Cos'è PHP e perché alimenta gran parte del web?

Voglio solo che il sito web funzioni. Ma dietro gran parte del World Wide Web c'è un linguaggio di programmazione che ha più di trent'anni. Si tratta del PHP.

Abbiamo tutti appreso di recente cosa succede se sono in Rilevate vulnerabilità PHPIl mondo intero è nel panico, e a ragione. Due vulnerabilità critiche in PHP potrebbero consentire agli aggressori di eseguire codice dannoso su server remoti senza autorizzazione preventiva. Gli sviluppatori sono intervenuti immediatamente, ma forse ora è il momento di parlare di cos'è PHP, perché una tecnologia così datata è ancora dominante e come un bug in un linguaggio di programmazione possa compromettere il World Wide Web.

Cos'è PHP e cosa significa il suo nome?

PHP è un linguaggio di programmazione pensato principalmente per la creazione di siti web e applicazioni web. Il nome è l'abbreviazione di PHP Hypertext Preprocessor e originariamente significava "Personal Home Page" (pagina iniziale personale). Già da questo si evince chiaramente che il linguaggio è nato da un'esigenza puramente pratica: rendere i siti web più dinamici e non semplici pagine di testo statico.

Le origini del linguaggio risalgono al 1994, quando il programmatore danese-canadese Rasmus Lerdorf sviluppò semplici strumenti per monitorare le visite al suo sito web personale. Questi strumenti si sono gradualmente evoluti in un linguaggio di programmazione che è diventato uno dei pilastri fondamentali del World Wide Web.

PHP è un linguaggio di scripting. Ciò significa che il codice non viene compilato in anticipo in un programma autonomo, ma viene letto ed eseguito da un servizio speciale chiamato interprete ad ogni richiesta. Questo semplifica notevolmente il lavoro del programmatore rispetto a quello richiesto da linguaggi più rigorosi, rendendo PHP molto adatto ai principianti. È inoltre open source, il che significa che il suo codice sorgente è disponibile pubblicamente e chiunque può utilizzarlo e migliorarlo gratuitamente.

Secondo la società di ricerca W3Techs Al 21 ottobre 2026, PHP era presente su circa il 69,3% dei siti web in cui era possibile identificare il linguaggio di programmazione lato server utilizzato. Questo dato non rappresenta il 69,3% dell'intera Internet, ma è una chiara indicazione della sua diffusione.

Come funziona PHP?

La parola chiave è "lato server". Quando apro una pagina web nel mio browser, quest'ultimo invia una richiesta al server, ovvero al computer che memorizza la pagina e la fornisce al visitatore. Se la pagina è scritta in PHP, il server passa prima il codice all'interprete. L'interprete lo esegue, legge i dati dal database se necessario, compila la pagina finale in HTML e la invia nuovamente al browser. L'HTML è il linguaggio in cui sono scritte tutte le pagine web e il browser può visualizzarle come testo, immagini e pulsanti. Il CSS ne determina l'aspetto, mentre JavaScript ne abilita l'interattività, come la risposta ai clic, l'apertura di menu e l'aggiornamento dei contenuti.

Il visitatore, quindi, non vede mai il codice PHP vero e proprio, ma solo il risultato. Questo è importante anche dal punto di vista della sicurezza, poiché il codice spesso contiene dati per accedere al database. Se un malintenzionato si impossessa del codice, si impossessa anche di questi dati.

Inseriamo il codice PHP in una normale pagina web tra i tag Tutto ciò che si trova al loro interno viene eseguito dall'interprete, mentre tutto il resto rimane invariato. È proprio questa semplicità che ha contribuito alla rapida diffusione del linguaggio negli anni '90.

Sentiamo spesso l'acronimo LAMP. Sta per la classica combinazione del sistema operativo Linux, del server web Apache, del database MySQL e del linguaggio PHP. Si tratta di un insieme di strumenti gratuiti che ha alimentato gran parte del web per decenni e continua a farlo ancora oggi in molti ambiti.

PHP non è solo un linguaggio per siti web semplici

Sebbene PHP sia nato in un'epoca in cui il web era molto più semplice, le sue capacità odierne superano di gran lunga il suo scopo originario. Può essere utilizzato per sviluppare negozi online, applicazioni aziendali, portali utente, sistemi di prenotazione e interfacce di programmazione per lo scambio di dati tra diversi servizi.

Il PHP moderno supporta la programmazione orientata agli oggetti. Il programmatore può suddividere la logica di programmazione in classi e oggetti che rappresentano i singoli componenti dell'applicazione. Supporta inoltre la tipizzazione dei dati, le eccezioni per la gestione degli errori e molti altri meccanismi che consentono di ottenere un codice di programmazione più organizzato e prevedibile.

Un programmatore non deve necessariamente sviluppare tutte le funzionalità da zero. Sono disponibili framework come Laravel e Symfony che semplificano lo sviluppo di applicazioni più complesse. Anche Composer, un gestore di dipendenze, gioca un ruolo importante. Permette agli sviluppatori di includere librerie già pronte e di controllarne le versioni.

Senza i database, la sua utilità sarebbe di gran lunga inferiore.

Uno dei compiti principali di PHP è connettere le applicazioni web ai database. Quando accedo a un negozio online, il sistema deve verificare il mio account utente. Quando effettuo un ordine, deve memorizzare i prodotti selezionati, l'indirizzo di spedizione e le informazioni relative all'ordine. PHP è in grado di interagire con sistemi come MySQL, MariaDB, PostgreSQL e SQLite per svolgere queste funzioni.

Per l'accesso ai database, è disponibile, tra gli altri, PDO. Oggetti dati PHPSi tratta di un'interfaccia di programmazione che consente di lavorare con diversi sistemi di dati. In tal caso, lo sviluppatore deve prestare particolare attenzione alla sicurezza.

Se un'applicazione inserisce inavvertitamente l'input dell'utente in un comando del database, può verificarsi una vulnerabilità nota come SQL injection. SQL è un linguaggio standardizzato per lavorare con i database relazionali. Un utente malintenzionato può sfruttare tale falla per leggere o modificare i dati senza autorizzazione.

La protezione consigliata consiste nell'utilizzare query preparate, in cui i dati dell'utente vengono trattati separatamente dal comando stesso.

Perché PHP è così strettamente associato a WordPress?

L'esempio migliore della sua diffusione è WordPress, uno dei sistemi di gestione dei contenuti più utilizzati sul web. WordPress si basa su PHP e su un database. Quando un redattore pubblica un articolo, il suo contenuto viene memorizzato in un database. PHP si occupa quindi di recuperare il contenuto, verificare i permessi dell'utente e preparare la pagina che il visitatore visualizzerà.

Allo stesso modo, anche Drupal e Joomla sono basati su PHP, così come il negozio online WooCommerce e il software MediaWiki, su cui si basa Wikipedia. PHP permette inoltre l'utilizzo di estensioni, la gestione degli account utente, la creazione di moduli, la creazione di negozi online e numerose funzioni editoriali. Tuttavia, è importante distinguere tra le vulnerabilità intrinseche di PHP, i bug di WordPress e i problemi dei singoli plugin.

Ad esempio, aggiornare WordPress non significa necessariamente che anche PHP sul server venga aggiornato. Si tratta di livelli software diversi che richiedono una manutenzione separata. Questa distinzione viene spesso trascurata, soprattutto dagli utenti meno esigenti che affidano la gestione del server al proprio fornitore di hosting.

Cosa hanno rivelato le ultime vulnerabilità critiche?

Gli avvisi di sicurezza, identificati con i codici CVE-2026-109618 e CVE-2026-109619, sono particolarmente gravi perché riguardano il funzionamento interno di PHP. CVE è una designazione internazionale standardizzata per le vulnerabilità di sicurezza note pubblicamente. Entrambi i bug hanno ricevuto un punteggio CVSS di 9,2, che valuta la gravità delle falle di sicurezza su una scala fino a 10.

La prima vulnerabilità è legata a una gestione errata della memoria quando questa si esaurisce durante l'elaborazione di una richiesta. La seconda è causata dall'utilizzo di dati interni associati a una richiesta precedente dopo che la memoria ad essa relativa è già stata liberata. In determinate circostanze, un utente malintenzionato potrebbe sfruttare tale falla per eseguire codice remoto senza dover accedere all'applicazione.

Nel caso di PHP, viene specificamente sconsigliato l'uso di mod_php, in quanto è stato dimostrato un attacco che può essere attivato prima dell'esecuzione del codice dell'applicazione web. Ciò significa che anche un sito web scritto correttamente non è necessariamente protetto se utilizza una versione vulnerabile di PHP.

PHP perderà la sua posizione dominante a causa delle vulnerabilità?

PHP non è né uno strumento miracoloso né una reliquia deprecabile. È un linguaggio maturo, veloce e ampiamente utilizzato che, grazie alla sua semplicità, ha aperto le porte della programmazione web a molti. Ma proprio questa diffusione è il suo tallone d'Achille, poiché qualsiasi errore grave può compromettere gran parte del web. Per i lettori che gestiscono un proprio sito web o negozio online, il messaggio più importante è quindi semplice: aggiornate regolarmente e non aspettate il primo attacco.