Aggiornamento critico PHP del 21 ottobre: cosa fare

Il team di PHP ha annunciato per mercoledì 21 ottobre 2026, alle 14:00 UTC (le 16:00 in Italia), un aggiornamento di sicurezza critico per PHP, il linguaggio su cui girano Magento, Adobe Commerce, Mage-OS, WooCommerce e moltissimi altri negozi online. Corregge due vulnerabilità con punteggio 9,2 su 10. Dettagli e versioni corrette saranno pubblicati insieme alla release. Il punto che conta: la correzione si applica sul server, non nel codice del tuo negozio.

Cosa sappiamo finora

Ciò che il team di PHP ha comunicato sul proprio sito ufficiale:

• due vulnerabilità critiche, entrambe con punteggio 9,2 su 10 (CVSS v4.0);
• release annunciata per il 21 ottobre alle 14:00 UTC, anticipabile se i dettagli diventano pubblici o compaiono attacchi in corso;
• chi usa PHP è invitato a prepararsi in anticipo, per aggiornare appena la release esce.

Secondo le informazioni reperite sul web, ancora da confermare con l'annuncio ufficiale, i dettagli sono trapelati il 20 ottobre, si tratterebbe di vulnerabilità che permettono di eseguire codice sul server a distanza e riguarderebbero tutte le versioni di PHP dalla 5.4 in poi. Alcuni ricercatori di sicurezza temono attacchi di massa subito dopo la pubblicazione.

Cosa significa per il tuo negozio

Se il negozio gira su PHP, questa correzione riguarda anche te. E non si risolve aggiornando il negozio: va installata sul server dove gira PHP. Per questo la domanda giusta è: chi gestisce il mio server?

• Hosting gestito: chiedi subito al fornitore se applicherà l'aggiornamento appena esce e quando.
• Server tuo o dedicato: serve chi lo amministra, il tuo sistemista oppure io con il servizio di manutenzione.
• Cloud gestito: chiedi al fornitore come e quando applicherà l'aggiornamento.

Cosa fare, in ordine

1. Scrivi subito al tuo hosting e chiedi di tenersi pronti ad applicare l'aggiornamento PHP appena viene pubblicato.
2. Controlla la versione di PHP che usa il tuo negozio (te lo dice l'hosting o chi lo cura).
3. Alla pubblicazione leggi l'annuncio su php.net: lì ci saranno le versioni corrette.
4. Fai applicare l'aggiornamento su tutti gli ambienti, anche quello di prova.
5. Verifica che il negozio funzioni: carrello, checkout, area clienti, amministrazione e attività in background.
6. Dopo l'aggiornamento tieni d'occhio i segnali anomali, come file o accessi insoliti.

Se usi una versione di PHP vecchia

Sempre secondo le informazioni reperite sul web, PHP supporta ufficialmente solo la versione 8.2 e successive: per la 8.1 e le precedenti non è prevista una correzione ufficiale. In quel caso conviene chiedere al fornitore di applicare la correzione alla tua versione oppure passare a una versione supportata, dopo aver verificato che il tuo negozio sia compatibile. È un passaggio da pianificare, non da improvvisare: se il negozio è su una versione di Magento vecchia, può essere il momento di guardare replatforming e migrazioni.

La cronologia

Aggiornamenti di sicurezza senza pensieri

Dopo la patch Adobe del 13 ottobre arriva un'altra correzione critica. Seguire gli avvisi, coordinare l'hosting, provare gli aggiornamenti e verificare il negozio è un lavoro ricorrente: con il servizio di manutenzione e supporto me ne occupo io.

Vuoi sapere se il tuo negozio e il tuo server sono pronti? Richiedi un audit di sicurezza e un preventivo gratuito.

Articolo informativo, scritto il 21 ottobre 2026 prima della pubblicazione della release: versioni corrette e dettagli sono quelli dell'annuncio ufficiale su php.net, da consultare per primi. La situazione è in evoluzione e le informazioni non ufficiali possono cambiare.