Perché questo sito è in manutenzione? Gli aggiornamenti urgenti di PHP spiegati

WindowsMaciPhoneAndroidAggiornato 2026-10-24

Il 21 ottobre 2026 il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, ha scritto: «Qualora non fosse possibile applicare tempestivamente gli aggiornamenti di sicurezza, si raccomanda di valutare di porre offline i siti e i servizi web che utilizzano versioni vulnerabili di PHP, sospendendone l'accessibilità fino all'avvenuto aggiornamento.» Mettere offline un sito finché non viene aggiornato è uno dei motivi per cui può mostrare una pagina di manutenzione. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Dopo l'annuncio di due vulnerabilità critiche di PHP il 21 ottobre 2026, le agenzie di sicurezza in Italia, Regno Unito, Stati Uniti e Giappone hanno chiesto alle organizzazioni di aggiornare PHP, e di valutare di mettere offline i sistemi se non potevano farlo. Una pagina di manutenzione può voler dire che il gestore sta facendo questo lavoro. Aspetta, controlla i canali ufficiali del sito e non inserire dati in pagine che lo imitano.

Perché i siti vanno in manutenzione dopo un avviso di sicurezza?

Perché la correzione richiede di cambiare il software sul server, e un server che non si può correggere in fretta può essere più sicuro spento. PHP è il linguaggio su cui girano molti siti, e il 21 ottobre il progetto PHP ha rilasciato le versioni corrette: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il suo avviso dice che solo un aggiornamento è una soluzione completa. La guida alla vulnerabilità PHP spiega le falle, e cos'è PHP spiega perché un problema lato server tocca tanti siti.

Aggiornare non è sempre un lavoro rapido. L'agenzia giapponese IPA (Information-technology Promotion Agency) osserva che i sistemi non aggiornati da molto tempo possono richiedere modifiche al codice del sito e nuovi test, e possono essere rallentati da documentazione mancante, personale non più disponibile o contratti di manutenzione scaduti. Nel frattempo, una pagina di manutenzione può esserne il segno visibile.

Cosa hanno consigliato le agenzie ufficiali?

Tutte mettono l'aggiornamento al primo posto. Cambia quello che dicono di fare se non si può aggiornare subito.

CSIRT Italia. Aggiornare i prodotti vulnerabili. Se non è possibile farlo tempestivamente, valutare di mettere offline i siti e i servizi web con versioni vulnerabili di PHP fino all'aggiornamento. Raccomanda anche, indipendentemente dagli aggiornamenti, di analizzare log ed eventi per cercare segnali di sfruttamento o di compromissione.
NCSC (Regno Unito). Aggiornare PHP, partendo dai sistemi esposti su internet. Se non si può, usare le mitigazioni temporanee pubblicate dalla PHP Foundation; se nemmeno quelle si possono applicare, o richiederebbero troppo tempo, il NCSC dice di valutare di mettere il sistema offline finché non è del tutto mitigato.
CISA (Stati Uniti). Applicare subito le correzioni. Le organizzazioni che non possono aggiornare subito, o che usano ancora PHP 8.1 o versioni precedenti, dovrebbero mettere offline i sistemi basati su PHP finché non sono aggiornati.
JPCERT/CC e IPA (Giappone). Nei loro alert del 22 ottobre, JPCERT/CC chiede di applicare la correzione al più presto, dopo test sufficienti, e di verificare se i sistemi sono stati compromessi. L'IPA dice di non lasciare in funzione un sistema vulnerabile in attesa dell'aggiornamento e, se le misure provvisorie sono difficili, di decidere se bloccare l'accesso dall'esterno o sospendere temporaneamente il servizio, valutando i possibili danni rispetto all'impatto sull'attività.

Cosa faccio se un sito che uso è in manutenzione?

Soprattutto, aspetta. La correzione spetta al gestore del sito, e niente di quello che installi sul tuo telefono o computer può correggere il server di un sito.

Controlla i canali ufficiali del sito per un aggiornamento, come i suoi profili social verificati, un'app che usi già o un'e-mail che ti aspettavi. L'IPA chiede alle organizzazioni di pianificare come informare gli utenti sulle alternative quando un servizio cambia o viene ritirato, quindi un avviso potrebbe comparire lì.
Se devi contattare l'azienda, usa recapiti di cui ti fidi già, presi dal suo sito ufficiale e non da un messaggio ricevuto.
Torna sul sito scrivendo tu l'indirizzo o usando un tuo segnalibro, non da un link che qualcuno ti ha mandato.

Devo fare attenzione alle pagine false mentre il sito è offline?

Sì. La Polizia Postale avverte che si possono creare falsi siti graficamente identici o molto simili agli originali, per indurti a inserire credenziali, dati personali o informazioni bancarie, e che questi siti possono arrivare da link in e-mail, SMS, social o app di messaggistica, o comparire tra i risultati di una ricerca. Un messaggio che dice che un sito che usi si è spostato, o che ti chiede di accedere altrove «durante la manutenzione», merita sospetto.

Prima di inserire dati, controlla l'indirizzo: la Polizia Postale ricorda che anche una lettera diversa o un carattere aggiunto possono nascondere un sito contraffatto, e che un logo conosciuto non garantisce che il sito sia quello ufficiale. Puoi segnalare un sito contraffatto con il modulo Segnalazioni della Polizia Postale, scegliendo l'argomento Phishing.

«In manutenzione» vuol dire che il sito è stato hackerato?

Non necessariamente. Una pagina di manutenzione ti dice che il sito non è disponibile, non perché. Gli avvisi qui sopra chiedono alle organizzazioni di mettere offline i sistemi quando non possono aggiornarli, quindi una pagina di manutenzione può voler dire semplicemente che il lavoro è in corso.

Se un'azienda scopre che i dati personali dei clienti sono stati coinvolti, è una questione diversa, con i suoi passaggi. La guida i miei dati personali sono a rischio per la vulnerabilità PHP? spiega come lo verresti a sapere di solito e cosa conviene fare nel frattempo.

Perché ci mette tanto a tornare?

Alcuni gestori riescono ad aggiornare in fretta, altri no. L'alert dell'IPA descrive i casi più difficili: sistemi vecchi dove aggiornare PHP vuol dire rifare e ritestare parti del sito, e organizzazioni che devono trovare persone, budget e assistenza per mantenerlo. A chi non riesce a garantirli, l'IPA chiede di valutare il passaggio a un prodotto o servizio supportato, la riduzione delle funzioni o la chiusura della pubblicazione. Quindi alcuni siti potrebbero tornare diversi, e qualcuno potrebbe non tornare.

Altre domande

È sicuro visitare un sito tornato online dopo la manutenzione?

Le falle PHP sono nel software del server, non nel tuo dispositivo. Il manuale di PHP spiega che il codice PHP viene eseguito sul server, che invia al browser il risultato. Per la domanda più ampia, la guida visitare un sito hackerato è pericoloso? spiega cosa può fare un sito compromesso a chi lo visita.

Qualcuno ha sfruttato le falle PHP?

Al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione. Il CSIRT Italia scrive: «Si evidenzia, inoltre, la disponibilità in rete di Proof of Concept (PoC) per lo sfruttamento di entrambe le vulnerabilità.» Nessuno degli alert delle agenzie citate in questa guida riporta un numero di siti colpiti.

Cos'è la «manutenzione straordinaria»?

L'espressione non compare negli avvisi ufficiali su PHP citati in questa guida: è il linguaggio del gestore del sito. Il lavoro che descrivono il CSIRT Italia, il NCSC, la CISA e l'IPA è aggiornare il software, o mettere offline un sistema finché non si può aggiornare.

Perché la manutenzione PHP riguarda siti così diversi?

Perché molti siti usano lo stesso software PHP. Il NCSC scrive che le organizzazioni che usano qualsiasi versione di PHP sono coinvolte, e la CISA nota che PHP è spesso un componente di altro software, quindi anche siti che non nominano PHP possono avere bisogno di interventi.

Devo cambiare la password di un sito che è andato offline?

Nessuno degli avvisi ufficiali citati qui lo chiede solo perché un sito è andato offline. Se l'azienda ti comunica un problema con il tuo account, segui le sue istruzioni dai canali ufficiali.