# Sicurezza IT per commercialisti e i loro portali clienti > Upload dei documenti, portale clienti, dati paga: come i commercialisti proteggono i sistemi PHP da PHP2Shell e i dati dei clienti anche nelle scadenze. Fonte: https://phpsos.de/it/branchen/steuerberater/ Stato: 25/10/2026 Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6 **In breve:** per la sicurezza IT dei commercialisti è decisivo quali sistemi lo studio gestisca da sé. I grandi portali dei fornitori di software sono di responsabilità di questi ultimi; il sito web proprio, i moduli di upload e i data room, invece, sono di responsabilità Sua. Questi devono ora passare a un PHP aggiornato, con riavvio e prova scritta. ## Quali sistemi girano su PHP negli studi di commercialisti Per contabilità e paghe la maggior parte degli studi usa software specializzato e i relativi portali. Accanto a questi, nel tempo nascono soluzioni proprie: un modulo di upload sul sito web per i documenti, questionari per la dichiarazione dei redditi, una pagina per i nuovi dipendenti dei clienti in cui raccogliere i dati anagrafici per le paghe, un portale per le candidature o una [Nextcloud](https://phpsos.de/it/plattformen/nextcloud/) gestita in proprio per i file di grandi dimensioni. Questi sistemi girano quasi sempre su PHP e sono curati da un'agenzia, da una società di servizi informatici o da un hoster. Proprio i piccoli moduli cadono nel dimenticatoio, perché una volta configurati hanno semplicemente continuato a funzionare. Spesso i documenti caricati restano così per anni nella cartella di upload del server web, anche se da tempo sono stati elaborati nel software dello studio. ## Quali dati sono in gioco Gli studi di commercialisti trattano dati con una densità che quasi nessun altro settore raggiunge: IBAN ed estratti conto, codici fiscali, attestazioni di reddito, elenchi dei soci e buste paga. I dati paga contengono talvolta anche categorie particolari ai sensi dell'art. 9 GDPR, ad esempio l'appartenenza religiosa per l'imposta ecclesiastica tedesca (Kirchensteuer). Si aggiunge il segreto professionale: i commercialisti sono tenuti alla riservatezza e la rivelazione non autorizzata può essere punibile ai sensi del § 203 StGB (codice penale tedesco). E molti interessati non sono affatto Suoi clienti, ma i loro dipendenti. In caso di fuga di dati la cerchia degli interessati si allarga così rapidamente. ## Sicurezza IT dei commercialisti: che cosa innesca concretamente un incidente Un attacco a uno studio di commercialisti ha conseguenze tipiche, diverse da quelle di altri settori: - **Frode con dati reali:** chi conosce fatture, coordinate bancarie e interlocutori può inviare ai clienti richieste di pagamento ingannevolmente autentiche. - **Pressione delle scadenze:** se il portale di upload si ferma nel periodo delle dichiarazioni, i documenti si accumulano e i clienti ripiegano su vie poco sicure come le e-mail non cifrate. - **Fiducia:** i clienti contano sul fatto che le loro finanze restino riservate. Un incidente di cui vengono a sapere dalla stampa pesa di più di uno su cui lo studio stesso informa in modo oggettivo. > **Agire subito:** > Se il Suo portale di upload si trova su un server di cui nessuno può confermare lo stato delle patch PHP, lo scolleghi dalla rete finché non siano dimostrati patch e riavvio. È ciò che raccomanda il BSI (Ufficio federale tedesco per la sicurezza informatica) per i server che non possono essere aggiornati subito. ## Il vuoto di responsabilità tra società di servizi informatici e agenzia La società di servizi informatici cura il software dello studio e le postazioni, l'agenzia il sito web, l'hoster il server. Chi sia responsabile di PHP sul server web raramente è scritto in modo esplicito nel contratto. Lo chiarisca ora e si faccia confermare lo stato del pacchetto. Come interpretare le indicazioni lo spiega la guida [Verificare la versione di PHP e lo stato delle patch](https://phpsos.de/it/php2shell/php-version-pruefen/). Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se un'interfaccia mostra uno stato più vecchio, può comunque essere stato applicato un backport. Per contro, un aggiornamento senza riavvio dei processi PHP non basta. ## Che cosa i clienti dovrebbero sapere da Lei adesso I clienti reagiscono alle notizie sulle vulnerabilità di sicurezza con incertezza, soprattutto se caricano regolarmente documenti. Un'informazione breve e oggettiva ispira allora fiducia: quali vie valgono al momento per lo scambio di documenti, che lo studio non modifica mai le coordinate bancarie per e-mail e che le richieste di pagamento sospette andrebbero verificate per telefono. Per i clienti aziendali è utile un ulteriore avviso: uffici paghe e reparti del personale dovrebbero prestare particolare attenzione a richieste su dati retributivi o a coordinate bancarie modificate dei dipendenti. Questi tentativi di frode sfruttano volentieri conoscenze provenienti dagli studi. Se un incidente concreto richieda una comunicazione formale ai sensi del GDPR è una questione a sé, che chiarisce con il Suo responsabile della protezione dei dati. ## Prime ore per la direzione dello studio 1. Elencare tutti i sistemi PHP propri raggiungibili da Internet, anche vecchi moduli e installazioni di prova. 2. Per ogni sistema far confermare per iscritto stato delle patch e riavvio, oppure disattivarlo temporaneamente. 3. Salvare i log dal 20/10/2026 e stabilire una via alternativa sicura per lo scambio dei documenti. 4. Informare presto assicuratore e responsabile della protezione dei dati. Che cosa richieda il Suo contratto lo spiega la pagina sull'[assicurazione cyber](https://phpsos.de/it/compliance/cyberversicherung/). ## Come aiuta concretamente PHP SOS? - Censiamo tutti i sistemi PHP dello studio raggiungibili dall'esterno e chiariamo quali si trovano presso il fornitore di software e quali presso di Lei. - Nell'ambito dell'[assistenza immediata PHP2Shell](https://phpsos.de/it/leistungen/php2shell-soforthilfe/) aggiorniamo o facciamo aggiornare, riavviamo tutti i worker e documentiamo il risultato. - Verifichiamo directory di upload e database alla ricerca di web shell e accessi sconosciuti. - Facciamo pulizia: ciò che non serve più lo disattiviamo, d'intesa con Lei, anziché continuare ad aggiornarlo. - Con un [contratto di manutenzione della sicurezza](https://phpsos.de/it/leistungen/security-wartungsvertrag/) la responsabilità per PHP resta poi chiaramente regolata. ## Domande frequenti **Lo scambio di documenti tramite i grandi portali dei fornitori di software è interessato?** I portali che un fornitore di software gestisce nel proprio centro di calcolo sono di sua responsabilità. Per il loro stato di aggiornamento risponde il fornitore. Possono essere interessati soprattutto i sistemi che il Suo studio gestisce in proprio o tramite un'agenzia, ad esempio moduli del sito web, pagine di upload o una Nextcloud propria. **Perché i dati dei commercialisti sono così interessanti per gli aggressori?** Uno studio di commercialisti concentra i dati di molte imprese e privati: coordinate bancarie, redditi, codici fiscali e dati paga dei dipendenti. Con essi si preparano e-mail truffa credibili e furti di identità. Un solo incidente coinvolge così spesso centinaia di persone che lo studio non ha mai incaricato direttamente. **Che cosa fare se il portale deve andare offline proprio nel periodo delle scadenze?** Stabilisca in anticipo una via alternativa per lo scambio dei documenti, ad esempio una consegna cifrata tramite un sistema non interessato. Informi i clienti in modo breve e oggettivo. Scadenze ed eventuali proroghe le chiarisce come di consueto sul piano professionale; un portale messo offline non sostituisce un accordo. **L'assicurazione cyber paga se non avevamo installato le patch?** Dipende dalle condizioni e dagli obblighi del Suo contratto. Informi presto l'assicuratore e documenti quando ha adottato quale misura. Un'indicazione vincolante la dà solo l'assicuratore o il Suo broker. ## Fonti - [php.net: bollettini di sicurezza](https://www.php.net/) - [php.net: versioni supportate](https://www.php.net/supported-versions.php) - [BSI: avvisi e raccomandazioni](https://www.bsi.bund.de/)