Patch PHP del 21 ottobre: come gestire un sito temporaneamente offline

25 Ottobre 2026 · Novità

Il 21 ottobre 2026 il progetto PHP, che sviluppa il linguaggio con cui funzionano molti siti sul server, ha annunciato aggiornamenti per due falle critiche. Possono consentire a un attaccante di eseguire comandi sul server senza credenziali di accesso. Per un fermo urgente di uno o due giorni, Google Search Central, la documentazione di Google per chi gestisce siti, indica il codice di risposta 503, che segnala un servizio temporaneamente non disponibile.

Le versioni da controllare con il tecnico

Aggiornare il programma con cui gestisci i contenuti, per esempio WordPress, di norma non aggiorna PHP. Se ne occupa il tecnico che amministra il server. Le falle hanno i codici CVE-2026-109618 e CVE-2026-109619; CVE è il sistema che identifica le falle conosciute.

Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Ogni serie riceve il proprio aggiornamento: per PHP 8.3.30 serve la 8.3.36. PHP raccomanda di aggiornare subito. Alcuni fornitori del sistema operativo applicano le correzioni senza cambiare il numero di versione. Chiedi conferma che entrambe le falle siano chiuse.

PHP 8.1 e le serie precedenti non ricevono più aggiornamenti ordinari dal progetto PHP. Il tecnico deve valutare il passaggio a una serie supportata o documentare le correzioni del proprio fornitore. PHP 8.2 riceve correzioni di sicurezza fino al 31 dicembre 2026.

Il 23 ottobre PHP ha pubblicato un secondo avviso, su una terza falla legata alla funzione che mostra l’avanzamento dei caricamenti di file. Si verifica solo con una combinazione poco comune di configurazione e codice del sito, e PHP suggerisce di disattivare quella funzione fino al prossimo rilascio ordinario. Chiedi al tecnico di verificarla prima di dichiarare concluso l’intervento.

Il rischio riguarda ogni installazione PHP che serve pagine web, non solo i siti più grandi. Secondo PHP non esistono misure che chiudano del tutto le falle: l’unica scelta sicura è aggiornare.

Quando serve il 503

Google sconsiglia la chiusura totale, considerandola una misura estrema da tenere per pochi giorni al massimo. Per un fermo dovuto all’attività, suggerisce di tenere il sito online limitando alcune funzioni. Con questa falla non basta: ogni pagina servita da PHP resta raggiungibile dall’attaccante. Chiedi al tecnico se il fermo serve davvero e quali pagine possono restare online perché sono file statici.

Ogni risposta del server ha un numero, il codice HTTP. Il 200 indica che la richiesta è riuscita; il 503 segnala un’indisponibilità temporanea. Una pagina “in manutenzione” che risponde 200 non comunica il fermo a Google e può essere trattata come contenuto da indicizzare o come errore, secondo ciò che contiene.

Per il fermo urgente di uno o due giorni, il tecnico deve controllare che le pagine sostituite dall’avviso, incluse quelle dei prodotti, rispondano 503. Google indica di usare una pagina in HTML statico, che non esegue PHP, e l’intestazione Retry-After, con una data o una durata indicativa del ritorno online. Deve restare raggiungibile robots.txt, il file con le istruzioni ai motori, senza risposta 503 né blocco totale della scansione.

Per proteggere il server, il fermo deve impedire alle richieste di raggiungere il PHP vulnerabile. Il solo messaggio di manutenzione non protegge il server.

Il 503 rientra fra gli errori del server. Quando persistono, Google rallenta la scansione e può togliere le pagine dall’indice, l’insieme dei contenuti disponibili per i risultati. Per fermi oltre uno o due giorni Google suggerisce una pagina iniziale indicizzabile con risposta 200.

Alla riapertura, una richiesta di prova

Un produttore italiano di tessuti riceve richieste sui materiali dal sito. Prima del fermo, il commerciale concorda il recapito da mostrare ai clienti e l’orario previsto di riapertura.

Alla riapertura, il tecnico controlla che le pagine tornino a rispondere 200 e che la pagina d’avviso con il 503 sia stata tolta ovunque. Il commerciale invia una richiesta dal modulo e controlla che arrivi al destinatario previsto, anche con un allegato come la scheda tecnica di un materiale.

Nei giorni successivi il tecnico cerca errori di scansione in Search Console, lo strumento con cui Google li segnala.

Domande frequenti

Devo passare a una serie di PHP più recente?

Dipende dalla versione. Per le quattro serie elencate esiste un aggiornamento nella stessa serie; con PHP 8.1 o precedenti occorre valutare il passaggio o documentare le correzioni del fornitore. Anche con PHP 8.2 conviene programmarlo: le correzioni di sicurezza finiscono il 31 dicembre 2026.

Il 503 corregge le falle?

No, comunica il fermo. La correzione va applicata a PHP sul server.

Fermare il sito fa perdere posizioni su Google?

Per uno o due giorni Google indica il 503, ma non garantisce che le posizioni restino invariate. Una chiusura totale può incidere sulle ricerche e il rischio cresce con la durata.

Se alla riapertura emerge che pagine e moduli vanno rivisti, KLC se ne occupa con il servizio di realizzazione siti web B2B, pensato per far arrivare al commerciale richieste con le informazioni necessarie a rispondere.

Fonti e riferimenti

• PHP, avviso di sicurezza del 21 ottobre 2026. Due falle, ambito e versioni corrette.
• PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. Annunci delle versioni di sicurezza.
• PHP 8 ChangeLog. Correzioni datate 22 ottobre, riferimenti GHSA.
• PHP, Informational advisory: Session upload progress, 23 ottobre. Configurazione rara da controllare.
• PHP, Unsupported Branches e Supported Versions. Fine supporto e scadenza per PHP 8.2.
• Google Search Central, Temporarily pause or disable a website. Fermo, 503, Retry-After e robots.txt.
• Google, How HTTP status codes affect Google’s crawlers. Codici 200 e 503, scansione, indice e Search Console.

Approfondisci il servizio: Siti web B2B.