Questa settimana ha patchato PHP su tutti i server. I siti su BookPress ne fanno a meno.
✓ Grazie, ci sentiamo presto.
Rispondiamo entro un giorno lavorativo. Nel frattempo può provare un sito dal vivo: avviare un sito demo →
BookPress serve i siti WordPress, plugin e wp-admin inclusi, da un unico motore compilato: nessun interprete PHP sul percorso della richiesta. PHP2Shell (CVE-2026-109618 e CVE-2026-109619) vive in quell'interprete. Sposti dieci siti non critici su BookPress per dodici mesi a costo zero, e li riporti indietro con un comando quando vuole.
Cos'è PHP2Shell
Il 21 ottobre 2026 il progetto PHP ha corretto due bug con punteggio 9,2 su 10: CVE-2026-109618, dove una richiesta che esaurisce la memoria a metà dell'inizializzazione lascia dati di cui la pulizia poi si fida, e CVE-2026-109619, dove lo stato lasciato da una richiesta arriva alla richiesta successiva sullo stesso worker. Le correzioni sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; da PHP 7.4 a 8.1 sono arrivate solo patch ai sorgenti, e le versioni più vecchie non hanno ricevuto nulla. Secondo il progetto PHP è coinvolta ogni installazione che serve richieste web: PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. I primi tentativi di attacco sono stati visti quattro giorni prima che la correzione fosse pubblica.
Perché un sito BookPress ne resta fuori
BookPress serve un sito dal proprio motore, e in quel motore non c'è codice del progetto PHP: niente copiato, compilato o linkato da PHP, quindi i due bug di PHP2Shell non hanno codice in cui vivere. Sul percorso della richiesta non c'è PHP-FPM, mod_php né altro processo PHP; i suoi plugin, il suo tema e il suo wp-config.php girano dentro il motore BookPress. Il motore non tiene sessioni PHP e non ha un handler di upload-progress, i due percorsi che il secondo bug raggiunge. Ogni worker azzera il proprio stato alla fine di ogni richiesta, e una richiesta che tocca il limite di memoria viene fermata e la sua memoria buttata via. L'installazione WordPress da cui importa continua a servire sul proprio PHP finché non passa a BookPress: quel PHP lo aggiorni oggi, in ogni caso.
Un comando per entrare, uno per tornare
L'importazione fa il dump del database MySQL in produzione con il WP-CLI del sito stesso, copia wp-content e annota come annullare tutto:
wp bookpress import --dir=/var/www/wordpress --dry-run
wp bookpress import --dir=/var/www/wordpressL'esportazione riscrive lo schema del sito di partenza, database e upload, e si rifiuta di sovrascrivere un sito in produzione senza chiedere:
wp bookpress export --dir=/var/www/wordpressTemi, plugin, utenti e URL restano come sono. La pagina di installazione del pilota la accompagna passo per passo nel primo sito.
Cos'è il programma pilota
Dieci siti non critici, dodici mesi, zero fatture. Lei lascia WordPress dov'è e ci racconta cosa è cambiato.
Il programma pilota Condizioni del programma pilota →
Non è un provider né un'agenzia? L'hosting WordPress gestito su BookPress è in arrivo. Iscriversi alla lista →