Alternative a WordPress ispirate alle vulnerabilità PHP

Il problema questa volta è PHP, che è il fondamento di WordPress.

WordPress è un software per la pubblicazione e la gestione di articoli. Uno dei meccanismi che supporta questa operazione è PHP, che viene eseguito sul server.

Nell'ottobre 2026 sono state annunciate le seguenti gravi vulnerabilità in PHP. Una vulnerabilità è una debolezza del software che può essere sfruttata in un attacco.

• CVE-2026-109618:Quando l'elaborazione viene interrotta a causa di memoria insufficiente, la post-elaborazione gestisce i dati interni incompleti.
• CVE-2026-109619: un problema in cui le informazioni interne che puntano alla memoria che è stata utilizzata permangono e le richieste successive fanno riferimento alle vecchie informazioni.

Le condizioni possono consentire a soggetti esterni di eseguire codice arbitrario sul tuo server. Questo è un problema separato da WordPress stesso, quindi oltre ad aggiornare WordPress e i plugin, devi anche verificare la presenza di correzioni sul lato PHP.

Le versioni in cui è stata fornita per la prima volta la correzione sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Controlla le istruzioni della tua società di hosting o del fornitore del sistema operativo per il supporto effettivo. Oltre al numero di versione, è necessario verificare se il provider ha applicato eventuali correzioni.

Riferimento: IPA: attuali vulnerabilità e contromisure PHP / Funzionario PHP: problema di elaborazione OOM ／ Funzionario PHP: problema con il vecchio stato interno rimanente

Prima di cercare un'alternativa, organizza lo stile di scrittura dell'articolo e le funzionalità richieste

Ciò con cui vorrei iniziare il mio confronto è il modo in cui di solito aggiorno. Vuoi scrivere dal tuo smartphone o puoi modificare il file sul tuo computer? Hai bisogno di commenti, registrazione dell'iscrizione e funzioni di vendita? Le tue opzioni cambieranno di conseguenza.

Opzione 1: continuare con WordPress e rivedere la manutenzione

Se ritieni che la schermata di modifica corrente e le funzionalità siano comode da usare, hai la possibilità di continuare. I plugin sono componenti che aggiungono funzionalità. Decidi chi sarà responsabile dell'aggiornamento dell'unità principale, dei plugin, del tema e di PHP e della procedura per il ripristino dal backup.

Quando si affida la manutenzione a una società di manutenzione o a un servizio gestito, verificare l'ambito del lavoro, compreso se sarà in grado di gestire i problemi di plug-in e di ripristino.

Riferimento: guida ufficiale alla sicurezza di WordPress

Opzione 2: utilizza un CMS gestito o un servizio di creazione di siti

CMS è un sistema che ti consente di creare e gestire articoli da un browser. Se si tratta di un servizio gestito, potresti essere in grado di lasciare all'operatore la manutenzione dei server, ecc. L'ambito di responsabilità varia a seconda del servizio.

Oltre alla schermata di modifica, alla facilità d'uso in giapponese, alle funzioni necessarie e ai prezzi, controlleremo se è possibile esportare articoli e immagini e passare a un altro servizio. Non classificheremo qui servizi specifici in termini di sicurezza.

Opzione 3: rendilo un sito statico

Un sito statico è un metodo per distribuire pagine predefinite. Sono candidati i siti che pubblicano principalmente testo e immagini. D'altra parte, la schermata di registrazione deve essere preparata separatamente.

Esistono modi per modificare direttamente i file di pagina chiamati HTML, utilizzare strumenti che generano pagine da manoscritti e combinarli con un CMS per la modifica. Più compensi la facilità di aggiornamento, più meccanismi dovrai mantenere.

Riduci gli attacchi in anticipo con il WAF di Cloudflare

Cloudflare dispone di un WAF che ispeziona le comunicazioni sospette prima del sito. Svolge un ruolo simile alla sicurezza alla reception e può bloccare le comunicazioni che assomigliano ad attacchi noti e limitare l'accesso in base alla fonte o al numero di volte in cui vengono inviate.

La versione gratuita prevede regole per alcune minacce, mentre Pro e versioni successive dispongono di una gamma più ampia di regole gestite. Le regole gestite sono regole di giudizio preparate e aggiornate da Cloudflare. Le contromisure DDoS sono contromisure contro gli attacchi che rendono inutilizzabile un sito a causa di una grande quantità di traffico.

Sono state rese pubbliche anche le regole di protezione per questa vulnerabilità PHP. Esistono tuttavia condizioni applicative a seconda delle impostazioni e si tratta di una contromisura contro gli attacchi noti. Non è possibile concludere che se usi Cloudflare non è necessario aggiornare PHP.

Riferimento: Confronto delle funzionalità WAF / Contromisure e condizioni WAF per questa vulnerabilità PHP

Se il server originale si trova separatamente, sono necessarie anche misure per impedire di aggirare il WAF accedendo direttamente a quel server. Anche per i siti statici, prendi in considerazione problemi come il dirottamento degli account pubblici, problemi con servizi esterni e invio di moduli non richiesti.

Basta fare una richiesta e lasciare che sia Cloudflare a gestirla.

Ciò non significa che non sia possibile effettuare richieste su un sito statico. La pagina rimane statica ed è possibile aggiungere elaborazioni solo alla parte che accetta richieste.

Workers è un servizio che esegue piccoli programmi come la ricezione di moduli su Cloudflare. Turnstile è un meccanismo per ridurre l'invio da parte dei bot e il Servizio email è responsabile dell'invio di email di notifica.

L'invio di un'e-mail è gratuito se desideri solo notificare l'indirizzo di un amministratore verificato. Per rispondere automaticamente ai richiedenti, utilizzare Invio e-mail e Lavoratori pagati, che possono essere inviati a qualsiasi destinatario. L'invio di e-mail è in versione beta al momento della conferma delle informazioni.

Routing email è un servizio che inoltra le email indirizzate al tuo dominio alla tua casella di posta esistente. Non fornisce una casella di posta di per sé per leggere le e-mail. Inoltre, la notifica all'amministratore da un modulo e l'inoltro di email al tuo dominio sono funzioni separate.

Per evitare di perdere richieste, progettiamo anche una guida in caso di errore di trasmissione, la gestione delle ritrasmissioni e la conferma di ricezione. È inoltre importante non inserire troppe informazioni riservate in un modulo, ma decidere dove salvarle, chi può visualizzarle e per quanto tempo verranno conservate. Se disponi di un servizio di posta elettronica esistente, assicurati di non modificare accidentalmente le impostazioni DNS che determinano i destinatari.

Il tornello richiede JavaScript nel tuo browser. Ti forniremo metodi di contatto alternativi in ​​modo che tu possa contattarci anche se la richiesta non è valida o la trasmissione fallisce. Il testo del sito e il sommario possono essere separati dal modulo e configurati per essere leggibili nel normale HTML.

Riferimento: Come convalidare Turnstile / Panoramica del servizio email / Configura email inoltro

Quanto costa per uso generale/uso aziendale?

Quello che segue è un esempio di configurazione presupponendo un sito statico con un dominio e un piccolo modulo di richiesta. Non include servizi aggiuntivi come la schermata di pubblicazione del CMS, funzioni di iscrizione/pagamento, archiviazione degli allegati, monitoraggio/rinvio. Se vuoi mantenere WordPress, dovrai pagare il server separatamente.

Gli importi sono in dollari USA al 25 ottobre 2026. Tasse, tassi di cambio, acquisizione e rinnovo di domini univoci, caselle di posta e costi di manodopera per la produzione e la manutenzione non sono inclusi. Consideralo come un "canone mensile minimo + importo oltre l'utilizzo incluso".

Uso generale: se desideri avvisare solo l'amministratore, inizia con il livello gratuito.

Per blog personali, siti di hobby, ecc., sarebbe bello poter vedere le richieste nella tua casella di posta. Non ci sarà una risposta automatica e il risultato della trasmissione verrà visualizzato sullo schermo.

Se il livello gratuito sia sufficiente dipende non solo dal numero di accessi, ma anche dal tempo di elaborazione e di implementazione. Anche se l'e-mail di notifica all'amministratore è gratuita, esistono altre restrizioni sull'esecuzione del programma di ricezione.

Uso aziendale: aggiungi la risposta automatica e il WAF a pagamento

Questo è un esempio di restituzione di un'e-mail di ricezione al richiedente e di utilizzo di regole WAF più ampie. Ciò non significa che tu abbia necessariamente bisogno di questo piano solo perché sei un'azienda. Scegli in base al ruolo del sito e all'impatto dell'interruzione.

Workers Paid include un'indennità mensile per l'invio di e-mail di 3.000 e-mail con un prezzo base minimo di $ 5 al mese. L'eccedenza è di $ 0,35 per 1.000 email. Gli invii agli amministratori confermati non sono inclusi in questo frame. Poiché anche il reinvio e altri scopi utilizzano la quota di invio, non vi è alcuna garanzia che saremo in grado di ricevere 3.000 richieste.

Confronto comprensivo di pagamento annuale e Business

I pagamenti annuali per Pro sono $ 240/anno, mentre i pagamenti annuali per Business sono $ 2.400/anno. Un minimo di $ 5 al mese per i lavoratori e l'utilizzo in eccesso verrà addebitato separatamente. Non si tratta di un contratto in cui paghi ogni mese l'importo mensile equivalente riportato nella tabella.

L'azienda ha uno SLA (accordo contrattuale relativo ai tempi di attività) per i piani del sito Web, ma ciò non garantisce l'intero sistema, inclusa l'elaborazione dei moduli e la consegna delle e-mail. Se il funzionamento continuo è importante, valutare il rilevamento degli errori, il ripristino degli errori e la gestione delle funzionalità beta.

Le richieste di file statici sono gratuite e illimitate, ma sono previste restrizioni sul numero di file, sulla capacità, ecc. Si presuppone che WAF sia impostato su un percorso applicabile come il dominio della destinazione ed è necessario prestare attenzione quando si accede da un altro URL pubblico.

• Prezzi del piano sito web
• Prezzi per i lavoratori
• Costi per l'invio/l'inoltro di email
• Prezzi dei tornelli
• Spese e limiti di consegna statici
• Consegna statica delle pagine/Prezzi delle funzioni
• Limiti di utilizzo dei lavoratori
• Limiti di utilizzo delle pagine

Prima della migrazione, controlla se ci saranno problemi prima di considerare il prezzo.

Se aggiornare ogni volta diventa un peso dopo la migrazione, sarà difficile continuare a utilizzare il sito. Pensiamo che sia una buona idea provare prima a postare e pubblicare un numero limitato di articoli.

• Aggiornamento:il responsabile può scrivere l'articolo, aggiungere immagini e pubblicarlo?
• Pagina esistente:è possibile mantenere l'URL precedente? Se voglio cambiarlo posso essere guidato/reindirizzato dal vecchio URL?
• Funzioni allegate:Come trasferire commenti, ricerca, categorie, RSS, moduli, ecc.
• Recupero:se pubblichi contenuti errati, puoi tornare allo stato precedente?
• Esportazione: è possibile eseguire il backup di articoli e immagini e spostarli altrove in futuro?
• Gestione:l'account può essere gestito da più persone? Posso impostare l'autenticazione a più fattori?

C'è anche un modo per continuare a utilizzare WordPress e impostare un sistema di manutenzione. Puoi lasciare questo compito a un servizio gestito oppure puoi rendere statico il lato pubblicazione. Vorrei selezionare la configurazione adatta al mio sito verificando le funzioni necessarie e l'ambito dei continui aggiornamenti e manutenzioni.