[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"site-version":3,"blog-doc-it-php-statico-sicurezza-velocita":4},"2.2.0",{"id":5,"title":6,"body":7,"category":165,"credit":166,"date":169,"description":170,"extension":171,"faq":172,"image":185,"imageAlt":186,"keyword":187,"meta":188,"navigation":189,"path":190,"related":191,"seo":195,"seoTitle":196,"service":197,"slug":198,"stem":199,"tags":200,"__hash__":206},"blog\u002Fit\u002Ftips\u002F2026-10-23-php-statico-sicurezza-velocita.md","Falle critiche in PHP: perché i siti vetrina non hanno bisogno di eseguirlo",{"type":8,"value":9,"toc":155},"minimark",[10,14,17,22,25,34,38,41,44,77,80,84,87,107,110,114,126,130,133,136,140,143],[11,12,13],"p",{},"Il 21 ottobre il progetto PHP ha rilasciato correzioni d'emergenza per due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619, entrambe valutate 9.2 su CVSS v4.0 e capaci, in certe condizioni, di portare all'esecuzione di codice da remoto senza autenticazione. Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per i rami non più supportati non ci sono correzioni ufficiali. Le condizioni di sfruttamento le leggo dall'annuncio su php.net, che consiglio di verificare: le fonti secondarie non sono sempre allineate.",[11,15,16],{},"Non voglio fare l'ennesimo articolo di allarme. Voglio dire cosa mi hanno ricordato queste ore passate ad aggiornare server: la maggior parte dei siti che gestisco non aveva alcun motivo di eseguire PHP.",[18,19,21],"h2",{"id":20},"il-costo-di-eseguire-codice-a-ogni-richiesta","Il costo di eseguire codice a ogni richiesta",[11,23,24],{},"Un sito WordPress, a ogni richiesta non servita dalla cache, avvia PHP, carica il core, il tema e i plugin, interroga il database e assembla una pagina che sarà identica a quella di ieri. Per un sito vetrina, dove i contenuti cambiano una volta l'anno, il lavoro è sprecato e, peggio, è un punto d'ingresso: finché esiste un interprete raggiungibile da internet, ogni falla del linguaggio, del core, di un plugin o del tema è un'emergenza.",[11,26,27,28,33],{},"Una falla come queste ha una proprietà scomoda: non dipende da quanto sei stato prudente con i plugin. Colpisce il runtime sotto, quello che non scegli sito per sito. L'unica difesa è l'aggiornamento tempestivo, e l'aggiornamento tempestivo di decine di siti, ciascuno con la sua versione di PHP, il suo hosting e la sua compatibilità con i plugin, è esattamente il tipo di lavoro che preferirei non dover rifare a ogni vulnerabilità. Ne ho parlato in ",[29,30,32],"a",{"href":31},"\u002Fconsigli\u002Fsito-wordpress-hackerato","Sito WordPress hackerato",": la finestra tra la pubblicazione di una falla e l'aggiornamento è il momento in cui gli scanner automatici lavorano meglio.",[18,35,37],{"id":36},"perché-sto-migrando-i-siti-vetrina","Perché sto migrando i siti vetrina",[11,39,40],{},"Per questo sto portando i siti vetrina su un'architettura statica. Non perché WordPress sia un cattivo strumento, ma perché a un sito che cambia di rado non serve né un database né un linguaggio eseguito a ogni visita. Il sito viene costruito una volta, in fase di build, e pubblicato come file su una CDN. Chi lo visita riceve HTML già pronto.",[11,42,43],{},"Le conseguenze pratiche sono tre.",[45,46,47,60,71],"ul",{},[48,49,50,54,55,59],"li",{},[51,52,53],"strong",{},"Meno superficie d'attacco",": sul server pubblico non gira PHP, non c'è ",[56,57,58],"code",{},"wp-login.php"," e non c'è un database da raggiungere. Una falla nell'interprete non ha nulla da colpire, perché non c'è un interprete.",[48,61,62,65,66,70],{},[51,63,64],{},"Velocità",": l'HTML è già costruito, quindi il tempo di risposta dipende dalla CDN e non dal server che assembla la pagina. Per LCP e Core Web Vitals è un vantaggio strutturale, non un ritocco, e quindi aiuta anche la SEO. Ho scritto di cosa fa davvero lento un sito in ",[29,67,69],{"href":68},"\u002Fconsigli\u002Fsito-wordpress-lento-diagnosi-tecnica","Sito WordPress lento",".",[48,72,73,76],{},[51,74,75],{},"Meno manutenzione urgente",": nessuna corsa agli aggiornamenti di PHP, di tema e plugin per un sito che nessuno tocca da mesi.",[11,78,79],{},"Dire che un sito statico sia «inattaccabile» è comodo ma non è vero. Restano da proteggere gli account di GitHub, del provider e del dominio con l'autenticazione a due fattori, le dipendenze usate nella build e le eventuali funzioni server per moduli o chat. È una superficie piccola e conosciuta, non nulla.",[18,81,83],{"id":82},"ma-i-contenuti-come-si-aggiornano","Ma i contenuti, come si aggiornano?",[11,85,86],{},"È l'obiezione giusta, e per alcuni clienti il pannello è indispensabile: lo so bene, per anni ho lavorato così. Il punto è che il pannello non deve per forza stare sullo stesso server che serve il sito. Le strade che uso o valuto sono queste.",[45,88,89,95,101],{},[48,90,91,94],{},[51,92,93],{},"Nuxt Studio",": un editor che lavora sui file Markdown del progetto. Chi scrive modifica i testi da browser, anche con un'anteprima, e il salvataggio diventa un commit su GitHub; Netlify ricostruisce il sito. Non c'è un database di mezzo e ogni modifica ha un autore e si può annullare. È la soluzione che uso più spesso quando il sito è in Nuxt Content.",[48,96,97,100],{},[51,98,99],{},"Strapi",": un CMS headless da installare e gestire per conto proprio, con tipi di contenuto, ruoli e API. Lo uso in Fix and Sail, dove serve anche una parte applicativa. Ha un suo database e un suo server, ma sono separati dal sito pubblico, dietro un accesso riservato.",[48,102,103,106],{},[51,104,105],{},"Storyblok"," o altri CMS headless in servizio: l'editor visuale è ospitato dal fornitore, il sito legge i contenuti via API e si ricostruisce a ogni pubblicazione. Si evita di gestire un server, in cambio di un canone e di una dipendenza da un servizio esterno.",[11,108,109],{},"La scelta dipende da chi scrive. Con tre pagine da correggere una volta l'anno basta il Markdown; con una persona di redazione serve un pannello; con più ruoli e flussi di approvazione si valuta un CMS vero. Il criterio comune è che il pannello stia fuori dal percorso di chi visita il sito, così la sua eventuale falla non diventa una falla del sito pubblico.",[18,111,113],{"id":112},"quando-wordpress-resta-la-scelta-giusta","Quando WordPress resta la scelta giusta",[11,115,116,117,121,122,70],{},"Non migro tutto. Un negozio con WooCommerce, una redazione che pubblica ogni giorno, un sito che dipende da plugin senza equivalente semplice: lì WordPress ha ancora senso, e il lavoro diventa tenerlo asciutto, con pochi plugin, PHP aggiornato e ",[29,118,120],{"href":119},"\u002Fconsigli\u002Fmanutenzione-wordpress-costi-nel-tempo","una manutenzione seria",". Il confronto completo, con la procedura di migrazione, sta in ",[29,123,125],{"href":124},"\u002Fconsigli\u002Fda-wordpress-a-nuxt-github-netlify","Da WordPress a Nuxt.js, GitHub e Netlify",[18,127,129],{"id":128},"come-la-vedo-io","Come la vedo io",[11,131,132],{},"Amo WordPress, ci ho costruito siti di cui vado fiero. Ma l'ultima emergenza mi ha chiarito una cosa: per un sito vetrina che si aggiorna una volta l'anno, tenere acceso un motore dinamico solo per mostrare pagine ferme è un rischio che non serve a nessuno. Preferisco costruire una volta, pubblicare su una CDN e lasciare che la sicurezza non dipenda da quanto in fretta riesco ad aggiornare un server.",[11,134,135],{},"Il sito che stai leggendo è fatto così: Nuxt, contenuti in Markdown, GitHub e Netlify, con un'anteprima per ogni modifica e il ramo principale mai toccato direttamente. Per chi ha bisogno di aggiornare i testi da solo, il pannello c'è, ma sta in un posto separato. E se un sito ha bisogno di un pannello ricco, lo dico chiaramente e non lo forzo su una soluzione statica.",[18,137,139],{"id":138},"perché-affidarlo-a-me","Perché affidarlo a me",[11,141,142],{},"Ho consegnato più di 300 progetti e collaboro con più di 30 agenzie come sviluppatore esterno, da Roma e da remoto. Conosco WordPress dall'interno e per questo so dire quali siti conviene tenere dov'erano e quali conviene spostare.",[11,144,145,146,150,151,70],{},"Se hai un sito vetrina su WordPress e vuoi capire se ha senso passare a una versione statica, ",[29,147,149],{"href":148},"\u002Fcontatti","scrivimi",": in una chiacchierata di circa 20 minuti guardiamo il sito, chi lo aggiorna e con quale frequenza, e ti dico cosa farei. Il servizio è in ",[29,152,154],{"href":153},"\u002Fservizi\u002Fsiti-web","Creazione siti web",{"title":156,"searchDepth":157,"depth":157,"links":158},"",2,[159,160,161,162,163,164],{"id":20,"depth":157,"text":21},{"id":36,"depth":157,"text":37},{"id":82,"depth":157,"text":83},{"id":112,"depth":157,"text":113},{"id":128,"depth":157,"text":129},{"id":138,"depth":157,"text":139},"Siti web",{"name":167,"url":168},"Annie Spratt","https:\u002F\u002Funsplash.com\u002F@anniespratt","2026-10-23","Le falle critiche in PHP del 21 ottobre 2026 mostrano il limite di un sito vetrina che esegue codice a ogni visita: perché passo al sito statico e come aggiorno i contenuti.","md",[173,176,179,182],{"q":174,"a":175},"Un sito statico è davvero inattaccabile?","No. Ha una superficie molto più piccola, ma restano gli account di GitHub, del provider e del dominio, le dipendenze usate in fase di build e le eventuali funzioni server per moduli o chat. Si proteggono con autenticazione a due fattori, pochi pacchetti e permessi minimi.",{"q":177,"a":178},"Come si aggiornano i testi se non c'è WordPress?","Con un editor collegato ai file del sito, come Nuxt Studio, oppure con un CMS headless come Strapi o Storyblok. Chi scrive lavora in un pannello e il sito si ricostruisce a ogni pubblicazione.",{"q":180,"a":181},"Un sito che aggiorno una volta all'anno ha bisogno di WordPress?","Quasi mai. Se i contenuti cambiano di rado, un pannello sempre acceso e un database sono costi di manutenzione e di rischio senza un beneficio corrispondente. Cambia il discorso se il sito è un negozio o se scrive molta gente ogni giorno.",{"q":183,"a":184},"Basta aggiornare PHP per essere al sicuro?","Aggiornare è necessario, ma risolve una sola falla. La questione è strutturale: finché il sito esegue codice a ogni richiesta, ogni nuova vulnerabilità di PHP, di un plugin o del tema è un’emergenza da gestire in fretta.","\u002Fimages\u002Ftips\u002F2026-10-23-php-statico-sicurezza-velocita.jpg","Lucchetto di metallo marrone chiuso su un fondo azzurro","sito statico al posto di wordpress",{},true,"\u002Fit\u002Ftips\u002F2026-10-23-php-statico-sicurezza-velocita",[192,193,194],"sito-wordpress-hackerato","da-wordpress-a-nuxt-github-netlify","pubblicare-sito-con-github-e-netlify",{"title":6,"description":170},"Falle PHP e siti vetrina: perché passare al sito statico","siti-web","falle-php-e-siti-vetrina-statici","it\u002Ftips\u002F2026-10-23-php-statico-sicurezza-velocita",[201,202,203,204,205],"php","sicurezza","sito statico","nuxt studio","cms headless","W34JIIlBLX2rIl0SoHFNZjrINxKVAmDUlaCBwhKRxTs"]