Cos'è PHP, e perché una falla di PHP conta anche se non hai mai scritto codice?

WindowsMacAggiornato 2026-10-23

PHP è un linguaggio di programmazione per costruire siti web. Il progetto PHP lo descrive come «a widely-used open source general-purpose scripting language that is especially suited for web development», cioè un linguaggio di scripting open source, di uso generale e molto diffuso, adatto in particolare allo sviluppo web. Gira sul computer che invia la pagina, il server, e non sul telefono o sul portatile con cui la leggi. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

PHP è un linguaggio open source con cui sono scritti molti siti web. Il suo codice gira sul server del sito, che costruisce ogni pagina e manda al tuo browser il risultato finito. Per questo una falla di PHP è un problema di chi gestisce i siti, e la correzione è un aggiornamento sul server, non sul tuo dispositivo.

A cosa serve PHP?

Soprattutto a creare pagine web che cambiano. Una pagina web semplice è un file fisso. Una pagina in PHP è un piccolo programma che scrive la pagina nel momento in cui la chiedi, così può mostrarti il carrello, il tuo account o gli ultimi articoli.

Il manuale di PHP (in inglese) dice che il linguaggio è «mainly focused on server-side scripting», cioè pensato soprattutto per gli script lato server, e fa alcuni esempi: raccogliere i dati dei moduli, generare il contenuto delle pagine quando vengono richieste, inviare e ricevere cookie. La home page di php.net la mette in modo più ampio: PHP fa funzionare tutto, dal tuo blog ai siti più popolari al mondo.

Puoi incontrare PHP anche senza vederne il nome. WordPress.org scrive che PHP è uno dei linguaggi di programmazione su cui è costruito WordPress. Il manuale di PHP aggiunge che PHP può girare anche da solo, come strumento da riga di comando, per script pianificati e semplici elaborazioni di testo.

Cosa significa «lato server» per un sito e per chi lo visita?

Significa che il lavoro avviene sul computer del sito prima che qualcosa arrivi a te. Il manuale di PHP spiega la differenza con JavaScript, che gira nel browser: con PHP «the code is executed on the server, generating HTML which is then sent to the client», cioè il codice viene eseguito sul server, che genera l'HTML e lo invia al client. Il client è il tuo browser.

Quando apri una pagina di un sito in PHP, quindi, il server esegue il PHP, produce una normale pagina web e ti manda quella. Il manuale dice che il client riceve il risultato dello script, ma non può sapere quale fosse il codice. Dice anche che un server può essere configurato in modo che gli utenti non abbiano alcun modo di capire che si usa PHP.

Per chi visita un sito, questo ha due conseguenze semplici. Non ti serve PHP installato per usare un sito in PHP, e di solito non puoi sapere se un sito lo usa.

Perché una falla di PHP riguarda così tanti siti?

Perché ogni sito che usa PHP fa girare lo stesso software di base, e un difetto in quel software è comune a tutti finché ciascuno non si aggiorna. Il 21 ottobre 2026 il progetto PHP ha annunciato due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, e ha scritto che sono a rischio tutte le installazioni di PHP che rispondono a richieste web. In Italia il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), ha pubblicato un alert: se sfruttate, le due vulnerabilità potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati.

Nessuna delle fonti ufficiali di questa guida indica un numero o una percentuale di siti che usano PHP, quindi non ne diamo uno. Dicono però che PHP è diffuso e a volte difficile da individuare. L'agenzia statunitense CISA scrive che PHP è spesso un componente di altri software e che la sua presenza può non essere direttamente visibile. Il NCSC britannico chiede alle organizzazioni di seguire gli aggiornamenti dei fornitori di apparecchi e servizi che possono includere PHP. La pagina di WordPress.org sull'aggiornamento di PHP aggiunge che, proprio perché è così popolare, PHP è un bersaglio per gli hacker.

Le vulnerabilità, la loro gravità e le versioni che le correggono sono nella guida alla vulnerabilità PHP.

Perché il mio dispositivo non fa girare il PHP del sito?

Perché PHP gira dove vive il sito. Il tuo browser chiede una pagina al server, il server esegue il suo PHP e a te torna la pagina finita, in HTML. L'avviso PHP del 21 ottobre indica come a rischio configurazioni server come PHP-FPM, Apache con mod_php e LiteSpeed, che girano tutte sui server web.

Visitare un sito con un PHP vecchio o non aggiornato non mette quel PHP sul tuo telefono o sul tuo portatile. Il rischio per chi visita è un altro: se qualcuno prende il controllo di un sito, può cambiare quello che ti mostra. La guida visitare un sito hackerato è pericoloso? spiega cosa può succedere e a cosa fare attenzione.

L'unica eccezione è se PHP l'hai installato tu, per esempio per creare o provare siti sul tuo computer. In quel caso hai una copia da aggiornare, come qualsiasi altro software.

Cosa significa una vulnerabilità di PHP, in parole semplici?

Una vulnerabilità è un punto debole di un software che qualcuno potrebbe usare per fargli fare qualcosa che non dovrebbe. Il progetto PHP descrive le falle di ottobre 2026 come vulnerabilità che possono permettere l'esecuzione di codice da remoto senza autenticazione. In pratica, qualcuno potrebbe far eseguire a un server istruzioni scelte da lui, senza fare login.

La risposta del progetto PHP è aggiornare. Le note di rilascio dicono: «There are no complete mitigations, updating is the only safe choice», cioè non esistono mitigazioni complete e aggiornare è l'unica scelta sicura. Se gestisci un sito, il primo passo è scoprire quale versione usa: la guida per verificare la versione di PHP del sito spiega dove guardare ed elenca le versioni corrette.

Altre domande

PHP è un virus o un programma sul mio computer?

No. PHP è un linguaggio di programmazione e il software che lo esegue, non un malware. Gira sui server che ospitano i siti web. Per sapere se il tuo computer ne ha una copia, la guida come sapere se PHP è installato mostra il comando da usare.

Cosa significa la sigla PHP?

Il manuale di PHP dice che il nome è un acronimo ricorsivo di «PHP: Hypertext Preprocessor». Ricorsivo vuol dire che la prima parola della sigla è il nome stesso. La parte «preprocessor» descrive cosa fa: lavora sulla pagina prima che venga inviata al tuo browser.

Chi decide quale versione di PHP usa il mio sito?

Di solito il tuo hosting. WordPress.org scrive che è il fornitore di hosting a stabilire quali versioni di PHP sono disponibili per il tuo sito, e che molti hosting ti permettono di cambiarla da solo. La guida per verificare la versione di PHP del sito mostra dove guardare.

Posso capire se un sito usa PHP?

Spesso no. Il manuale di PHP dice che un server può essere configurato in modo che gli utenti non possano capire che si usa PHP. Se il sito è tuo, il pannello dell'hosting o l'hosting stesso ti dicono la versione.

PHP è sicuro da usare?

Dipende dalla versione su cui gira il sito: le versioni supportate ricevono correzioni di sicurezza, quelle a fine vita no. La guida PHP è sicuro? spiega come funziona il supporto di PHP.