Sicurezza

Node2Shell: un difetto in Node.js

21 ottobre 2026 · gravità alta · CVE-2026-111497

Node.js è uno dei motori più usati al mondo per far funzionare i servizi su internet. Il difetto stava nella parte che «scompatta» i dati compressi: dati costruiti apposta potevano bloccare il servizio e, nel caso peggiore, fargli eseguire ordini di un estraneo.

Cosa ho fatto: ho installato la versione corretta di Node.js, uscita insieme alla notizia, e ho riavviato i servizi che lo usano.

PHP2Shell: un difetto nel cuore di PHP

21 ottobre 2026 · gravità critica · CVE-2026-109618 e CVE-2026-109619

PHP è il linguaggio con cui è costruita gran parte dei siti del mondo, SicilyTravel compreso. Dei ricercatori hanno trovato un modo per far «inciampare» PHP con una richiesta fatta apposta: quello che restava in memoria dopo l'inciampo poteva essere letto, e in certi casi usato per far girare un programma estraneo. Senza bisogno di entrare nel sito.

Cosa ho fatto: ho controllato se il server di SicilyTravel era fra quelli scoperti, e lo era, come quasi tutti. Ho installato la versione corretta di PHP appena è uscita e ho riavviato il sito. Poi ho verificato che la correzione fosse davvero al suo posto.

Devo fare qualcosa?

No. Il rimedio era tutto dalla mia parte, ed è già fatto.

Due buone abitudini, che valgono sempre:

• tieni aggiornati il telefono e il browser: è lì che arrivano le correzioni come queste;
• il codice che ti mando per email o per SMS serve solo a te. Non te lo chiedo mai, né per telefono né per messaggio.

Come lavoro, sempre

• Niente password da rubare: si entra con un codice che arriva per email o per SMS.
• Da un dispositivo nuovo ti avviso, e con un tocco puoi buttare fuori tutti.
• Puoi aggiungere un PIN: da un dispositivo nuovo, dopo il codice, servirà anche quello.
• I tuoi dati personali, come l'email e il numero di telefono, sono conservati cifrati.
• Quando esce una correzione importante, la metto subito, e la racconto qui.