Il 21 ottobre 2026 il progetto PHP ha pubblicato correzioni per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619. In alcune condizioni possono permettere a una richiesta non autenticata di eseguire codice sul server. Se il tuo sito WordPress usa PHP — come accade normalmente — è il PHP del server da verificare. Non è una vulnerabilità specifica di WordPress e non è previsto un aggiornamento dedicato del core.
Cosa è successo e quali versioni sono corrette
Le correzioni ufficiali sono incluse in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP invita gli utenti ad aggiornare subito. Le versioni precedenti a PHP 8.2 non ricevono più aggiornamenti dal progetto; alcune distribuzioni e alcuni provider, però, possono applicare patch retroportate. Perciò il numero che leggi nel pannello non basta sempre a stabilire se il server è protetto: serve la conferma del pacchetto effettivamente installato.
Cosa fare adesso
- Controlla quale PHP usa il sito. In WordPress apri Strumenti → Salute del sito → Informazioni → Server e annota la versione. Se gestisci più domini o ambienti di test sullo stesso hosting, chiedi che siano verificati anche quelli.
- Contatta subito il provider. Chiedi se ha già aggiornato il servizio PHP del tuo dominio alle versioni corrette o se ha applicato una patch retroportata che copre entrambe le CVE.
- Fatti indicare lo stato preciso. Chiedi quale pacchetto o versione è in uso, quando è stata applicata la correzione e, se l’intervento è ancora in corso, quando verrà completato.
Puoi aprire un ticket con questo messaggio:
Il mio dominio usa PHP. Potete confermare se il servizio che gestisce il sito è aggiornato o corretto per CVE-2026-109618 e CVE-2026-109619? Indicate il pacchetto o la versione PHP in uso, se è stata applicata una patch retroportata e la data dell’intervento. Se la correzione non è ancora attiva, qual è il piano e in quanto tempo verrà applicata?
Come comportarti in base alla risposta
Il provider conferma la correzione: conserva la risposta e verifica che il sito funzioni, comprese le funzioni importanti come moduli, accesso e ordini WooCommerce. Se è stato cambiato ramo PHP, chiedi conferma della compatibilità con WordPress, tema e plugin.
La correzione manca o non è chiaro se copra il server: chiedi al provider un aggiornamento urgente e una misura temporanea adeguata. Se non è possibile correggere subito un server esposto, le indicazioni di sicurezza raccomandano di valutare la limitazione dell’accesso pubblico fino alla correzione: concordala con chi gestisce l’hosting, perché può rendere il sito irraggiungibile.
Se gestisci direttamente il server
Coordina l’aggiornamento con chi cura il server e usa il pacchetto di sicurezza del sistema operativo o del vendor PHP. Prima di cambiare ramo, verifica compatibilità e disponibilità di un backup ripristinabile. Non copiare modifiche a file di configurazione trovate online come soluzione autonoma: le misure temporanee possono ridurre alcuni percorsi di attacco, ma non sostituiscono l’aggiornamento. Anche un WAF non equivale alla correzione PHP.
Nel lavoro su WordPress e WooCommerce partiamo dalla versione e dalla configurazione effettive del server, poi coordiniamo con il provider un aggiornamento compatibile e verifichiamo il sito dopo l’intervento. Per pianificare un controllo, consulta il servizio di sicurezza WordPress oppure contattaci.
Fonti: avviso e versioni corrette del progetto PHP · indicazioni WordPress.org · indicazioni ENISA.
