In breve. La maggior parte dei piccoli siti web funziona grazie a un programma che si chiama PHP. Pensatelo come il motore che sta sotto il cofano. Il 21 ottobre 2026 sono state scoperte due gravi falle in quel motore. Le falle permettono a uno sconosciuto di ingannare un sito web e fargli eseguire il suo codice, senza mai effettuare l'accesso. Le correzioni sono uscite lo stesso giorno, ma solo per le versioni ancora seguite. Se il vostro sito usa PHP 8.1 o una versione più vecchia, chi lo ha creato ha smesso di correggerlo, quindi per la vostra versione non esiste nessuna correzione. Molti siti di B&B sono esattamente in questa situazione: costruiti anni fa, funzionano bene e da allora nessuno li ha più guardati. Scrivete il vostro indirizzo web nel controllo gratuito qui sotto e in pochi secondi saprete da che parte della linea vi trovate.
Per questo controllo non serve conoscere nessun numero di versione. Scrivete l'indirizzo del vostro sito, premete il pulsante e in pochi secondi avrete una risposta chiara: se le falle di ottobre 2026 riguardano il vostro sito e cosa fare. Il controllo guarda solo le informazioni che il vostro sito mostra già a chiunque lo visiti. Non si installa nulla sul vostro sito e non conserviamo il vostro indirizzo.
Il risultato apparirà qui.
Alcuni siti tengono nascosto il numero della versione. Se il vostro è uno di questi, il controllo ve lo dirà, e il controllo in due minuti qui sopra è la strada di riserva.
Se avete già trovato il numero della vostra versione, sceglietela qui. Vedrete subito se è ancora seguita, se la correzione di ottobre 2026 vi copre e cosa fare adesso.
Selezionare la versione qui sopra: il risultato apparirà qui.
PHP è il motore che fa funzionare WordPress e la maggior parte dei siti delle piccole imprese. Il 21 ottobre 2026 il team che si occupa di PHP ha annunciato due gravi falle al suo interno. Le falle sono registrate con i numeri di riferimento CVE-2026-109618 e CVE-2026-109619, e insieme sono state soprannominate php2shell. Ciascuna ha un punteggio di gravità di 9,2 su 10, cioè quasi il massimo della scala. In parole semplici, ognuna delle due può permettere a uno sconosciuto di inviare al vostro sito un messaggio costruito con cura e di far eseguire il suo codice dal computer che sta dietro. Non gli serve nessuna password. Nel caso peggiore descritto dal team PHP, può succedere prima ancora che il codice del vostro sito si svegli.
Le correzioni sono state pubblicate lo stesso giorno, in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il consiglio del team PHP è netto: non esiste nessuna soluzione alternativa che protegga del tutto, e aggiornare è l'unica mossa sicura.
Due cose contano, se il vostro sito non è nuovo. Primo: una correzione esiste solo per le versioni ancora seguite. L'annuncio dice chiaramente che PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal team PHP. Secondo: il team ha fatto una cosa insolita. Per chi si costruisce PHP da solo, partendo dal suo codice grezzo, ha pubblicato anche piccole correzioni per PHP 7.4, 8.0 e 8.1. Questo vi dice quanto è grave la cosa. Un normale account di hosting non riceve quelle correzioni da solo: ecco perché controllare la propria versione è importante.
Ogni versione di PHP riceve due anni di attenzione completa. Poi ne riceve altri due, in cui vengono corrette solo le falle di sicurezza. Dopo arriva a quello che i tecnici chiamano fine del supporto. In parole semplici, chi l'ha creata ha smesso di correggerla, un po' come un telefono che non riceve più aggiornamenti. La versione non smette di funzionare. Il giorno dopo, il vostro sito ha esattamente lo stesso aspetto. Semplicemente, smette di diventare più sicuro.
| Versione PHP | Situazione a ottobre 2026 | Le correzioni di sicurezza finiscono |
|---|---|---|
| 8.5 | Supporto completo | 31 dicembre 2029 |
| 8.4 | Supporto completo | 31 dicembre 2028 |
| 8.3 | Solo correzioni di sicurezza | 31 dicembre 2027 |
| 8.2 | Solo correzioni di sicurezza, e il tempo è quasi finito | 31 dicembre 2026 |
| 8.1 e versioni precedenti, incluso tutto PHP 7 | Fine del supporto: nessuno la corregge più | Già finite |
Molti siti di piccole strutture ricettive, B&B, agriturismi e affittacamere, usano ancora PHP 7.4, 8.0 o 8.1. Nessuno ha fatto niente di sbagliato. Il sito è stato costruito, funzionava, le prenotazioni arrivavano, e non c'è mai stato un motivo per riaprire il pannello di controllo dell'hosting. Le società di hosting non sempre vi spostano da sole su una versione più recente. Un salto di versione può rompere un sito vecchio, e preferiscono lasciare in pace un sito che funziona piuttosto che romperlo in silenzio. Il risultato è un sito che all'apparenza è a posto, ma che in realtà ha superato da anni la sua ultima correzione di sicurezza.
Se il sito usa WordPress (come la maggior parte dei siti di B&B), ecco dove si nasconde il numero della versione:
Se il sito non è su WordPress, o non riuscite ad accedere:
Ora confrontate il vostro numero con la tabella qui sopra. Con la 8.2, per ora la correzione ce l'avete, ma il tempo passa: le correzioni per la 8.2 si fermano il 31 dicembre 2026. Con la 8.1 o una versione inferiore, la vostra versione è oltre la fine, e il resto di questa pagina parla delle vostre opzioni.
Prima di tutto, mantenete le proporzioni. Una versione vecchia non significa che il sito sia stato violato, e nessuno sta prendendo di mira la vostra struttura per nome. Il rischio funziona così. Quando una falla viene annunciata, i dettagli vengono pubblicati perché tutti li possano leggere. Da quel momento, dei computer vanno in cerca dei siti web che hanno ancora quella falla, in automatico, giorno e notte. Una versione vecchia significa che ogni falla scoperta d'ora in avanti resta aperta sul vostro sito per sempre, comprese le due di questo mese, in cui all'aggressore non serve nemmeno una password.
Se qualcuno riesce a entrare, di solito i risultati sono banali più che drammatici: le vostre pagine modificate o dirottate verso siti di spam, pagine spazzatura nascoste sotto il vostro indirizzo web, oppure il vostro account di hosting usato per inviare email di spam. Quest'ultimo caso può far finire il vostro indirizzo nelle liste nere, così le richieste di prenotazione iniziano a finire nelle cartelle di posta indesiderata degli ospiti. E il sito di un B&B non è solo un opuscolo. I moduli di richiesta custodiscono nomi, date e recapiti degli ospiti. Se il vostro sistema di prenotazione funziona come un plugin, cioè un piccolo componente aggiuntivo dentro il sito, dietro lo stesso motore sta anche il percorso di prenotazione stesso. È questa la parte della vostra attività che il numero di versione, in silenzio, sta sorvegliando.
1. Salire a una versione PHP più recente, lì dove il sito si trova. È la risposta giusta per la maggior parte dei siti, ed è spesso gratuita: il vostro hosting gira un interruttore e il sito continua a funzionare. Conviene se i pezzi che compongono il vostro sito, il tema e i componenti aggiuntivi (i plugin), sono ancora seguiti da chi li ha creati. L'unico rischio reale è che un componente aggiuntivo scritto per PHP 7 si rompa su PHP 8. Quindi fate le cose nell'ordine sicuro: prima un backup completo, poi il cambio, poi una passeggiata pagina per pagina nel sito e nel percorso di prenotazione. Chiedete al vostro hosting di farlo, o di provarlo prima su una copia di prova, e mettetevi d'accordo in anticipo che, se qualcosa si rompe, vi riporta alla versione precedente. Un aggiornamento fatto con cura che va storto vi costa un pomeriggio. Restare su una versione senza correzioni oggi non costa nulla e porta con sé il rischio ogni giorno da qui in avanti.
2. Tenere il sito, e mettere le correzioni nel calendario di qualcun altro. Se il sito rende e semplicemente non volete mai aprire l'area di amministrazione, pagare qualcuno perché se ne occupi è una risposta onesta: tiene aggiornati WordPress, il tema, i componenti aggiuntivi e la versione PHP al posto vostro, e dopo controlla il sito. Conviene ai proprietari il cui sito è solido, ma la cui attenzione è altrove. Il problema delle versioni raramente è un problema di conoscenza. È un problema del fatto che l'intervento non è compito di nessuno. Questa strada dà al lavoro un responsabile.
3. Ricominciare con un sito costruito su misura. Se il controllo va male a ogni livello, un motore che nessuno corregge più, componenti aggiuntivi che chi li ha creati ha abbandonato, un design nato prima che la maggior parte degli ospiti prenotasse da telefono, allora ripararlo pezzo per pezzo può costare più che ricominciare. È la strada in cui lavoriamo noi. Costruiamo su misura il vostro sito di prenotazione diretta a un prezzo una tantum di £1.999, inserendoci dentro il vostro motore di prenotazione esistente. Come scriviamo nella nostra pagina sul channel manager: su WordPress, strumenti come un motore di prenotazione di solito arrivano come plugin, e un plugin è una cosa in più da aggiornare e tenere sicura. Un sito costruito su misura non ha template né page builder, e l'intera catena di manutenzione, WordPress, tema, plugin e versione PHP, semplicemente non è più una vostra preoccupazione. Consultate la nostra guida ai costi di un sito per B&B per confrontare la costruzione una tantum con i costi continuativi di piattaforme e manutenzione.
Se il sito usa WordPress, accedete all'area di amministrazione e andate in Strumenti, poi Salute del sito, poi la scheda Informazioni. Aprite la sezione Server e lì trovate la versione PHP. Se il sito non è su WordPress, accedete al pannello di controllo dell'hosting e cercate la selezione della versione PHP o MultiPHP Manager, che mostra la versione impostata per il sito. Se nessuna delle due strade funziona, ponete al vostro hosting una domanda: quale versione PHP usa il mio sito, ed è ancora seguita? Oppure usate il controllo gratuito di questa pagina: scrivete il vostro indirizzo web e vi dirà se la vostra versione si vede dall'esterno.
A ottobre 2026, le versioni PHP ancora seguite sono la 8.2, la 8.3, la 8.4 e la 8.5. La 8.2 è nel suo tratto finale, riceve solo correzioni di sicurezza, e arriva alla fine il 31 dicembre 2026. La 8.1 e tutto ciò che è più vecchio, incluso tutto PHP 7, hanno superato la fine: il team PHP non pubblica più correzioni di sicurezza per loro.
No. Una versione vecchia non significa che qualcuno sia entrato nel vostro sito. Significa che, quando viene annunciata una nuova falla, per la vostra versione non viene pubblicata alcuna correzione per la via normale. Le falle corrette il 21 ottobre 2026 sono un esempio concreto: le correzioni sono uscite per PHP da 8.2 a 8.5, mentre PHP 8.1 e le versioni precedenti non hanno ricevuto alcun rilascio ordinario. Trattatelo come un intervento da programmare, non come un incendio di cui farsi prendere dal panico, e programmatelo presto.
Può succedere, se il tema o i componenti aggiuntivi sono vecchi. Un componente aggiuntivo scritto per PHP 7 può rompersi su PHP 8: per questo gli aggiornamenti andrebbero fatti con un backup completo prima e, se potete, provati prima su una copia di prova. In pratica, la maggior parte degli hosting gira l'interruttore al posto vostro e lo rigira indietro se qualcosa si rompe. Il rischio di un aggiornamento fatto con cura è piccolo e di breve durata. Il rischio di restare su una versione senza correzioni non sparisce.
No. Quelle piattaforme funzionano sui loro sistemi, e le prenotazioni lì non ne risentono. Ciò che gira sul vostro PHP è il vostro sito: le vostre pagine, i vostri moduli di richiesta e, se il motore di prenotazione è un plugin di WordPress, il vostro percorso di prenotazione diretta. È la parte che vale la pena proteggere, perché è il canale in cui i dati dell'ospite arrivano direttamente a voi.
Di solito no. Se il sito WordPress per il resto fa il suo lavoro, aggiornare PHP e mantenere seguiti WordPress, il tema e i componenti aggiuntivi risolve il problema. Una ricostruzione vale la pena quando il sito è vecchio a ogni livello: una versione PHP che nessuno corregge più, componenti aggiuntivi che chi li ha creati non mantiene più, e un design nato prima che la maggior parte degli ospiti prenotasse da telefono. In quel caso la ricostruzione si porta via l'intera catena di manutenzione, invece di ripararla anello per anello.
Se il controllo restituisce una versione ancora seguita, bene: annotate la data in cui le sue correzioni finiranno, impostate un promemoria e tornate a occuparvi della vostra struttura. Se restituisce una versione vecchia, ora conoscete le tre strade e, all'incirca, quanto costa ciascuna in denaro o in attenzione. E se il sito è comunque maturo per una ricostruzione, un sito costruito su misura vi toglie dall'elenco, una volta per tutte, l'intera routine delle correzioni.
Sito web costruito su misura, £1.999 una tantum, 0% di commissioni. Guardate prima il vostro B&B con una demo da £9.90.
Provate una demo da £9.90Domande? Chiamate il +44 7727 811227 (assistente AI 24/7) · WhatsApp (risponde una persona) · hello@directbook.uk
Ultimo controllo: 21 ottobre 2026. Solo indicazioni generali, non consulenza di sicurezza o legale. Fonti: avviso di sicurezza PHP, "Critical remote code execution vulnerabilities, update now" (php.net, 21 ottobre 2026); Versioni supportate di PHP (php.net, consultato il 21 ottobre 2026); annunci di rilascio PHP per 8.2.35, 8.3.36, 8.4.27 e 8.5.12 (php.net, 21 ottobre 2026); preavviso del rilascio di sicurezza PHP (php.net, 20 ottobre 2026).