Edizione: Tech, Web Dev

Le patch PHP sono arrivate. Aggiornare WordPress non basta

PHP ha pubblicato le correzioni per due falle critiche: sono disponibili le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il problema può colpire anche siti con WordPress e plugin aggiornati.

21/10/2026

Che succede

Le correzioni per le due falle critiche di PHP sono disponibili dal 21 ottobre: le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Dopo il preavviso e le chiusure precauzionali di diversi servizi, c’è finalmente una patch da installare.

Il problema è sotto il sito: riguarda l’interprete che esegue il codice PHP, non un particolare plugin o CMS. Wiz ha dimostrato l’esecuzione di codice da remoto anche sulle immagini aggiornate di WordPress, Drupal e Joomla. Una richiesta senza autenticazione può quindi colpire un’applicazione il cui pannello dice che è tutto aggiornato.

PHP e CERT-EU chiedono di aggiornare le installazioni che ricevono richieste web. Le distribuzioni Linux possono fornire le correzioni nei propri pacchetti, anche senza adottare quei numeri di versione. Le regole di un firewall possono ridurre l’esposizione ad alcune tecniche, ma non sostituiscono la patch del motore.

Perché conta

WordPress può risultare aggiornato mentre il PHP che lo fa funzionare è ancora vulnerabile. Le prove di Wiz su CMS all’ultima versione mettono a fuoco il livello da correggere: questa volta l’aggiornamento decisivo passa dall’hosting.

Leggi le fonti

PHP — advisory e versioni corrette Wiz Research — PHP2Shell CERT-EU — Critical Vulnerabilities in PHP

Vuoi sapere di più su pillole come questa?

Nella stessa edizione

Tech