Domande frequenti
Risposte brevi. Per approfondire consulti le pagine di approfondimento collegate.
Che cos'è PHP2Shell?
PHP2Shell indica due vulnerabilità critiche in PHP stesso (CVE-2026-109618 e CVE-2026-109619, CVSS 9,2). Possono consentire ad aggressori di eseguire codice dannoso sul server senza autenticazione. Le patch sono disponibili dal 21/10/2026.
Quali versioni di PHP sono sicure?
Le correzioni sono incluse in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Hoster e distribuzioni talvolta applicano backport senza modificare il numero di versione. Fa fede lo stato del pacchetto o la conferma scritta del fornitore.
Basta un aggiornamento di WordPress o dello shop?
No. La vulnerabilità è in PHP, non nel CMS. Un aggiornamento del CMS non la chiude. E una patch di PHP non rimuove il codice dannoso introdotto in precedenza.
Quanto rapidamente potete aiutarci?
Lavoriamo da remoto e iniziamo non appena sono disponibili gli accessi. Ci scriva su WhatsApp sistema, versione di PHP e quanto osservato. Definiremo subito insieme come procedere.
Lavorate anche per agenzie e clienti di hoster?
Sì. Lavoriamo direttamente per le aziende, per conto di agenzie in secondo piano e in accordo con il Suo hoster, se è lui a gestire il server.
Dobbiamo segnalare l'incidente?
Se possono essere coinvolti dati personali, ai sensi dell'art. 33 GDPR di norma vale un termine di notifica di 72 ore dal momento in cui se ne ha conoscenza. Se si applichi nel Suo caso, lo chiarisca con il Suo responsabile della protezione dei dati. Noi forniamo la documentazione tecnica necessaria.
PHP2Shell è una vulnerabilità di WordPress?
No. Le vulnerabilità si trovano in PHP, cioè nel linguaggio di programmazione su cui girano WordPress, Shopware, TYPO3 e molti altri sistemi. Un aggiornamento del CMS quindi non le chiude. Conta lo stato di PHP sul server.
Come cliente di un hoster devo fare qualcosa io stesso?
Con l'hosting condiviso, di norma è l'hoster a installare l'aggiornamento di PHP. Dovrebbe comunque farsi confermare per iscritto che la versione di PHP da Lei utilizzata è stata aggiornata e riavviata. Se prima della patch sia accaduto qualcosa, l'aggiornamento non lo chiarisce.
Da dove viene il nome PHP2Shell?
Il nome descrive la conseguenza: tramite PHP un aggressore può, nel peggiore dei casi, ottenere sul server una riga di comando, cioè una shell. Le denominazioni ufficiali sono i numeri CVE CVE-2026-109618 e CVE-2026-109619.
Il mio sito web è già stato attaccato se è stato messo offline?
Non necessariamente. Alcuni fornitori hanno scollegato per precauzione dei siti web dalla rete, come raccomanda il BSI (l'Ufficio federale tedesco per la sicurezza informatica) quando un aggiornamento non è subito possibile. È una misura di protezione e non una prova di un attacco.
È sufficiente che il mio hoster abbia aggiornato PHP?
Può bastare, se l'hoster conferma per iscritto lo stato dei pacchetti e tutti i processi PHP sono stati riavviati. Il solo numero di versione visualizzato non costituisce una prova, perché le distribuzioni applicano dei backport. Se il server sia già stato attaccato prima, in ogni caso una patch non lo chiarisce.
Il mio sito web deve andare offline per l'assistenza urgente?
Non necessariamente. Il BSI (l'Ufficio federale tedesco per la sicurezza informatica) raccomanda di scollegare temporaneamente i server web dalla rete se l'aggiornamento non è subito possibile. Se nel Suo caso sia necessario lo decidiamo insieme dopo l'inventario.
Un aggiornamento di WordPress o Shopware protegge da PHP2Shell?
No. PHP2Shell si trova in PHP stesso, non nel CMS. Aggiornare il CMS resta sensato, ma non chiude questa vulnerabilità.
Che cosa succede con PHP 8.1 o versioni precedenti?
Per queste versioni il progetto PHP non rilascia più aggiornamenti ufficiali, solo backport minimi del codice sorgente per 7.4, 8.0 e 8.1. Mettiamo in sicurezza il server in via provvisoria e pianifichiamo con Lei il passaggio a una versione supportata.
Da quando decorrono le 72 ore?
Secondo l'art. 33 GDPR dal momento in cui il titolare del trattamento è venuto a conoscenza della violazione. Quando ciò sia da ritenere nel caso concreto è una valutazione giuridica. Documenti quindi con precisione quando chi ha avuto quale informazione.
Ogni vulnerabilità di sicurezza deve essere notificata?
No. Una vulnerabilità da sola non è ancora una violazione della protezione dei dati personali. La notifica può diventare obbligatoria se ci sono indizi che persone non autorizzate abbiano avuto o potuto avere accesso a tali dati e ne derivi un rischio per gli interessati.
E se dopo 72 ore non so ancora tutto?
L'art. 33, par. 4 GDPR consente di fornire le informazioni in fasi successive, se non possono essere fornite contemporaneamente. Una notifica tardiva va motivata. Attendere piena chiarezza non è quindi, di norma, un motivo per lasciar scadere il termine.
Chi notifica se è stato coinvolto l'hoster?
L'obbligo di notifica spetta al titolare del trattamento, cioè di norma l'azienda che gestisce il sito web. Un responsabile del trattamento come l'hoster deve informare senza ritardo il titolare, ai sensi dell'art. 33, par. 2 GDPR.
Dove notifico una violazione dei dati?
All'autorità di controllo della protezione dei dati competente; in Germania, per le aziende, di norma l'autorità del Land in cui hanno sede. La maggior parte delle autorità offre a questo scopo moduli online.
Ogni ora conta. Ci scriva adesso.
Descriva brevemente sistema, versione di PHP e quanto osservato. Ci faremo sentire, chiariremo la situazione e lavoreremo da remoto fino alla chiusura e alla documentazione dell'incidente.