Senti che il tuo sito è a rischio? Cantiere Creativo costruisce siti senza PHP, più sicuri e veloci

Il 21 ottobre 2026, il team PHP ha rilasciato aggiornamenti di sicurezza per correggere due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619. In determinate condizioni, queste vulnerabilità possono consentire a un attaccante non autenticato di eseguire codice da remoto su un server vulnerabile.

La notizia ha riportato l'attenzione su una questione importante per aziende, enti e organizzazioni: quanto è sicura l'architettura su cui si basa il proprio sito web?

In Cantiere Creativo abbiamo scelto un approccio differente: realizziamo siti web senza PHP. Utilizziamo architetture moderne che separano la gestione dei contenuti dalla generazione delle pagine, evitando di dipendere dal motore PHP sul server per pubblicare il sito.

Una scelta che consente di eliminare questa specifica dipendenza tecnologica e di progettare siti orientati a sicurezza, prestazioni e flessibilità.

Il 20 ottobre sono finiti in rete i dettagli di due falle critiche di PHP, prima della data concordata per renderle pubbliche. Il giorno dopo il progetto PHP ha pubblicato le correzioni. I ricercatori le hanno chiamate PHP2Shell, perché permettono di far eseguire comandi al server: in pratica, di prenderne il controllo.

La gravità è di 9,2 su 10. Per sfruttarle non servono password né plugin particolari: basta che il sito giri su una versione di PHP non aggiornata. Il 23 ottobre ne è stata annunciata una terza, che riguarda solo alcune configurazioni.

Le reazioni dicono quanto la cosa sia seria. In Finlandia sono stati spenti tutti i servizi web pubblici dello Stato, in Francia i siti del Ministero dell'Interno, nei Paesi Bassi il portale del governo. L'Agenzia per la Cybersicurezza Nazionale ha classificato l'impatto come critico e suggerisce di valutare lo spegnimento dei siti che non si possono aggiornare subito.

I tentativi di attacco sono partiti prima ancora delle correzioni. Secondo Check Point, in Italia un'organizzazione su dieci è già stata presa di mira. Al 23 ottobre non risultavano violazioni confermate: è il momento giusto per controllare, prima che qualcuno trovi il modo di farcela.

La falla non è in WordPress, in Laravel o in un plugin. È in PHP, il motore che sta sotto e che costruisce la pagina sul server ogni volta che qualcuno la apre. Per questo un sito WordPress aggiornato all'ultima versione, con tutti i plugin a posto, resta esposto se il PHP del server è vecchio.

La correzione arriva solo aggiornando PHP alla 8.5.12, 8.4.27, 8.3.36 o 8.2.35, a seconda della versione in uso. Dopo bisogna riavviare i processi PHP, altrimenti il server continua a usare quello vecchio. Gli aggiornamenti automatici di WordPress non fanno niente di tutto questo.

Chi lo deve fare dipende da dove sta il sito: su un hosting condiviso tocca al fornitore, su un server dedicato o virtuale a te o a chi lo gestisce per te. Spesso nessuno dei due ne è sicuro, ed è qui che comincia il problema.

Bastano cinque domande, da fare a te stesso o a chi gestisce il tuo sito.

1. Che versione di PHP usa il sito? Nel pannello di WordPress la trovi in Strumenti → Salute del sito, tra le informazioni sul server. Per un sito Laravel o sviluppato su misura chiedila a chi lo ha realizzato.
2. È una versione corretta? Deve essere almeno la 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Se è la 8.1 o una più vecchia, una versione corretta ufficiale non esiste: serve passare a una versione supportata, o almeno avere dal fornitore una correzione sua.
3. Il numero non torna? Alcuni fornitori applicano la correzione senza cambiare il numero di versione. Chiedi una conferma scritta che le falle CVE-2026-109618 e CVE-2026-109619 siano state corrette e che i processi PHP siano stati riavviati.
4. Qualcuno è entrato prima della correzione? I tentativi sono iniziati prima del 21 ottobre, quindi aggiornare non basta a stare tranquilli. Va controllato che non ci siano file PHP nuovi o modificati, utenti amministratori sconosciuti o connessioni strane dal server.
5. Se non si può aggiornare subito? L'Agenzia per la Cybersicurezza Nazionale suggerisce di valutare la sospensione del sito fino all'aggiornamento. Un firewall applicativo aiuta, ma non sostituisce la correzione.

Le falle di PHP2Shell non sono nuove: erano nel codice di PHP dalla versione 5.4, uscita nel 2012. Le hanno trovate i ricercatori di Wiz e Calif lavorando con modelli di intelligenza artificiale di OpenAI e Google. L'AI rende più veloce la ricerca di falle, per chi le corregge e per chi le sfrutta, ed è ragionevole aspettarsi che casi così diventino più frequenti.

Intanto molti siti girano su versioni di PHP che nessuno corregge più. Secondo le statistiche di WordPress.org, il 35% dei siti WordPress usa una versione di PHP non più supportata. E il 31 dicembre 2026 il supporto finisce anche per PHP 8.2.

Un sito in PHP non si fa una volta sola. È un software che lavora sul server a ogni visita, e va tenuto aggiornato a ogni livello: tema, plugin, CMS, PHP, database, sistema operativo. Ogni pezzo ha i suoi tempi e spesso un responsabile diverso.

C'è un altro modo di fare siti, ed è quello che usiamo da anni in Cantiere Creativo. Le pagine si preparano prima, quando la redazione pubblica un contenuto, e arrivano al visitatore già pronte da una rete di server distribuita nel mondo. Quando qualcuno apre il sito non c'è PHP che costruisce la pagina e non c'è un database che risponde: una falla come PHP2Shell, sul sito, non ha niente da colpire.

I contenuti si gestiscono con DatoCMS, il CMS nato proprio in Cantiere Creativo e che oggi usano oltre 25.000 aziende e 80.000 editor. La redazione scrive e pubblica in autonomia; il sito lo costruiamo con Astro o Next.js e lo pubblichiamo su Netlify o Vercel. Non si riparte da zero: si parte dai contenuti che hai già.

Siti così sono anche veloci: i nostri puntano a punteggi Lighthouse vicini a 100. È l'approccio con cui lavoriamo per musei, editori e aziende. Per le Gallerie degli Uffizi abbiamo realizzato la piattaforma editoriale con cui il traffico è cresciuto del 130%; per L'Officiel un unico CMS da cui lavorano venti redazioni nazionali.

Se il tuo sito è in PHP e non sai rispondere anche a una sola di quelle cinque domande, scrivici. Guardiamo insieme in che stato è, cosa va fatto subito e se ha senso cambiare approccio. Se il tuo sito è già in ordine, te lo diciamo e finisce lì.

Se invece pensi che sia il momento di fare un passo avanti di qualità, verso un sito veloce che non dipende dal PHP del server, ne parliamo volentieri. Contattaci.

• PHP: avvisi e versioni corrette del 20, 21 e 23 ottobre 2026, fine supporto di PHP 8.2
• PHP2Shell: sito dei ricercatori, scoperta, ruolo dell'AI, versioni colpite
• ACN, CSIRT Italia, avviso AL07/261021/CSIRT-ITA: impatto critico e azioni raccomandate
• Phonetoday, 22 ottobre 2026: siti delle prefetture oscurati
• Servicematica, 23 ottobre 2026: sito di AgID in manutenzione
• Wikipedia, PHP2Shell: siti spenti in Europa e cronologia
• Check Point, 22 ottobre 2026: tentativi di attacco per Paese
• Sophos: stato degli attacchi al 23 ottobre 2026
• CybelAngel: siti WordPress su versioni di PHP non supportate (dati WordPress.org)