Falla critica in PHP: oltre 250.000 siti italiani a rischio, ecco come aggiornare subito

Se gestisci un sito web, un blog, un negozio online o anche solo un piccolo progetto personale basato su WordPress, questa è una notizia che devi leggere subito. Negli ultimi giorni è scoppiato un allarme sicurezza informatica a livello mondiale per colpa di due falle scoperte in PHP, il linguaggio di programmazione che fa funzionare gran parte dei siti internet che visitiamo ogni giorno, WordPress compreso. In Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) ha lanciato un alert diretto, parlando di oltre 250mila servizi PHP a rischio nel nostro Paese, invitando tutti ad aggiornare immediatamente.

Non serve essere programmatori per capire perché questa notizia riguarda anche te: se possiedi un sito, molto probabilmente gira proprio su PHP, e se il tuo hosting non è ancora stato aggiornato, qualcuno potrebbe sfruttare questa falla per prendere il controllo del server senza nemmeno doverci accedere con una password.

Cos'è successo: le falle "PHP2Shell"

Le due vulnerabilità scoperte sono state chiamate in modo informale "PHP2Shell" e sono identificate ufficialmente con i codici CVE-2026-109618 e CVE-2026-109619. In parole semplici, si tratta di falle che possono consentire agli aggressori di eseguire codice su un server senza effettuare l'accesso. Questo significa che un hacker, sfruttando queste falle, potrebbe installare virus, rubare dati o prendere il controllo completo di un sito senza bisogno di conoscere username e password.

La buona notizia è che PHP ha rilasciato le correzioni il 21 ottobre per le versioni dalla 8.2 alla 8.5. Quindi la patch esiste già ed è gratuita: il problema è che moltissimi siti, soprattutto quelli gestiti da hosting vecchi o mai aggiornati, non l'hanno ancora installata.

Perché FBI, NSA e CISA sono in allarme

Non capita spesso che le agenzie governative americane si mobilitino così in fretta per un aggiornamento software, ma stavolta la situazione è seria. In un annuncio di pubblica utilità l'FBI ha dichiarato che gli aggiornamenti di sicurezza sono disponibili e dovrebbero essere applicati immediatamente. Anche la NSA, l'FBI e la CISA hanno esortato le organizzazioni ad applicare immediatamente le patch e a mettere i sistemi offline se non fossero state in grado di farlo.

A confermare la gravità della situazione è stato anche l'ex direttore della CISA Chris Krebs, che ha definito questo periodo come "una o due settimane significative nella cybersecurity". In pratica: gli attacchi informatici che sfruttano questa falla sono già partiti e stanno aumentando di ora in ora, quindi ogni giorno di ritardo nell'aggiornamento aumenta il rischio concreto di essere colpiti.

Come capire se il tuo sito è a rischio

Se hai un sito WordPress, un blog, un negozio online o qualsiasi progetto che gira su un server con PHP, segui questi passaggi per controllare la situazione e metterti in sicurezza. Non preoccuparti se non sei un esperto: li ho resi il più semplici possibile.

Passo 1: controlla quale versione di PHP usa il tuo sito

Quasi tutti i servizi di hosting (Aruba, SiteGround, Register, Serverplan e simili) mettono a disposizione un pannello di controllo, spesso chiamato cPanel o simile, dove puoi vedere e cambiare la versione di PHP in uso. Cerca una voce chiamata "PHP Selector", "Gestione PHP" o "Versione PHP". Se usi WordPress, puoi trovare questa informazione anche andando su Strumenti > Salute del sito, dentro la bacheca di amministrazione.

Se la versione mostrata è inferiore alla 8.2.35, alla 8.3.36, alla 8.4.27 o alla 8.5.12, il tuo sito non ha ancora ricevuto la correzione e va aggiornato il prima possibile.

Passo 2: scarica o richiedi la versione corretta

Se gestisci tu stesso il server, puoi trovare tutte le versioni ufficiali aggiornate direttamente sul sito di PHP, dove viene anche spiegato nel dettaglio come effettuare l'aggiornamento in sicurezza.

Se invece il tuo sito è ospitato da un hosting provider (la situazione più comune per chi non è uno sviluppatore), nella maggior parte dei casi non devi scaricare nulla manualmente: basta selezionare la nuova versione dal pannello di controllo del tuo hosting, come spiegato nel passaggio successivo.

Passo 3: aggiorna PHP dal pannello del tuo hosting

Entra nel pannello di controllo del tuo hosting, cerca la sezione dedicata a PHP e seleziona l'ultima versione disponibile tra quelle sicure (8.2.35, 8.3.36, 8.4.27 o 8.5.12). L'operazione richiede solitamente pochi secondi e non comporta la perdita di dati, anche se può capitare che qualche plugin o tema datato smetta temporaneamente di funzionare correttamente.

Se non trovi questa opzione o non sei sicuro di come procedere, contatta l'assistenza del tuo hosting e chiedi esplicitamente di aggiornare PHP per risolvere la vulnerabilità "PHP2Shell": è una richiesta che qualsiasi hosting serio saprà gestire in tempi rapidi, vista l'urgenza segnalata anche dalle autorità.

Passo 4: fai sempre un backup prima di aggiornare

Prima di qualsiasi aggiornamento importante, è buona abitudine fare una copia di backup completa del sito (file e database). Molti hosting lo fanno automaticamente, ma se non sei sicuro, meglio chiederlo o farlo manualmente tramite un plugin come UpdraftPlus se usi WordPress. In questo modo, anche se qualcosa dovesse andare storto durante l'aggiornamento, potrai ripristinare tutto in pochi minuti.

Cosa fare se non puoi aggiornare subito

Se per qualche motivo non riesci ad aggiornare immediatamente (magari perché il tuo sito dipende da un plugin incompatibile con le nuove versioni), le autorità consigliano come misura estrema di mettere temporaneamente offline il sito, piuttosto che lasciarlo esposto. Un'alternativa più pratica, nel frattempo, è attivare un firewall applicativo (WAF) tramite servizi come Cloudflare, che può filtrare parte dei tentativi di attacco in attesa di completare l'aggiornamento.

In generale, questa vicenda è un ottimo promemoria di una regola che vale sempre nel mondo digitale: tenere aggiornati i software che usiamo, dal telefono al computer fino al sito web, è una delle difese più semplici ed efficaci contro gli attacchi informatici. Non aspettare l'email del tuo hosting: controlla oggi stesso la versione di PHP del tuo sito.