Il sito che hai fatto fare anni fa è un programma. Chi lo aggiorna?

Il 21 ottobre PHP ha corretto due falle che permettono di eseguire comandi su un server da remoto, senza password. Ci gira sopra anche WordPress.

Se il sito della tua azienda l'hai fatto fare qualche anno fa, è facile che stia lì sopra. PHP è il linguaggio del 69,2% dei siti di cui si conosce la tecnologia, e WordPress da solo muove il 39,6% di tutti i siti del mondo (W3Techs, dati del 27 ottobre 2026).

Un sito è un programma

Molti lo trattano come un volantino: fatto una volta, pagato, dimenticato. Ma un sito è un programma che gira su un computer acceso giorno e notte, e va aggiornato come il gestionale.

Questa volta l'aggiornamento era urgente. Gli sviluppatori di PHP hanno dato alle due falle un voto di gravità di 9,2 su 10 e hanno scritto che aggiornare è «l'unica scelta sicura».

C'è anche un'altra parte da dire: l'avviso ufficiale non parla di attacchi confermati. Nei giorni dopo, le società che sorvegliano internet hanno visto tentativi di attacco, e non sono d'accordo su quanti attacchi veri ci siano stati. Quando le fonti non concordano, conviene comportarsi come se ci fossero.

Le versioni (per chi segue il sito)

Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. La 8.2 dal 31 dicembre non riceverà più correzioni.

Il problema più grosso sono i siti ancora più vecchi. Sempre secondo W3Techs, più di un sito PHP su tre gira sulla versione 7 o precedenti, che da anni non ricevono aggiornamenti regolari. Per quei siti non c'è niente da installare: il sito va spostato o rifatto.

Le tre domande da fare

Questi numeri li lasci a chi segue il sito. A lui fai tre domande:

1. Che versione di PHP gira? La risposta buona è un numero preciso, non un «controllo e ti dico».
2. Chi la aggiorna, e quando l'ha fatto l'ultima volta? Vale anche per WordPress e per i plugin.
3. Chi ha le chiavi del server, del dominio e del pannello? Se le ha solo l'agenzia di cinque anni fa, il sito di fatto non è tuo.

Se non hai nessuno a cui chiedere, guarda nel pannello del tuo hosting: quasi sempre c'è una voce «Versione PHP». Se il numero comincia con 5 o con 7, oppure è 8.0 o 8.1, il sito va sistemato presto.

Se nessuno sa rispondere, la prima cosa da sistemare è quella, prima di qualsiasi progetto di AI.

Come faccio io

Il mio sito non gira su PHP, ma lo tratto allo stesso modo: riceve una o due modifiche a settimana e so sempre chi ha toccato cosa, e quando.

Se hai un WordPress che funziona e ti porta clienti, spesso la strada giusta è tenerlo e trovare qualcuno che lo segua davvero, con un accordo chiaro su chi aggiorna e ogni quanto.

Per molte piccole attività, però, il sito serve a dire chi sono, dove sono, quando sono aperte e come contattarle. Per questo bastano pagine già pronte.

Presentio Siti Vetrina

Per queste attività, con due sviluppatori, ho costruito Presentio Siti Vetrina. Le pagine vengono preparate prima e messe online già pronte: quando un cliente apre il sito, il server non deve far girare nessun programma per costruirle. Una falla come quella di ottobre, su un sito fatto così, non ha da dove entrare.

E risponde da solo alle tre domande di prima:

• Chi lo aggiorna? Orari, prezzi e foto li cambi tu, con una password, quando vuoi. Se preferisci non pensarci, le modifiche le facciamo noi.
• Chi ha le chiavi? Tu: dominio e contenuti sono intestati a te. Se il dominio non ce l'hai, lo registriamo a tuo nome.
• Quanto ci vuole? Prima vedi la bozza della prima pagina, e se non ti convince non paghi niente. Se va bene, il sito è pronto in poche ore e si pubblica sul tuo dominio.

Il prezzo è scritto sul sito, senza doverlo chiedere, e non ci sono vincoli di durata. È pensato per negozi, ristoranti, officine, rifugi, strutture ricettive e liberi professionisti: chi ha un sito fermo da anni e chi un sito non l'ha mai avuto.

Su presentio.it c'è anche una prova da fare dal telefono, in un minuto: si legge senza ingrandire? C'è il lucchetto accanto all'indirizzo? In fondo alla pagina c'è l'anno in corso? Se una risposta è no, il tuo sito ti sta dicendo qualcosa.

In pratica

Questa settimana fai le tre domande a chi segue il tuo sito. Se le risposte arrivano chiare, sei a posto. Se non arrivano, mandaci l'indirizzo del tuo sito su presentio.it: ti rispondiamo in poche righe, senza impegno, e se il sito non ce l'hai ti facciamo una proposta. Se invece vuoi partire da come lavora tutta l'azienda, parliamone, 30 minuti gratis.

Fonti: avvisi ufficiali su php.net del 20 e 21 ottobre 2026; W3Techs, statistiche su PHP e WordPress del 27 ottobre 2026; Censys, The Hacker News e watchTowr per lo stato degli attacchi nei giorni successivi.