News digitali di ottobre 2026: decreto AI Act, tracking pixel nelle email e vulnerabilità PHP
Dal 23 ottobre è in vigore il decreto legislativo AI Act europeo. Dal 29 ottobre i tracking pixel nelle email richiedono informativa e consenso. Il 21 ottobre PHP ha rilasciato le patch per PHP2Shell, due vulnerabilità critiche che permettono di eseguire codice da remoto sui server non aggiornati.
Indice
Ottobre non è stato esattamente un mese tranquillo per chi lavora nel digitale.
Una legge è entrata in vigore, una scadenza è arrivata e una vulnerabilità ha costretto mezzo web ad aggiornare i server in fretta.
Sono tre notizie diverse, ma hanno una cosa in comune: riguardano anche te, se hai un sito, mandi newsletter o usi l’intelligenza artificiale in azienda.
In questo articolo, le abbiamo spiegate senza troppi giri di parole e accompagnate dai prossimi passi che ti consigliamo di fare.
Le 3 news di ottobre 2026 in sintesi
Se hai solo 1 minuto, ecco cosa è successo, quando e chi deve muoversi.
Sotto trovi ogni notizia nel dettaglio.
- Decreto AI Act 179/2026, in vigore dal 23 ottobre 2026. Riguarda aziende, professionisti e PA che usano sistemi di AI. Cosa fare: mappare gli strumenti usati, formare chi li usa e aggiornare le informative ai lavoratori.
- Linee guida del Garante sui tracking pixel, adeguamento entro il 29 ottobre 2026. Riguardano chi invia newsletter ed email con statistiche di apertura. Cosa fare: aggiornare informativa e moduli di iscrizione, prevedere la revoca del tracciamento.
- PHP2Shell (CVE-2026-109618 e CVE-2026-109619), patch del 21 ottobre 2026. Riguarda chiunque abbia un sito o un’applicazione in PHP, WordPress compreso. Cosa fare: aggiornare PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 e verificare i siti.
1 Decreto AI Act 179/2026: cosa cambia in Italia dal 23 ottobre
L’AI Act esiste dal 2024, ma finora in Italia mancava un pezzetto: chi controlla e chi sanziona.
Dal 23 ottobre 2026 quel pezzetto c’è.
Il decreto legislativo 179/2026 non riscrive le regole europee: le rende applicabili, con autorità, procedure e multe.
Per le aziende significa che l’AI usata senza criterio smette di essere solo un problema teorico.
Cos’è il decreto legislativo 179/2026
Il decreto legislativo 7 ottobre 2026, n. 179 adegua la normativa italiana al Regolamento UE 2024/1689, cioè l’AI Act. È stato pubblicato nella Gazzetta Ufficiale il 7 ottobre, conta 54 articoli ed è in vigore dal 23 ottobre 2026.
Attenzione a non confonderlo con il D.Lgs. 160/2026: sono due atti distinti, e il 179 è il secondo decreto di adeguamento, con obblighi propri.
Oltre a vigilanza e sanzioni, il testo disciplina le sandbox regolatorie (spazi controllati per sperimentare sistemi di AI), l‘uso dell’AI nel lavoro e la formazione nelle professioni regolamentate.
AgID e ACN: chi vigila sull’intelligenza artificiale in Italia
Il decreto affida i poteri nazionali di vigilanza e sanzione a due soggetti: AgID (Agenzia per l’Italia Digitale) e ACN (Agenzia per la Cybersicurezza Nazionale). A coordinarli ci sono un punto di contatto unico e un comitato di coordinamento.
Tradotto: da adesso esiste qualcuno che può chiederti come usi l’AI e chiederti di dimostrarlo.
Per questo la documentazione interna diventa importante: elenco degli strumenti usati, finalità, chi li supervisiona e quale formazione è stata fatta.
Sanzioni AI Act: fino a 35 milioni di euro o al 7% del fatturato
La sanzione massima arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Vale per le pratiche vietate dall’articolo 5 dell’AI Act, come la manipolazione dei comportamenti o il social scoring.
Non tutte le violazioni costano milioni.
Per quelle di scarsa offensività o pericolosità il decreto prevede anche misure non pecuniarie al posto della multa.
Il messaggio però è chiaro: l’AI Act ora morde.
Intelligenza artificiale e lavoro: le decisioni finali restano a una persona
Questa è sicuramente la novità con l‘impatto più immediato.
Se un’azienda usa l’AI nei processi che riguardano il personale, la decisione finale su assunzione, modifica e cessazione del rapporto deve spettare a una persona fisica. Lo stesso vale per provvedimenti disciplinari e valutazioni delle prestazioni.
L’AI può quindi aiutare a selezionare un CV o a leggere dei dati, ma non può essere lei a decidere.
E la persona che decide deve avere un potere effettivo: un “ok” automatico messo sotto la scelta dell’algoritmo non basta.
Chi lavora con questi sistemi deve anche poter ricevere spiegazioni chiare sulle decisioni supportate dall’AI.
L’AI Act è stato rinviato? Cosa cambia con il Digital Omnibus
No, o meglio: solo in parte.
Il Digital Omnibus, cioè il Regolamento UE 2026/1744 in vigore dal 27 luglio 2026, ha spostato in avanti soprattutto gli obblighi sui sistemi ad alto rischio. Tutto il resto ha mantenuto le sue date.
- Pratiche vietate (art. 5): nessun rinvio, in vigore dal 2 febbraio 2025.
- Alfabetizzazione sull’AI (art. 4): nessun rinvio, in vigore dal 2 febbraio 2025.
- Trasparenza e marcatura dei contenuti (art. 50), sistemi già sul mercato: dal 2 agosto 2026 al 2 dicembre 2026.
- Sistemi ad alto rischio autonomi (allegato III): dal 2 agosto 2026 al 2 dicembre 2027.
- Sistemi ad alto rischio integrati in prodotti (allegato I): dal 2 agosto 2027 al 2 agosto 2028.
Insomma, leggere “rinvio” come “pausa” è l’errore più comune per chi non è esperto di legislazione.
Chi usa l’AI per lavoro ha già oggi obblighi in vigore, a partire dalla formazione delle persone.
AI Act: cosa devono fare le aziende adesso
Non serve un ufficio legale interno per iniziare. Servono ordine e qualche decisione presa per tempo:
- Mappa gli strumenti di AI che usi. Chatbot, generatori di testi e immagini, software HR, CRM con funzioni predittive: metti tutto in un elenco, con chi li usa e per cosa.
- Forma le persone. L’alfabetizzazione sull’AI è un obbligo già in vigore, non un corso facoltativo.
- Rivedi i processi che toccano il personale. Se l’AI entra in selezione, valutazione o provvedimenti, la decisione finale deve restare a una persona.
- Aggiorna informative e procedure interne. Chi lavora con te deve sapere quando e come l’AI entra nelle decisioni che lo riguardano.
- Documenta. In caso di controllo conta quello che puoi dimostrare, non quello che dichiari.
Se l’AI è entrata anche nei tuoi contenuti e nelle tue campagne, ne abbiamo parlato in questo articolo del nostro blog: “Dalla SEO alla GEO: perché nel 2026 il copywriting strategico è il vero motore della tua visibilità online”, dove spieghiamo come la GEO sta cambiando la visibilità online.
2 Tracking pixel nelle email: le linee guida del Garante Privacy in vigore dal 29 ottobre
Il tasso di apertura della tua newsletter ha un prezzo, e da questo mese si chiama consenso.
Il 29 ottobre 2026 è scaduto il termine per adeguarsi alle linee guida del Garante Privacy sui pixel di tracciamento nelle email. Chi invia newsletter, DEM o email commerciali con statistiche di apertura deve aver aggiornato informativa, consensi e sistemi di revoca.
Cos’è un pixel di tracciamento
Un pixel di tracciamento è un’immagine trasparente grande un solo punto dello schermo.
Non sta dentro l’email: è ospitata su un server remoto e si carica quando il messaggio viene aperto. In quel momento comunica a chi ha inviato l’email che qualcosa è successo.
Secondo il Garante, a seconda dei casi il pixel può raccogliere indirizzo IP, dispositivo usato, tempo di lettura e numero di aperture. Può anche rilevare se il messaggio è stato cancellato, inoltrato o archiviato.
Se non lo sapessi, si tratta del meccanismo dietro quasi tutte le statistiche di apertura delle piattaforme di email marketing.
Cosa prevede il provvedimento 284/2026 del Garante
Le linee guida sono state adottate con il provvedimento n. 284 del 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026. Il termine di sei mesi per adeguarsi è scaduto il 29 ottobre 2026, come il Garante ha ricordato nel comunicato del 5 ottobre.
Il punto centrale è l’inquadramento giuridico. Il Garante tratta il pixel come un accesso al dispositivo dell’utente, regolato dall’articolo 122 del Codice privacy: la stessa logica dei cookie.
In linea generale, quindi, l’uso è vietato senza consenso preventivo, salvo alcune eccezioni.
Le linee guida chiariscono anche i ruoli. Chi decide finalità e mezzi del tracciamento è titolare del trattamento, anche se la parte operativa è affidata a una piattaforma esterna.
In poche parole: l’informativa sul tracciamento va data sempre, qualunque sia il tipo di email e chiunque sia il mittente, pubblico o privato.
Consenso ai tracking pixel nelle newsletter: come raccoglierlo
La buona notizia è che non servono due caselle. Il consenso al tracciamento può essere raccolto insieme a quello per ricevere comunicazioni promozionali. Il testo dell’opt-in però deve dirlo in modo esplicito e neutro: un consenso alla newsletter che non nomina il tracciamento non copre il tracciamento.
Per gli iscritti che hai già, le linee guida chiedono di introdurre e comunicare un meccanismo per revocare il consenso, anche solo per il tracciamento. È la parte più difficile dal punto di vista tecnico: la piattaforma deve saper inviare a un singolo contatto email senza pixel e senza link tracciati.
Quando i pixel di tracciamento non richiedono consenso
Il Garante prevede alcune eccezioni in cui il pixel può essere usato senza consenso specifico:
- statistiche in forma aggregata;
- finalità di sicurezza;
- esigenze tecniche strettamente necessarie;
- comunicazioni dovute, istituzionali o di servizio.
Anche in questi casi valgono proporzionalità e minimizzazione dei dati. Il Garante raccomanda inoltre misure di privacy by design, per esempio evitare che l’indirizzo email del destinatario viaggi nella richiesta generata dal pixel.
Ispezioni del Garante e checklist per l’email marketing
La scadenza non è solo formale. Con il provvedimento n. 545 del 23 luglio 2026 il Garante ha inserito la verifica di queste linee guida nel piano ispettivo di agosto-dicembre 2026. I controlli, quindi, sono già in calendario.
Se non l’hai ancora fatto, ecco da dove partire:
- Verifica se la tua piattaforma di invio usa pixel e link tracciati, e quali opzioni ha rilasciato per adeguarsi.
- Aggiorna l’informativa privacy con una sezione dedicata ai tracking pixel: funzionamento, dati raccolti, finalità, base giuridica, conservazione e revoca.
- Modifica il modulo di iscrizione alla newsletter citando esplicitamente il tracciamento.
- Comunica agli iscritti attuali come revocare il consenso al tracciamento.
- Controlla che la piattaforma possa escludere dal tracciamento i singoli contatti che lo chiedono.
- Rivedi i KPI: se una parte degli iscritti non è più tracciata, il tasso di apertura cambia significato.
L’ultimo punto conta più di quanto sembri. Una newsletter si misura su click, risposte e conversioni, non solo sulle aperture.
Digital marketing
(strategia + creatività)
Branding, social media, grafica e digital advertising: costruiamo una comunicazione coerente e strategica per far crescere il tuo progetto.
3 PHP2Shell: le vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619
Il 21 ottobre PHP ha avuto una pessima giornata, e con lui una buona fetta del web.
Sono state corrette due vulnerabilità critiche che permettono di eseguire codice da remoto sui server non aggiornati. Non è la falla di un plugin qualsiasi: è il linguaggio su cui gira gran parte dei siti, WordPress compreso.
Cosa sono le vulnerabilità PHP2Shell
PHP2Shell è il nome dato a due vulnerabilità del motore di PHP, CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio CVSS v4.0 di 9.2 su 10 e permettono a un attaccante non autenticato di eseguire codice sul server, con i privilegi del processo web.
- CVE-2026-109618 si attiva quando PHP esaurisce la memoria mentre prepara una richiesta. Alcuni dati restano costruiti a metà e il codice di pulizia li tratta come validi, aprendo la strada all’esecuzione di codice.
- CVE-2026-109619 nasce da informazioni che sopravvivono alla fine di una richiesta, dopo che la memoria che le conteneva è stata liberata. Se lo stesso processo gestisce una richiesta successiva, può leggere quei dati non più validi.
La tempistica ha peggiorato le cose.
I dettagli sono trapelati online il 20 ottobre, un giorno prima delle patch. Secondo Datadog, AWS ha rilevato tentativi di sfruttamento già dal 17 ottobre. Il 26 ottobre l’agenzia americana CISA ha inserito entrambe le falle nel catalogo delle vulnerabilità sfruttate attivamente.
Quali server e siti sono esposti (WordPress incluso)
È esposta qualsiasi installazione PHP che risponde a richieste web, a prescindere dal sito o dall’applicazione che ci gira sopra. Sono coinvolti PHP-FPM, Apache con mod_php (secondo PHP il caso a rischio più alto), php-cgi, FrankenPHP e LiteSpeed.
Quindi sì: WordPress, WooCommerce, gestionali e API scritte in PHP sono tutti interessati, se il server non è aggiornato.
E il login del sito non protegge: PHP elabora la richiesta malevola prima che entri in gioco qualsiasi codice dell’applicazione. Palo Alto Networks ha stimato oltre 22,6 milioni di istanze potenzialmente vulnerabili esposte online.
Versioni PHP corrette: 8.5.12, 8.4.27, 8.3.36 e 8.2.35
La soluzione è aggiornare PHP a una di queste versioni, o al pacchetto corretto rilasciato dal tuo fornitore di hosting o dalla tua distribuzione Linux:
- PHP 8.5 → 8.5.12
- PHP 8.4 → 8.4.27
- PHP 8.3 → 8.3.36
- PHP 8.2 → 8.2.35
Trovi gli avvisi ufficiali su php.net.
Esiste una mitigazione temporanea che blocca il percorso di attacco noto, ma non sostituisce l’aggiornamento: anche gli analisti che l’hanno descritta sconsigliano di considerarla una soluzione definitiva.
Se il tuo sito è su WordPress e non sai quale versione di PHP usa, puoi verificarlo dalla bacheca in Strumenti > Salute del sito > Info > Server.
Come abbiamo gestito l’aggiornamento PHP sui nostri server
Online c’è chi dice che si risolve in tre secondi, magari chiedendo all’AI. Su un sito singolo, forse. Su decine di server e progetti in produzione, no.
A noi sono servite ore.
Abbiamo aggiornato tutte le macchine, poi abbiamo ricontrollato ogni sito e servizio, uno per uno. L’aggiornamento di PHP è la parte veloce. La parte che richiede tempo è verificare che tutto quello che ci gira sopra funzioni ancora: form, pagamenti, integrazioni, aree riservate.
Per i siti WordPress che seguiamo con la nostra gestione tecnica è stato un intervento urgente, ma ordinario: si aggiorna, si verifica e si chiude.
1 abbonamento 0 pensieri
Con WeggPress il tuo sito WordPress è gestito ogni mese da professionisti, con aggiornamenti, sicurezza, backup, hosting e assistenza inclusi.
Siti e gestionali con versioni PHP obsolete: perché il rischio è maggiore
Per chi ha un sito o un software fermo da anni, il problema è molto più grosso.
Le correzioni ufficiali sono uscite per i rami dall’8.2 in su. Chi è rimasto su versioni più vecchie non ha una patch da installare: deve prima salire di versione.
E saltare da una versione di PHP vecchia a una recente spesso rompe qualcosa: temi, plugin e funzioni scritte su misura che non sono mai state aggiornate. Finché non riesci ad aggiornare, resti esposto.
È qui, che un intervento da poche ore, può diventare un progetto da gestire con uno sviluppo custom come quelli che seguiamo con Synextya.
Sviluppo custom e tecnologie al tuo servizio
Integrazioni, automazioni e funzionalità custom: con Synextya trasformiamo esigenze complesse in soluzioni solide.
Sicurezza e compliance digitale: cosa insegnano le news di ottobre
Una legge, una scadenza privacy e una vulnerabilità. Sembrano tre mondi diversi, ma lo schema è lo stesso: chi si muove il giorno in cui esce la notizia arriva tardi.
Chi aveva già un elenco degli strumenti di AI usati, il decreto 179 lo ha vissuto con tranquillità. Chi conosceva la propria piattaforma di invio email ha aggiornato informativa e moduli in un pomeriggio. Chi aveva server mantenuti ha chiuso PHP2Shell in poche ore.
Gli altri stanno ancora sudando.
E una cosa è chiara: sicurezza e compliance non si improvvisano.
Si costruiscono ogni giorno, con una manutenzione continua del sito, dei dati e dei processi. Non è la parte più divertente del digitale, ma è quella che ti evita le sorprese peggiori.
Se vuoi capire da dove partire e/o ricerchi un supporto tecnico, richiedici una consulenza.
Novità digitali in arrivo a novembre e dicembre 2026 (+ 1 per il 2027)
Memorizza queste date:
- Fino a dicembre 2026: ispezioni del Garante. Il piano ispettivo di agosto-dicembre include la verifica delle linee guida sui tracking pixel. Chi non si è ancora adeguato ha poco tempo.
- 2 dicembre 2026: trasparenza AI (art. 50). Scade la proroga per i sistemi di AI già sul mercato prima del 2 agosto 2026. Riguarda gli obblighi di trasparenza e la marcatura dei contenuti generati dall’AI, come i watermark.
- Nelle prossime settimane: PHP2Shell. Con exploit pubblici in circolazione, i tentativi di attacco sui server non aggiornati continueranno. Vale la pena ricontrollare che anche ambienti di test, staging e vecchi sottodomini siano stati aggiornati.
Tra poco più di 1 anno, il 2 dicembre 2027, arriveranno gli obblighi per i sistemi di AI ad alto rischio. Ne riparleremo.
FAQ sulle news digitali di ottobre 2026
Le domande più frequenti che ci sono arrivate dai nostri clienti e community in queste settimane, con risposte brevi e dirette.
Da quando è in vigore il decreto italiano sull’AI Act?
Il decreto legislativo 179/2026 è in vigore dal 23 ottobre 2026. È stato pubblicato nella Gazzetta Ufficiale del 7 ottobre 2026 e adegua la normativa italiana all’AI Act europeo.
Chi controlla l’uso dell’intelligenza artificiale in Italia?
I poteri di vigilanza e sanzione sono affidati ad AgID e ACN, coordinate da un punto di contatto unico e da un comitato di coordinamento.
L’AI Act è stato rinviato?
Solo in parte. Il Digital Omnibus ha spostato al 2 dicembre 2027 e al 2 agosto 2028 gli obblighi sui sistemi ad alto rischio. Divieti e alfabetizzazione sull’AI sono già in vigore dal 2 febbraio 2025.
Serve il consenso per i pixel di tracciamento nelle newsletter?
Sì, salvo eccezioni come statistiche aggregate, sicurezza o comunicazioni di servizio. Il consenso può essere raccolto insieme a quello per la newsletter, se il testo dell’opt-in cita esplicitamente il tracciamento.
Cosa rischia chi non si è adeguato alle linee guida sui tracking pixel?
Il termine è scaduto il 29 ottobre 2026 e il Garante ha inserito queste verifiche nel piano ispettivo fino a dicembre 2026. Chi usa pixel senza informativa e consenso può essere oggetto di controlli e provvedimenti.
Cos’è PHP2Shell e come capisco se il mio sito è vulnerabile?
PHP2Shell è una coppia di vulnerabilità critiche di PHP (CVE-2026-109618 e CVE-2026-109619) che permettono di eseguire codice da remoto. Il sito è a rischio se il server usa una versione di PHP precedente a 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
WordPress è a rischio con PHP2Shell?
Sì, se il server su cui gira non è aggiornato. La vulnerabilità è in PHP, non in WordPress: aggiornare plugin e tema non basta, serve aggiornare PHP.