Nel giro di una settimana, a ottobre 2026, sono usciti aggiornamenti urgenti per tre tecnologie su cui poggiano moltissimi siti e applicazioni aziendali: Next.js il 14 ottobre, PHP e Node.js il 21. Se il vostro sito, il gestionale o l’e-commerce girano su una di queste, il tema riguarda anche voi, non solo chi sviluppa. Noi di Oimmei seguiamo questi aggiornamenti ogni giorno per i nostri clienti: ecco come ci muoviamo, in modo che possiate farvi le domande giuste.
Perché ottobre 2026 ha reso il tema urgente
PHP. Il 21 ottobre il progetto ha rilasciato correzioni d’emergenza per due vulnerabilità, battezzate PHP2Shell, che permettono a un attaccante di eseguire codice sul server senza bisogno di accedere. Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. La gravità è 9,2 su 10 e, secondo l’analisi di Kaspersky, i primi tentativi di sfruttamento sono stati osservati prima ancora della pubblicazione delle patch. Il centro nazionale di sicurezza britannico ha invitato ad aggiornare subito o a mettere offline i sistemi fino all’aggiornamento. Il difetto sta nel cuore di PHP, quindi un sito può essere esposto anche se il suo codice è scritto bene.
Node.js. Lo stesso giorno il progetto ha pubblicato le correzioni di sicurezza per le linee 22, 24 e 26: dieci vulnerabilità, quattro di gravità alta, risolte nelle versioni 22.23.4, 24.22.1 e 26.12.1. La più seria riguarda il decodificatore Brotli: dati compressi malformati, se l’applicazione li decomprime, possono causare un arresto anomalo, la lettura di memoria del processo o l’esecuzione di codice da remoto. Le altre tre gravi riguardano la risoluzione dei nomi di dominio e la verifica dei certificati TLS nelle connessioni verso altri server.
Next.js. Il 14 ottobre il team di Next.js ha pubblicato le versioni 16.4.1 e 15.5.28 per correggere tre problemi legati a componenti esterni. Secondo il riepilogo di Netlify si tratta di due falle critiche, di cui una nell’elaborazione di immagini SVG e una nella funzione
use cache, più un problema di blocco del servizio che riguarda le Server Actions. Non tutte colpiscono ogni applicazione: dipende da come è costruita.Inventario: sapere cosa gira e dove
Prima di aggiornare bisogna sapere cosa si ha. In molte PMI nessuno sa dire con certezza quale versione di PHP o Node.js sia in uso. La domanda da farsi è: per ogni sito e applicazione, quale versione gira in produzione, in staging e sui server di backup?
Un dettaglio che spesso inganna: come ricorda l’analisi di Picus Security, la versione mostrata su un computer di lavoro può essere quella aggiornata, mentre il servizio che risponde ai visitatori usa un programma diverso e vulnerabile. Va controllato ciò che esegue davvero il sito.
In WordPress la versione di PHP è visibile in Strumenti, Salute del sito. Su un server o in un container si legge da riga di comando. Con un hosting condiviso la scelta spesso si fa dal pannello del provider.
Chi aggiorna cosa
Ogni componente ha un responsabile, e va scritto. Per l’hosting condiviso di solito è il provider, ma la versione di PHP da attivare la decidete voi nel pannello. Per un server dedicato o una VPS è chi lo gestisce, che può essere la vostra software house o il vostro reparto IT. Per le librerie dell’applicazione, come Next.js, è chi la sviluppa, e l’aggiornamento richiede una nuova pubblicazione.
Se non avete una persona o un fornitore che se ne occupa con continuità, è il momento di assegnarla. Per questo abbiamo creato Tecnico di Turno, il nostro servizio di manutenzione per siti WordPress, web app e app mobile: un referente che conosce il vostro progetto, un team di turno quando lui non c’è, e tutti gli interventi registrati in un portale con lo storico. Parte da un check-up gratuito che guarda sicurezza, aggiornamenti, velocità e backup, e produce un elenco delle priorità.
Domande da fare al fornitore, qualunque sia: entro quanto applicate una correzione critica? Chi mi avvisa? Cosa succede se la mia versione non è più supportata?
Quest’ultimo punto pesa. Per i rami PHP più vecchi, secondo Kaspersky, non esistono correzioni ufficiali. Node.js 20 ha chiuso il supporto il 30 aprile 2026, come riporta Konfirmity, e il progetto Node.js ricorda nel suo avviso che le versioni a fine vita sono sempre colpite da ogni correzione di sicurezza. Restare su una versione non più supportata significa non avere più una via d’uscita rapida: meglio pianificare il passaggio prima di trovarsi in emergenza.
Aggiornare senza fermare il servizio
Un aggiornamento urgente non deve diventare un incidente. Il nostro schema è semplice:
- Backup verificato di file e database, provando che si riesce a ripristinarlo.
- Ambiente di staging identico alla produzione, dove aggiornare per primi e provare le funzioni critiche: accessi, pagamenti, moduli, invio email, esportazioni.
- Finestra di manutenzione nelle ore di minor traffico, con chi deve intervenire reperibile.
- Piano di rollback scritto prima: come tornare indietro in pochi minuti se qualcosa non funziona.
- Controllo finale della versione realmente attiva e dei log degli errori.
Se non si riesce ad aggiornare subito, esistono misure temporanee. Per PHP2Shell il progetto indica per esempio impostazioni di configurazione da modificare, ma la sintesi di Endor Labs avverte che offrono solo una protezione parziale: servono a guadagnare qualche ora, non a rimandare l’aggiornamento. Se il rischio è alto e l’aggiornamento non è possibile, si valuta di limitare l’accesso o mettere il servizio offline.
Dopo l’aggiornamento: tenere la rotta
L’aggiornamento di ottobre passerà, il problema resta. Quattro abitudini fanno la differenza:
- Monitoraggio del sito, per accorgersi subito se qualcosa smette di funzionare dopo un intervento. Per questo abbiamo sviluppato UptimeMonitor+, un servizio italiano che controlla i vostri siti da più località, vi avvisa via email o notifica push al primo controllo fallito e tiene d’occhio anche la scadenza dei certificati SSL. Se gestite più siti o più clienti, li raggruppa in un’unica schermata e genera un report mensile in PDF. Ha plugin per WordPress e PrestaShop. Va detto chiaramente: un monitor non sostituisce l’aggiornamento, perché dice se il sito risponde, non se è sicuro.
- Iscrizione agli avvisi ufficiali di PHP, Node.js e dei framework che usate, con una persona incaricata di leggerli. Il progetto Node.js, per esempio, offre una mailing list dedicata agli annunci di sicurezza.
- Cadenza fissa: una revisione mensile delle versioni, più interventi straordinari per le correzioni critiche.
- Registro degli interventi: data, versione, esito. Se i vostri clienti o i vostri committenti sono soggetti a normative come la NIS2, poter mostrare un processo documentato è un vantaggio concreto.
Se non siete sicuri di quali versioni girino sui vostri sistemi, partite dall’inventario: è il passaggio che richiede meno tempo e chiarisce di più. Se volete una mano, il check-up gratuito di Tecnico di Turno è un buon primo passo, oppure scriveteci.
