Il 20 ottobre 2026 sono state rese pubbliche due gravi vulnerabilità di sicurezza che interessano PHP, uno dei linguaggi di programmazione più utilizzati per realizzare siti web e piattaforme e-commerce.
Gli aggiornamenti di sicurezza ufficiali sono stati rilasciati il giorno seguente. Poiché milioni di siti web in tutto il mondo si basano su PHP, l’annuncio ha comprensibilmente destato preoccupazione. Abbiamo ricevuto numerose richieste dai nostri clienti, che vogliono assicurarsi che il proprio sito web sia al sicuro.
Facciamo chiarezza su quello che è successo e sulle misure adotate da Register.it
Vulnerabilità crirtiche PHP. Cosa è successo
Quali rischi comportano queste vulnerabilità?
Vulnerabilità critiche PHP. Le misure messe in atto da Register.it
Register.it continua a monitorare la situazione
Il PHP è il linguaggio di programmazione alla base di moltissimi siti e applicazioni web, tra cui quelli realizzati con sistemi di gestione dei contenuti (CMS) molto diffusi come WordPress, Joomla e Drupal.
Il PHP consente, tra le altre cose, il funzionamento dei moduli di contatto, l’accesso degli utenti e l’elaborazione degli ordini nei negozi online.
Il 20 ottobre sono state rese pubbliche due vulnerabilità critiche di sicurezza. A entrambe è stato assegnato un punteggio di gravità pari a 9,2 su 10 secondo il sistema CVSS 4.0, uno standard internazionale utilizzato per valutare i rischi per la sicurezza.
Le vulnerabilità, identificate dai codici CVE-2026-109618 e CVE-2026-109619, riguardano la gestione interna della memoria da parte di PHP.
In determinate condizioni, gli errori nella gestione della memoria possono causare comportamenti imprevisti di PHP. Nel peggiore dei casi, un malintenzionato potrebbe sfruttare queste vulnerabilità per eseguire codice non autorizzato su un server vulnerabile.
Questa possibilità è nota come Remote Code Execution (RCE), ovvero esecuzione di codice da remoto.
Un attacco andato a buon fine potrebbe avere gravi conseguenze: gli aggressori potrebbero, ad esempio, modificare un sito web, installare software dannoso o sottrarre dati sensibili.
A seguito dell’identificazione di vulnerabilità critiche che interessano la tecnologia PHP, abbiamo attivato tempestivamente i nostri team tecnici e di cybersecurity per verificare le possibili esposizioni e adottare le necessarie misure di protezione sui servizi erogati.
Sono stati implementati interventi mirati di aggiornamento, mitigazione e rafforzamento della sicurezza, con particolare attenzione alla protezione dei dati, all’affidabilità dei servizi e alla continuità operativa.
Abbiamo effettuato interventi di aggiornamento e protezione sulle componenti tecnologiche interessate delle piattaforme Hosting Linux erogate attraverso cPanel, adottando misure mirate per rafforzare la sicurezza degli ambienti di hosting e delle relative funzionalità di gestione.
Abbiamo avviato interventi di aggiornamento e protezione sulle componenti tecnologiche interessate dei servizi Hosting Linux gestiti attraverso WePanel, con particolare attenzione agli ambienti di hosting e alle interfacce di amministrazione.
Abbiamo effettuato aggiornamenti di sicurezza sulle componenti tecnologiche interessate delle piattaforme Hosting Linux gestite attraverso Plesk, rafforzando la protezione degli ambienti di hosting e delle relative funzionalità di amministrazione.
Abbiamo effettuato interventi di aggiornamento e protezione sulle componenti tecnologiche interessate delle piattaforme Hosting Windows, rafforzando la sicurezza degli ambienti di erogazione e delle relative funzionalità di gestione.
Per i servizi WordPress gestiti, abbiamo implementato specifiche misure di mitigazione sulle componenti interessate delle piattaforme sotto la nostra gestione, rafforzando la protezione degli ambienti di amministrazione.
Abbiamo effettuato verifiche sulle componenti infrastrutturali e sulle piattaforme di gestione dei servizi, adottando gli aggiornamenti e le misure di protezione pertinenti alle componenti direttamente amministrate da noi.
Per gli ambienti software gestiti autonomamente dai clienti, resta applicabile il modello di responsabilità previsto dalle condizioni contrattuali dei singoli servizi.
Abbiamo effettuato interventi di aggiornamento della sicurezza sulle componenti applicative interessate delle piattaforme utilizzate per la ricerca, l’acquisto e la gestione commerciale dei domini.
Abbiamo implementato interventi di aggiornamento e mitigazione sulle componenti applicative interessate delle piattaforme Webmail, con l’obiettivo di rafforzare la sicurezza degli accessi e la protezione dei servizi.
Abbiamo adottato specifiche misure di protezione sulle componenti applicative interessate del processo di registrazione dei servizi PEC, rafforzando i controlli di sicurezza a tutela degli utenti.
Abbiamo effettuato interventi mirati di aggiornamento e rafforzamento della sicurezza su alcune piattaforme e interfacce di amministrazione dei servizi, adottando ulteriori misure di protezione sulle componenti interessate.
Abbiamo adottato specifiche misure di sicurezza e contenimento sulle componenti applicative interessate delle piattaforme dedicate alla creazione e gestione dei siti web, intervenendo sulle funzionalità potenzialmente esposte per prevenire lo sfruttamento delle vulnerabilità identificate.
Abbiamo effettuato interventi di aggiornamento, mitigazione e rafforzamento della sicurezza sulle componenti interessate dei nostri siti istituzionali e delle piattaforme applicative utilizzate per l’accesso, l’acquisto e la gestione dei servizi.
La sicurezza dei servizi e la protezione dei dati dei nostri clienti rappresentano una priorità costante.
Negli ultimi giorni, diversi team hanno lavorato senza sosta per affrontare queste vulnerabilità critiche di PHP nel minor tempo possibile.
Continuiamo a monitorare l’evoluzione delle vulnerabilità e l’efficacia delle misure adottate, intervenendo sulle componenti interessate per mantenere elevati standard di protezione, affidabilità e continuità operativa.
CISO Southern Europe team.blue. Si occupa di Sviluppo, implementazione e mantenimento di politiche e programmi di gestione della compliance e della sicurezza aziendale.
Dalla lead generation alla gestione dei clienti: scopri come trasformare l'app di messaggistica più diffusa al mondo in un canale…
Comparire su Google non è questione di fortuna. Con alcune semplici abitudini, motori di ricerca e lettori capiscono meglio il…
Presentata la domanda a ICANN nell'ambito del New gTLD Program 2026. L'obiettivo è creare un'infrastruttura digitale territoriale di fiducia per…
ICANN ha ricevuto una candidatura per liberalizzare dominio .lan. Ecco cosa potrebbe cambiare e quali sono i rischi per le…
Il 13 e 14 novembre 2026 torna il WordCamp Pisa, l'evento dedicato alla community WordPress. Anche quest'anno Register.it sarà presente…
Un'estensione pensata per startup, aziende innovative e progetti digitali. Scopri i vantaggi del dominio .tech, le differenze con .ai e…
Il sito utilizza cookie di profilazione propri e di terze parti. Se prosegui nella navigazione selezionando un elemento del sito, acconsenti all'uso dei cookie.
APPROFONDISCI