Xlogic aggiorna tutte le versioni PHP sui server: patch di sicurezza completate

Xlogic ha completato gli aggiornamenti sicurezza PHP su tutti i propri server hosting, intervenendo sulle versioni PHP messe a disposizione dei clienti, comprese quelle meno recenti gestite attraverso CloudLinux.

Gli interventi sono stati effettuati a seguito della pubblicazione, il 21 ottobre 2026, delle vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619, entrambe classificate con un punteggio CVSS di 9,2 su 10.

Le vulnerabilità possono consentire, in determinate condizioni, l’esecuzione di codice da remoto e richiedono l’installazione dei pacchetti di sicurezza distribuiti dai produttori.

Per questo Xlogic è intervenuta sulla propria infrastruttura, aggiornando le versioni PHP utilizzate dai siti web e dalle applicazioni ospitate.

Due vulnerabilità critiche PHP: cosa è successo il 21 ottobre 2026?

Il PHP Security Team ha pubblicato aggiornamenti urgenti per correggere due vulnerabilità critiche nel motore PHP.

PHP è uno dei linguaggi più utilizzati per il funzionamento di siti dinamici, CMS ed eCommerce.

Tra le applicazioni che utilizzano PHP troviamo WordPress, WooCommerce, Joomla, PrestaShop e numerosi gestionali web.

Le vulnerabilità interessano la gestione interna della memoria e possono consentire, in particolari condizioni, l’esecuzione di codice non autorizzato.

• CVE-2026-109618: vulnerabilità collegata alla gestione della memoria durante determinate condizioni di errore.
• CVE-2026-109619: vulnerabilità relativa alla gestione di dati interni che possono rimanere associati a richieste precedenti.

Entrambe richiedono l’applicazione degli aggiornamenti di sicurezza previsti per gli ambienti interessati.

Per approfondire è possibile consultare il sito ufficiale PHP e il comunicato di sicurezza cPanel.

Xlogic ha aggiornato tutte le versioni PHP dei servizi hosting

Gli aggiornamenti sicurezza PHP hanno interessato le versioni disponibili negli ambienti hosting Xlogic, comprese quelle utilizzate dalle applicazioni meno recenti.

Gli interventi hanno riguardato:

• PHP 5: versioni precedenti disponibili attraverso gli ambienti CloudLinux;
• PHP 7: versioni legacy utilizzate da applicazioni che non sono ancora state migrate a PHP 8;
• PHP 8: versioni più recenti e rami precedenti ancora disponibili sui server;
• CloudLinux Alt-PHP: pacchetti PHP gestiti attraverso PHP Selector;
• EasyApache PHP: pacchetti PHP utilizzati negli ambienti cPanel.

Per le versioni PHP ufficialmente supportate sono state pubblicate nuove release correttive.

Per le versioni precedenti, CloudLinux ha distribuito pacchetti contenenti correzioni retroportate.

Questo permette di applicare specifiche patch di sicurezza senza dover necessariamente modificare la versione principale utilizzata dal sito web.

Perché la versione PHP visualizzata può rimanere invariata dopo l’aggiornamento?

Un aspetto importante da chiarire riguarda il numero di versione PHP visualizzato nel pannello di controllo.

L’applicazione delle patch di sicurezza non comporta necessariamente un cambiamento del numero di versione PHP.

Questo perché le correzioni possono essere integrate direttamente nelle versioni già installate, attraverso il sistema di aggiornamenti di sicurezza del fornitore, chiamato backport.

Il backport consente di applicare una correzione sviluppata per una versione più recente anche a una versione precedente, mantenendo il relativo ramo PHP.

Di conseguenza, il numero visualizzato nel pannello potrebbe rimanere invariato anche quando il pacchetto è stato aggiornato.

Esempio pratico: PHP 8.4.26 invece di PHP 8.4.27

Dopo la pubblicazione delle patch PHP di ottobre 2026, un cliente Xlogic ha chiesto perché, selezionando la versione Native, venisse ancora visualizzata PHP 8.4.26 anziché PHP 8.4.27.

La domanda è comprensibile: PHP 8.4.27 è infatti la release ufficiale che comprende le correzioni delle due vulnerabilità.

Tuttavia, sugli ambienti CloudLinux, il produttore ha distribuito anche pacchetti PHP 8.4 contenenti le medesime correzioni attraverso il sistema di backport.

Per esempio, il pacchetto CloudLinux ea-php84-php-common-8.4.26-2.el9.cloudlinux.1 mantiene il numero PHP 8.4.26 ma include le correzioni per CVE-2026-109618 e CVE-2026-109619.

Questo significa che visualizzare PHP 8.4.26 non implica necessariamente l’assenza delle patch di sicurezza presenti nella release 8.4.27.

La presenza delle correzioni viene verificata attraverso la release del pacchetto installato e il relativo changelog, non soltanto leggendo il numero PHP mostrato nel pannello.

Cosa significa selezionare Native nel pannello PHP di cPanel?

Nei server che utilizzano CloudLinux e cPanel, il selettore PHP può mostrare diverse versioni e anche un’opzione denominata Native.

Questa voce indica la versione PHP nativa o predefinita configurata per l’ambiente hosting.

Nei server cPanel può corrispondere alla versione PHP gestita tramite EasyApache, anziché a una delle versioni alternative Alt-PHP del PHP Selector.

Se viene visualizzato Native (PHP 8.4.26), ciò significa che il sistema sta mostrando quel ramo PHP come versione predefinita dell’ambiente.

Non significa automaticamente che il server sia privo delle patch pubblicate successivamente.

La disponibilità delle correzioni dipende dal pacchetto effettivamente installato dal produttore.

Per questo Xlogic effettua le verifiche sui pacchetti PHP presenti sui server, comprese le informazioni relative alle correzioni di sicurezza.

Come si verifica che una versione PHP contiene le patch?

Per confermare che una versione PHP sia stata corretta, non è sufficiente controllare esclusivamente la numerazione mostrata nel pannello cPanel.

È necessario verificare:

• la versione e la release completa del pacchetto installato;
• il produttore che distribuisce il pacchetto;
• il changelog degli aggiornamenti;
• la presenza delle correzioni relative alle vulnerabilità interessate;
• le indicazioni ufficiali del produttore.

Nel caso delle vulnerabilità CVE-2026-109618 e CVE-2026-109619, CloudLinux ha pubblicato pacchetti aggiornati anche per versioni PHP il cui numero principale rimane invariato.

La documentazione sugli aggiornamenti è disponibile nel comunicato ufficiale CloudLinux.

Per i clienti Xlogic queste verifiche relative agli aggiornamenti server sono gestite direttamente dal nostro team tecnico.

Le patch di sicurezza PHP non richiedono necessariamente il passaggio a PHP 8

È importante distinguere un aggiornamento di sicurezza dal cambio di versione principale PHP.

Un aggiornamento di sicurezza può correggere specifiche vulnerabilità mantenendo la versione utilizzata dal sito.

Passare, per esempio, da PHP 7.4 a PHP 8.4 è invece una modifica più ampia che potrebbe richiedere adattamenti alle applicazioni installate.

Un sito WordPress, un gestionale oppure uno script personalizzato potrebbero non essere compatibili con una versione PHP molto più recente.

Per questo Xlogic ha applicato gli aggiornamenti di sicurezza disponibili senza imporre ai clienti un cambio automatico del ramo PHP.

È comunque consigliabile utilizzare versioni PHP ancora supportate ufficialmente, programmando l’aggiornamento delle applicazioni meno recenti.

Le patch retroportate correggono specifiche vulnerabilità ma non rendono una versione legacy equivalente, sotto ogni aspetto, a una versione moderna e supportata.

I clienti Xlogic devono effettuare qualche operazione?

No. Per le patch di sicurezza PHP applicate da Xlogic sui propri server hosting non sono richieste operazioni manuali da parte dei clienti.

Non è necessario:

• cambiare manualmente la versione PHP soltanto per ottenere le patch già applicate;
• passare da PHP 8.4.26 a 8.4.27 quando il pacchetto CloudLinux utilizzato contiene già le correzioni;
• modificare configurazioni del sito senza una specifica necessità tecnica;
• reinstallare WordPress per applicare gli aggiornamenti PHP del server.

Rimane invece importante mantenere aggiornate le proprie applicazioni, i plugin, i temi e gli eventuali componenti personalizzati.

CloudLinux, LiteSpeed e Imunify360: più livelli di sicurezza

La gestione della sicurezza sui server Xlogic si basa su diverse tecnologie.

CloudLinux contribuisce all’isolamento e alla gestione delle risorse degli account hosting, mentre LiteSpeed Enterprise viene utilizzato come web server.

Imunify360 aggiunge strumenti di protezione, compreso un Web Application Firewall nelle configurazioni in cui è attivo.

In occasione delle vulnerabilità PHP di ottobre 2026, Imunify360 ha distribuito anche regole WAF dedicate al contrasto di alcuni tentativi di sfruttamento conosciuti.

È importante ricordare che le regole WAF non sostituiscono gli aggiornamenti di sicurezza PHP.

Le protezioni del firewall rappresentano un livello aggiuntivo, mentre la correzione del software interessato rimane fondamentale.

Gli aggiornamenti PHP proteggono anche WordPress e WooCommerce?

Gli aggiornamenti PHP correggono specifiche vulnerabilità del linguaggio e del relativo ambiente di esecuzione.

Non sostituiscono però la manutenzione dei CMS e delle applicazioni installate.

Un sito WordPress potrebbe utilizzare un plugin vulnerabile anche se la versione PHP sul server è correttamente aggiornata.

Per mantenere un sito affidabile è quindi importante:

• mantenere aggiornati WordPress e gli altri CMS;
• aggiornare plugin e temi;
• eliminare componenti inutilizzati;
• utilizzare password sicure;
• proteggere gli accessi amministrativi;
• mantenere backup utilizzabili;
• controllare eventuali segnalazioni di malware.

Per approfondire la scelta delle versioni PHP puoi leggere la nostra guida PHP aggiornato nel 2026: quale versione scegliere.

Un server aggiornato non significa che un sito già compromesso sia pulito

Gli aggiornamenti sicurezza PHP sono fondamentali per correggere vulnerabilità note, ma non eliminano automaticamente malware o backdoor già presenti in un sito.

Se un’applicazione è stata compromessa, potrebbe essere necessario controllare file, database, utenti, configurazioni e altri elementi coinvolti.

Xlogic mette a disposizione un servizio professionale di bonifica sito hackerato e rimozione malware, disponibile anche per siti ospitati presso altri provider.

Il servizio parte da 149 € + IVA. Il prezzo base comprende l’analisi e la bonifica di un singolo sito web.

Per compromissioni particolarmente estese, più installazioni infette, componenti personalizzati o attività aggiuntive viene fornita una valutazione prima di procedere con eventuali costi supplementari.

La sicurezza dei server Xlogic è un’attività continua

La pubblicazione delle due vulnerabilità critiche PHP dimostra quanto sia importante seguire costantemente gli avvisi di sicurezza dei produttori.

Un server può continuare a funzionare normalmente anche quando uno dei componenti software richiede una correzione urgente.

Per questo la gestione di un’infrastruttura hosting richiede aggiornamenti regolari e controlli tecnici.

Xlogic, provider hosting italiano attivo dal 2011, utilizza tecnologie come CloudLinux, LiteSpeed Enterprise, cPanel, SSD NVMe e sistemi di backup e sicurezza secondo le caratteristiche dei servizi.

Gli interventi sulle versioni PHP rientrano nella manutenzione dell’infrastruttura destinata a ospitare siti e applicazioni dei clienti.

Domande frequenti sugli aggiornamenti PHP Xlogic

Xlogic ha aggiornato anche PHP 5 e PHP 7?

Sì. Gli interventi hanno interessato tutte le versioni PHP offerte negli ambienti hosting Xlogic, comprese le versioni precedenti per le quali i produttori hanno distribuito i pacchetti correttivi.

Perché nel PHP Selector vedo ancora PHP 8.4.26?

Perché alcune correzioni di sicurezza vengono applicate attraverso pacchetti aggiornati che mantengono lo stesso numero di versione PHP.

Negli ambienti CloudLinux, un pacchetto PHP 8.4.26 contenente i backport corretti può includere le patch delle vulnerabilità CVE-2026-109618 e CVE-2026-109619.

La versione Native è meno sicura delle altre?

Non necessariamente. Native indica la versione PHP predefinita dell’ambiente hosting. La presenza delle correzioni deve essere verificata sul pacchetto realmente utilizzato.

Devo cambiare manualmente versione PHP?

No, non per applicare le patch di sicurezza già installate da Xlogic sull’ambiente hosting utilizzato.

Per ragioni di compatibilità, prestazioni e supporto a lungo termine rimane comunque consigliabile utilizzare una versione PHP moderna.

Come viene verificata la presenza delle patch?

Attraverso il controllo dei pacchetti installati, della loro release e dei relativi changelog di sicurezza.

Gli aggiornamenti eliminano malware già presenti sul sito?

No. Gli aggiornamenti PHP correggono vulnerabilità del software, mentre la rimozione di un’infezione già presente richiede controlli e interventi separati.

Conclusioni: Xlogic completa gli aggiornamenti sicurezza PHP

Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 hanno reso necessari aggiornamenti urgenti per numerose versioni PHP.

Xlogic ha completato gli aggiornamenti di sicurezza delle versioni PHP messe a disposizione dei clienti sui propri server hosting, comprese le versioni precedenti PHP 5 e PHP 7.

Le correzioni sono state applicate utilizzando i pacchetti distribuiti dai produttori, comprese le patch retroportate per i rami precedenti.

Questo significa che una versione PHP visualizzata nel pannello, come PHP 8.4.26, può contenere le stesse correzioni di sicurezza introdotte nella release ufficiale PHP 8.4.27, quando è installato il pacchetto corretto.

Non è quindi necessario modificare manualmente la versione PHP soltanto perché il numero visualizzato non coincide con quello dell’ultima release ufficiale.

La sicurezza rimane un’attività continua che richiede server aggiornati, manutenzione delle applicazioni e sistemi di protezione adeguati.

Scopri le soluzioni di Hosting WordPress Xlogic e Hosting Condiviso Xlogic.

Xlogic – Hosting italiano dal 2011.