Due falle gravi in PHP: aggiornare WordPress non basta

Il 21 ottobre il gruppo che sviluppa PHP ha pubblicato una correzione d’urgenza per due vulnerabilità. PHP è il linguaggio su cui gira WordPress, e con lui la maggior parte dei siti di piccole e medie aziende. Entrambe le falle hanno un punteggio di 9,2 su 10 e permettono la stessa cosa: a chiunque, da internet e senza credenziali, di far eseguire codice al server del sito. In pratica, di prenderne il controllo.

Non è un’ipotesi da laboratorio. Amazon ha visto i primi tentativi di attacco il 17 ottobre, quattro giorni prima dell’annuncio, e altri ricercatori ne segnalano di continui dal giorno della pubblicazione.

Perché ti riguarda anche se hai aggiornato WordPress

WordPress e i plugin si aggiornano dalla bacheca del sito. PHP no: è il motore che sta sotto, e lo gestisce chi ospita il sito. Puoi avere WordPress all’ultima versione e un PHP vecchio di anni, ed è più comune di quanto sembri: molti hosting lasciano la versione scelta al momento dell’attivazione finché qualcuno non la cambia.

Come controllare il tuo sito, in due minuti

1. Entra nella bacheca di WordPress e apri Strumenti → Salute del sito → Info.
2. Apri la sezione Server e leggi la riga Versione PHP.
3. Confrontala con questa tabella.

Versione che trovi	Cosa significa
8.5.12, 8.4.27, 8.3.36, 8.2.35 o successive	corretta
8.2, 8.3, 8.4 o 8.5 con un numero più basso	da aggiornare adesso
8.1, 8.0, 7.x o precedenti	fuori supporto: nessuna correzione ufficiale, va cambiata

Se la versione è da aggiornare, chiedilo all’hosting o a chi gestisce il sito, e fatti dire quale numero è stato installato. Alcuni fornitori applicano la correzione senza cambiare il numero di versione: in quel caso fatti confermare per iscritto che le due falle (CVE-2026-109618 e CVE-2026-109619) sono coperte. Prima di cambiare versione serve un backup, e va controllato che tema e plugin la supportino.

Cosa è successo a un nostro cliente

Seguiamo le campagne di una pizzeria romana. Il sito non lo gestivamo noi, e girava su PHP 7.4, fuori supporto dal 2022.

Lo scorso Natale qualcuno ci è entrato e ha inserito nelle pagine il codice di un casinò online. Ce ne siamo accorti quando era tardi: per due giorni gli annunci che pagavamo per la pizzeria hanno portato persone a un sito di gioco d’azzardo. Google ha segnalato l’account per gioco d’azzardo e ha fermato le campagne per quindici giorni, sotto le feste.

Quando ci è stato affidato anche il sito, abbiamo aggiornato PHP alla versione corretta e WordPress. Poi lo abbiamo controllato da cima a fondo, e abbiamo trovato altro:

• il pixel di Meta c’era ma non funzionava: le visite non arrivavano a Meta e non si potevano creare pubblici dal sito;
• il codice di Google Analytics era installato due volte;
• il pixel di TikTok mancava, anche se le campagne su TikTok erano attive;
• non c’erano l’informativa privacy, la cookie policy e il banner per il consenso.

Abbiamo sistemato tutto: pixel funzionanti e verificati, un solo codice di Analytics, il nostro plugin per cookie e consenso, le pagine che servono per essere in regola e un plugin di cache per far caricare il sito più in fretta.

Quanto viene cercato un sito qualunque

Dopo l’aggiornamento abbiamo letto i registri del server: chi ha chiesto cosa, e con quale risposta. Nelle prime tre settimane di ottobre il sito della pizzeria ha ricevuto 612 tentativi di accesso all’area riservata da 444 indirizzi diversi, e 1.217 richieste a 343 file che non esistono: sono i nomi dei file che chi attacca lascia nei siti già violati, e che i programmi automatici vanno a cercare dappertutto. Nessuna ha trovato quello che cercava.

Nessuno sceglie una pizzeria come bersaglio. Programmi automatici provano gli stessi indirizzi su milioni di siti e si fermano dove trovano una porta aperta. Per questo una versione vecchia di PHP si paga anche se il sito è piccolo e nessuno ce l’ha con te.

La lezione: il sito fa parte della campagna

Si tende a pensare al sito come a una cosa a parte, che si fa una volta e poi resta lì. Ma ogni annuncio porta persone sul sito, e se il sito non è a posto la campagna paga per niente, o peggio. Un PHP vecchio è una porta aperta, un pixel rotto rende le campagne cieche, un banner che manca è un rischio con il Garante. Nessuna di queste cose si vede guardando la home.

Prima di investire in pubblicità vale la pena fare tre controlli: la versione di PHP, i pixel che arrivano davvero alle piattaforme, le pagine privacy e il consenso.

Il tuo sito come sta?

Fai il controllo di sopra: bastano due minuti. Se la versione è vecchia, o se non sai chi gestisce l’hosting del tuo sito, parliamone in un caffè virtuale.