Sono state scoperte due vulnerabilità gravissime in PHP, il linguaggio di programmazione che fa funzionare circa il 70% dei siti web del mondo, compresi moltissimi siti costruiti con CMS come WordPress. Le due falle, identificate come CVE-2026-109618 e CVE-2026-109619, sono state individuate grazie a modelli avanzati di intelligenza artificiale di OpenAI e hanno ricevuto un punteggio di gravità di 9,2 su 10: un valore quasi massimo, perché permettono a un attaccante di eseguire codice da remoto e prendere il controllo completo di un server.
Perché i siti istituzionali si spengono
Il sito di AgID, come quelli di altre agenzie governative europee (in Olanda, ad esempio, sono finiti offline DigiD, MijnOverheid e RTL), non è stato violato: è stato messo “in manutenzione” proprio per evitare che lo fosse, nel tempo necessario ad applicare la patch correttiva. La responsabilità di un ente che gestisce dati personali tramite un sistema vulnerabile non viene meno per il solo fatto che la falla sia di dominio pubblico e ampiamente comunicata dalle autorità. Al contrario, la mancata tempestiva applicazione di una patch nota e raccomandata da CERT-AGID potrebbe essere valutata, in sede di eventuale violazione di dati personali, come elemento aggravante nella determinazione della responsabilità e della relativa sanzione da parte del Garante privacy. È una misura prudente, non un segnale di allarme per chi visita il sito web. Nel frattempo CERT-AgID ha già diffuso strumenti pratici per verificare l’esposizione dei propri sistemi a questa vulnerabilità, a supporto dei tecnici della pubblica amministrazione.
Cosa fare se gestisci un sito web
Se amministri un sito, incluso un sito WordPress o qualunque CMS basato su PHP, agisci subito a livello di server:
- Aggiorna immediatamente PHP a una delle versioni corrette: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Attenzione: aggiornare solo il CMS o i plugin non basta, perché la falla è nell’interprete PHP stesso.
- Verifica o attiva un Web Application Firewall (WAF): servizi come Cloudflare stanno già bloccando milioni di tentativi di attacco automatizzati legati a questa falla; assicurati che le regole del tuo WAF siano aggiornate contro i vettori PHP2Shell.
- Se non puoi aggiornare subito, valuta lo spegnimento temporaneo del sito in modalità manutenzione, piuttosto che lasciarlo esposto.
Cosa fare come utente o cittadino
La falla riguarda l’infrastruttura dei siti, non il tuo computer o smartphone: non devi installare nulla. Ma vale la pena di:
- Avere pazienza con i servizi temporaneamente irraggiungibili — banche, PA, portali istituzionali: significa che stanno lavorando per mettersi in sicurezza, non che c’è un problema con il tuo account.
- Diffidare di email o SMS che in questi giorni sfruttano il pretesto del “blocco dei sistemi” o degli “aggiornamenti di sicurezza” per rubare credenziali: è un classico schema di phishing che prolifera proprio nei momenti di caos informativo come questo.
- Monitorare i propri account nei prossimi giorni, controllando eventuali attività anomale sulle piattaforme che usi abitualmente.
Cosa consiglia Servicematica
Agli studi legali che gestiscono un proprio sito o un portale clienti, consigliamo di verificare subito con il proprio fornitore tecnico quale versione di PHP è in uso e se è già stato applicato l’aggiornamento: è un controllo che richiede pochi minuti ma che fa la differenza tra essere protetti o esposti. In caso di dubbio, meglio sospendere temporaneamente l’accesso pubblico al sito piuttosto che rischiare una violazione dei dati dei clienti, con le conseenti implicazioni in termini di notifica al Garante privacy. Chi ha bisogno di supporto per questa verifica può contattarci: siamo a disposizione per un controllo rapido della propria esposizione al rischio.
Articoli simili
Il cliente mente sui redditi? L’avvocato non deve fare il detective fiscale
Una decisione del CNF ridisegna il confine tra il dovere informativo del difensore e gli accertamenti che spettano all'Amministrazione
La Prima sezione penale della Cassazione annulla ancora una volta le sentenze sui cinque poliziotti coinvolti nell’espulsione forzata della moglie del dissidente kazako Ablyazov: per…
Il provvedimento n. 745 del 7 ottobre 2026 sanziona l’Agenzia per l’Italia Digitale per aver lasciato pubblicati sul proprio sito nomi e punteggi di quindici…
