flusso di prenotazione aderente al lavoro reale. Quando è adatta al progetto, una pubblicazione statica può anche evitare PHP e database sul server pubblico che distribuisce le pagine. Moduli, servizi collegati e strumenti di aggiornamento conservano comunque le proprie responsabilità di sicurezza.
Il vantaggio non nasce dall’etichetta «su misura»: nasce da componenti scelti con criterio, meno funzioni superflue e una gestione sostenibile. Anche il software personalizzato può avere vulnerabilità e richiede manutenzione; se usa PHP, deve ricevere le correzioni pertinenti. Un WordPress ben gestito può essere la scelta giusta. Una soluzione personalizzata senza documentazione e assistenza può diventare un altro problema. La convenienza va valutata sul lavoro che semplifica e sul costo complessivo che permette di controllare.
Chi vede l’allarme? Chi interviene? Chi verifica?
Avere qualcuno che segue il progetto significa poter dare risposte concrete a queste domande. Chi tiene traccia delle tecnologie utilizzate? Chi riceve e valuta gli avvisi di sicurezza? Chi coordina gli aggiornamenti con il fornitore? Chi controlla che, dopo un intervento, il modulo invii davvero le richieste e le prenotazioni funzionino ancora? Le responsabilità devono essere chiare prima dell’emergenza.
La gestione continuativa comprende controlli di disponibilità e delle funzioni importanti, attenzione alle anomalie, backup separati e prove di ripristino. Un backup mai ripristinato lascia aperta una domanda decisiva: funzionerà quando servirà? Anche tempi di intervento, copertura e modalità di segnalazione vanno concordati. Il monitoraggio ha valore quando un avviso arriva a qualcuno che sa come agire.
Prima che il sito si fermi, fai una domanda scomoda
Se usi WordPress o un’altra applicazione PHP, chiedi oggi al tuo referente una conferma dell’ambiente in uso e dell’applicazione delle correzioni per queste due vulnerabilità. Chiedi anche chi verifica l’esito dell’intervento e quali controlli sono attivi. Se l’aggiornamento è bloccato da vecchi componenti, serve un piano tecnico immediato, concordato con chi gestisce l’infrastruttura. Restare in attesa senza sapere quanto si è esposti è una scommessa sul proprio lavoro.
In Bonaella parto dalle esigenze dell’attività per progettare strumenti digitali proporzionati, con scelte tecniche comprensibili e una gestione definita. Possiamo valutare insieme cosa mantenere, cosa semplificare e come organizzare manutenzione e monitoraggio. Perché accorgersi del problema dal messaggio di un cliente è già troppo tardi per evitare il disservizio.
Parliamo del tuo sito e di chi se ne prende cura ↗
Fonti e aggiornamento
Verifica delle fonti: 22 ottobre 2026. Le indicazioni tecniche possono evolvere: per gli interventi fare riferimento agli avvisi ufficiali e al proprio fornitore.
PHP — Avviso di sicurezza del 21 ottobre 2026, vulnerabilità e versioni correttive: https://www.php.net/archive/2026.php#2026-10-21-5
ENISA — Allerta congiunta sulle vulnerabilità critiche PHP del 21 ottobre 2026: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
WordPress.org — Requisiti ufficiali dell’hosting e dipendenza da PHP: https://wordpress.org/about/requirements/