L'hosting dice che PHP è aggiornato. Cosa resta da fare a me?

WindowsMacAggiornato

L'aggiornamento dell'hosting riguarda PHP, il linguaggio che i suoi server usano per far funzionare il tuo sito. Il progetto PHP ha rilasciato le correzioni il 21 ottobre 2026 in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il software che hai installato sopra è un lavoro a parte: la guida di WordPress sulla protezione del sito dice che gli hosting si occupano dell'infrastruttura, ma «are not responsible for the application you choose to install», cioè non sono responsabili dell'applicazione che scegli di installare. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

L'aggiornamento dell'hosting copre PHP sui suoi server. Sul tuo account aggiorna WordPress o il tuo CMS, con plugin e temi. Controlla quale versione di PHP usa davvero ciascun sito, perché in cPanel ogni dominio può averne una sua. Cerca segni di compromissione, come raccomandano il CSIRT Italia e il NCSC, e cambia le password se qualcosa non torna.

Cosa copre l'aggiornamento PHP dell'hosting?

Copre PHP. L'avviso PHP del 21 ottobre 2026 dice che due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, riguardano tutte le installazioni di PHP che rispondono a richieste web e possono permettere l'esecuzione di codice da remoto senza autenticazione. In pratica, qualcuno potrebbe eseguire codice proprio sul server senza fare login. L'avviso nomina PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, tutti software lato server: su un hosting condiviso o gestito quell'aggiornamento spetta all'hosting.

L'aggiornamento non aggiorna WordPress, un tema o un plugin. Quelli hanno i loro aggiornamenti.

Sullo sfruttamento, al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione. Il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, segnala che in rete sono disponibili proof of concept per entrambe le vulnerabilità. L'avviso PHP considera più alto il rischio per Apache con mod_php, con un exploit dimostrato in cui una richiesta non autenticata può avviare l'attacco prima che venga eseguito qualsiasi codice dell'applicazione.

Devo comunque aggiornare WordPress, plugin e temi?

Sì. La guida di WordPress sulla protezione del sito dice di tenere sempre WordPress aggiornato all'ultima versione, perché le versioni vecchie non ricevono aggiornamenti di sicurezza. Dà lo stesso consiglio per i plugin e dice di eliminare quelli che non usi. Prima fai un backup, come suggerisce la guida di WordPress sugli aggiornamenti.

  1. Accedi alla Bacheca e vai in Bacheca > Aggiornamenti.
  2. Se c'è una nuova versione di WordPress, fai clic sul pulsante Aggiorna alla versione, seguito dal numero.
  3. Nella stessa schermata seleziona i plugin e i temi con aggiornamenti in attesa, poi fai clic su Aggiorna plugin o Aggiorna temi. La casella in cima a ogni sezione li seleziona tutti.
  4. Vai in Plugin > Plugin installati ed elimina i plugin che non usi più.

WordPress dice che la maggior parte dei siti ormai installa da sola, in background, le versioni minori e di sicurezza, ma che una versione principale va comunque avviata da te.

Su quale versione di PHP gira davvero il mio sito?

Controllala invece di darla per scontata. La documentazione di cPanel dice che ogni dominio può usare una qualsiasi delle versioni di PHP installate, quindi la versione aggiornata dall'hosting e quella usata da ciascun tuo sito vanno verificate separatamente. La guida per verificare la versione di PHP del sito mostra dove guardare in WordPress e in cPanel. Se un sito è su una versione più vecchia, la guida come aggiornare PHP su WordPress spiega come cambiarla. PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP, quindi per un sito su una di queste versioni serve parlare con l'hosting.

Devo controllare se il sito mostra segni di attacco?

Sì, soprattutto se c'è stato un intervallo prima dell'aggiornamento. Il CSIRT Italia raccomanda, indipendentemente dall'applicazione degli aggiornamenti, di analizzare i log alla ricerca di segnali di sfruttamento o di compromissione, come richieste HTTP anomale, modifiche non autorizzate ai file dell'applicazione o connessioni di rete anomale. Il NCSC britannico chiede a chi non può aggiornare o disattivare subito un sistema di cercare prove di compromissione e backdoor prima dell'aggiornamento. Un PHP più recente corregge la falla, ma non ti dice se prima è successo qualcosa.

  1. Vai in Utenti > Tutti gli utenti e fai clic sul link Amministratore sopra la tabella. Le FAQ di WordPress sui siti hackerati indicano i nuovi utenti come un segnale chiaro.
  2. Apri il report Problemi di sicurezza in Google Search Console. Google spiega che lì mostra i risultati raccolti se valuta che il sito è stato compromesso o può danneggiare i visitatori.
  3. Chiedi all'hosting se ha notato qualcosa sul tuo account.

La guida WordPress hackerato: i segnali spiega ogni controllo più nel dettaglio.

Quando devo cambiare le password?

Subito, se qualcosa non torna. Le FAQ di WordPress dicono di cambiare ogni punto di accesso, cioè FTP o SFTP, l'amministrazione di WordPress, cPanel o un altro pannello di hosting e il database, per tutti gli utenti che vi accedono, non solo per te. La guida sito hackerato, cosa fare mette le password in ordine, insieme al resto delle cose da fare nella prima ora.

Cosa devo chiedere all'hosting?

Domande brevi e precise danno le risposte più utili.

  1. Su quale versione di PHP gira adesso ciascuno dei miei siti, ed è la 8.5.12, 8.4.27, 8.3.36 o 8.2.35?
  2. Se uno dei miei domini è impostato su Inherited, qual è la versione predefinita del server?
  3. Se un sito è su PHP 8.1 o precedente, avete applicato una correzione retroportata? Il progetto PHP scrive che alcuni fornitori le offrono.
  4. Avete impostato session.upload_progress.enabled=0, come suggerisce l'avviso informativo di PHP del 23 ottobre in attesa del prossimo rilascio correttivo?
  5. Avete visto qualcosa sul mio account, o sul server che condivido, che indichi una compromissione? Le FAQ di WordPress dicono che su un hosting condiviso un attacco può riguardare più di un sito.
  6. Quali backup del mio sito conservate? WordPress suggerisce di chiedere all'hosting come gestisce i backup.

Altre domande

Il mio hosting è coinvolto in PHP2Shell?

Se usa PHP per far funzionare i siti, era coinvolto finché non ha aggiornato. Il NCSC scrive che le organizzazioni che usano qualsiasi versione di PHP sono coinvolte, e la CISA ricorda che PHP è spesso un componente di altri software. La guida alla vulnerabilità PHP spiega le falle.

L'hosting ha aggiornato PHP. Il mio sito adesso è al sicuro?

Le due vulnerabilità di PHP sono corrette nelle versioni aggiornate. La guida di WordPress sulla protezione del sito ricorda però che su un server condiviso il tuo sito può essere compromesso a sua volta se lo è un altro sito sullo stesso server. Restano importanti i tuoi aggiornamenti, il controllo della versione e il controllo dei segni di attacco.

Un web application firewall fa lo stesso lavoro dell'aggiornamento?

No. L'avviso PHP dice che solo un aggiornamento è una soluzione completa. La guida come testare il sito per PHP2Shell spiega cosa può dare un firewall nell'attesa.

Di cosa parlava l'avviso PHP del 23 ottobre?

Di un'altra via di esecuzione di codice da remoto, distinta e improbabile, CVE-2026-115560. PHP scrive che richiede una combinazione insolita di configurazione e codice dell'applicazione, e suggerisce di impostare session.upload_progress.enabled=0 fino al prossimo rilascio. Il CSIRT Italia aggiunge che, se la misura è già applicata, non servono altri interventi per quel vettore. L'impostazione è sul server, quindi la applica l'hosting.

Il mio sito deve andare offline finché l'hosting non aggiorna?

Il CSIRT Italia raccomanda, se non si possono applicare subito gli aggiornamenti, di valutare di mettere offline i siti che usano versioni vulnerabili di PHP fino all'aggiornamento. La CISA dice di mettere offline i sistemi PHP che non si possono aggiornare subito o che usano ancora PHP 8.1 o precedenti. Quando il sito risulta su una versione corretta, il consiglio non vale più per lui.

Fonti