Emergenza PHP2Shell, Fase 2: Perché Aggiornare i Plugin di WordPress Non Basta (e il Pericolo dei Siti su PHP 7.4 e 8.1)

A 24 ore dallo scoppio del caso PHP2Shell (le falle critiche CVE-2026-109618 e CVE-2026-109619 con gravità CVSS 9.2), anche il CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale ha diramato l'allerta ufficiale mentre le scansioni automatiche dei bot sono entrate nel vivo. Mentre la PHP Foundation ha rilasciato le patch d'emergenza, sta emergendo un problema enorme per le PMI italiane: moltissimi imprenditori credono di essere al sicuro perché hanno aggiornato i plugin di WordPress, oppure scoprono che il proprio sito gira ancora su versioni di PHP (7.4, 8.0 o 8.1) ormai fuori supporto. Vediamo quali sono le versioni realmente sicure e quando conviene intervenire sul codice o rinnovare il sito.

Il falso senso di sicurezza: perché aggiornare WordPress dalla bacheca non basta

Dopo il nostro approfondimento di ieri sui siti andati offline per l'allarme PHP, molti titolari d'azienda sono entrati nel pannello di amministrazione del proprio sito WordPress e hanno cliccato su "Aggiorna plugin" o "Aggiorna tema", convinti di aver risolto il problema.

Purtroppo questo non protegge in alcun modo dalla vulnerabilità PHP2Shell. Il difetto tecnico risiede infatti nel motore di interpretazione di PHP sul server: una richiesta HTTP malevola può innescare l'esecuzione di codice da remoto prima ancora che WordPress, WooCommerce o il gestionale vengano avviati. Inoltre, anche sui server dedicati o VPS dove l'aggiornamento viene installato, se non vengono riavviati correttamente i processi (worker PHP-FPM o Apache), la versione vulnerabile rimane attiva in memoria.

Quali versioni di PHP sono sicure oggi (e il problema dei siti su PHP 7.4, 8.0 e 8.1)

Il team di sicurezza di PHP ha rilasciato le versioni corrette ufficiali esclusivamente per i rami attualmente supportati:

• PHP 8.5 → sicuro solo dalla versione 8.5.12
• PHP 8.4 → sicuro solo dalla versione 8.4.27
• PHP 8.3 → sicuro solo dalla versione 8.3.36
• PHP 8.2 → sicuro solo dalla versione 8.2.35 (ramo ormai prossimo alla fine del supporto)

Ed ecco il vero nodo critico per le aziende italiane: PHP 8.1, PHP 8.0 e tutta la serie PHP 7.x (incluso il diffusissimo PHP 7.4) sono ufficialmente End-of-Life (fuori supporto) e non ricevono patch dirette dalla PHP Foundation. Eppure, la maggior parte dei siti aziendali realizzati tra il 2018 e il 2023 gira ancora proprio su PHP 7.4 o 8.0 perché il tema grafico o i plugin installati all'epoca non supportano le versioni più recenti.

Aggiornare il sito attuale o cogliere l'occasione per un restyling? Come scegliere

Di fronte a questa scadenza tecnica, ogni azienda si trova davanti a due strade concrete, a seconda dello stato del proprio sito o applicativo:

Caso 1: Sito o gestionale recente (realizzato negli ultimi 2-3 anni)

Se la base tecnica è sana, è possibile eseguire un intervento di adeguamento e messa in sicurezza: si effettua un backup completo, si verifica la compatibilità di temi, plugin o codice PHP custom in un ambiente di test, si correggono eventuali funzioni deprecate e si porta il server su PHP 8.3 o 8.4 patchato, configurando regole WAF di protezione senza alcun minuto di blocco per i visitatori.

Caso 2: Sito datato, lento o bloccato su PHP 7.4

Se il tuo sito web ha più di 4-5 anni, usa temi non più aggiornati e si rompe appena provi a passare a PHP 8.3, spendere budget per rattoppare decine di vecchi plugin non conviene più. È il momento strategico per richiedere un preventivo per la realizzazione di un nuovo sito web aziendale o per un software gestionale su misura: risolvi alla radice il problema della sicurezza e ottieni uno strumento veloce, posizionato su Google grazie alla SEO tecnica e progettato per generare richieste di preventivo.

Richiedi subito una verifica tecnica o un preventivo a NF Media Lab

Dalla nostra sede in provincia di Treviso (operativi a Castelfranco Veneto, Noale, Camposampiero, Padova, Venezia, Pordenone e in tutto il Nord Italia), in NF Media Lab affianchiamo le PMI sia negli interventi rapidi di messa in sicurezza e aggiornamento PHP, sia nel rifacimento completo di siti web, e-commerce e gestionali.

Non aspettare che il tuo sito vada in errore o venga bloccato dagli scanner automatici: richiedi ora un controllo tecnico o un preventivo gratuito oppure prenota direttamente una call di 30 minuti per analizzare insieme il sito della tua azienda.