Hai un sito WordPress? Ecco cosa devi fare
Se il tuo sito WordPress è su un normale piano di hosting gestito Hostinger, probabilmente non devi installare nulla. Hostinger afferma di avere già applicato automaticamente la correzione ai propri server gestiti.
Devi soltanto verificare che la correzione sia presente. Se invece il sito gira su un VPS, un server tuo o un hosting che non gestisce gli aggiornamenti PHP, devi chiedere subito al tecnico di aggiornare PHP.
Risposta veloce
Hosting Hostinger gestito: la protezione è automatica. Controlla soltanto il Build Date.
VPS o server gestito da te: aggiorna PHP e riavvia il servizio.
Non sai quale dei due usi? Chiedi al fornitore: “Il mio PHP è già protetto da CVE-2026-109618 e CVE-2026-109619?”.
Come controllare la protezione su Hostinger
- Entra nel pannello hPanel.
- Apri Siti web.
- Seleziona il sito e apri Dashboard.
- Apri la sezione PHP Info.
- Cerca il campo Build Date.
Se la data è 21 ottobre 2026 o successiva, Hostinger indica che la correzione è presente. Hai finito: non devi cambiare versione PHP soltanto per questo problema.
Se non trovi PHP Info, non vedi il Build Date oppure la data è precedente, apri una richiesta al supporto Hostinger e chiedi una conferma scritta. Non modificare impostazioni a caso.
Devo passare da PHP 8.4 a PHP 8.5?
No, non è obbligatorio. Se Hostinger ha applicato la build corretta, puoi lasciare PHP 8.4. Il passaggio a PHP 8.5 è un aggiornamento separato e va fatto soltanto dopo aver verificato che tema, plugin e codice del sito siano compatibili.
In altre parole: prima risolvi il problema di sicurezza, poi valuti con calma il cambio di versione. Non fare entrambi insieme senza un backup e un test, perché il sito potrebbe smettere di funzionare.
Se hai un VPS o un server tuo
In questo caso Hostinger o un altro provider ti forniscono il server, ma non necessariamente aggiornano PHP al posto tuo. Contatta chi gestisce il VPS e chiedi di installare una delle versioni corrette:
- PHP 8.5.12 o successiva;
- PHP 8.4.27 o successiva;
- PHP 8.3.36 o successiva;
- PHP 8.2.35 o successiva.
Dopo l’aggiornamento bisogna riavviare PHP e verificare che WordPress, WooCommerce, moduli di pagamento e form funzionino correttamente. Se non sai eseguire questi passaggi, non improvvisare sul server di produzione.
Controllo semplice per WordPress e WooCommerce
- Controlla che il backup sia recente.
- Verifica il Build Date o la versione PHP corretta.
- Aggiorna WordPress, tema e plugin come normale manutenzione.
- Controlla che non siano comparsi utenti amministratori sconosciuti.
- Prova login, form, acquisti e pagamenti dopo l’intervento.
Perché aggiornare WordPress non basta?
Il problema non si trova dentro WordPress ma nel software PHP usato dal server per eseguirlo. Per questo puoi avere WordPress e tutti i plugin aggiornati ma utilizzare ancora una build PHP vulnerabile.
Il progetto PHP ha pubblicato le correzioni il 21 ottobre 2026 per due vulnerabilità critiche chiamate CVE-2026-109618 e CVE-2026-109619. Le regole firewall aiutano a bloccare gli attacchi conosciuti, ma la correzione PHP risolve il problema alla base.
Come può intervenire Agentix
Se non sai distinguere un hosting gestito da un VPS, Agentix può controllarlo per te. Verifichiamo build PHP, backup, aggiornamenti e funzionamento del sito senza proporti un cambio di piattaforma non necessario.
Per applicazioni custom analizziamo anche runtime Node.js, container, pipeline di rilascio e gestione dei segreti. Vedi anche la guida sulla vulnerabilità Node.js e la procedura per ruotare API key e variabili d’ambiente.
Domande frequenti
WordPress è vulnerabile a PHP2Shell?
La vulnerabilità si trova nel runtime PHP, non nel core di WordPress. Un sito WordPress, WooCommerce o Magento può quindi essere esposto se il server usa una build PHP non corretta. Aggiornare soltanto CMS, tema e plugin non risolve queste due falle.
Devo passare da PHP 8.4 a PHP 8.5?
Non necessariamente. PHP 8.4.27 contiene la correzione, così come PHP 8.5.12, 8.3.36 e 8.2.35. Il cambio di ramo va valutato dopo aver controllato la compatibilità del sito.
Come verifico la correzione su Hostinger?
Per l’hosting gestito, Hostinger indica di aprire hPanel, Siti web, Dashboard, PHP Info e controllare che il Build Date sia 21 ottobre 2026 o successivo. Sui VPS amministrati dal cliente occorre invece aggiornare e riavviare PHP.