In breve: una grande parte dei sistemi di gestione dei contenuti (CMS) e dei sistemi di shop diffusi è scritta in PHP, tra cui WordPress con WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento ovvero Adobe Commerce e PrestaShop. A questi si aggiungono applicazioni interne come Nextcloud, Moodle, MediaWiki e Matomo. Chi gestisce uno di questi sistemi è interessato dalle vulnerabilità dell'interprete PHP come PHP2Shell, per quanto aggiornato sia il CMS stesso.
Perché tanti siti web girano su PHP
PHP è tagliato su misura per i server web fin dagli anni Novanta ed è disponibile presso praticamente ogni hoster. Un CMS basato su PHP si può quindi gestire senza un'infrastruttura server propria, il che era ed è attraente soprattutto per piccole e medie imprese, associazioni e pubbliche amministrazioni.
Per chi gestisce un sito significa: il sito web non è solo «WordPress» o «Shopware», ma una pila di più livelli. In basso gira il sistema operativo, sopra il server web, poi l'interprete PHP e in cima il CMS con le sue estensioni. Ogni livello richiede aggiornamenti propri. Una vulnerabilità in PHP colpisce tutti i sistemi che vi si basano.
Si aggiungono le estensioni: plugin, temi, moduli e interfacce dello shop sono anch'essi codice PHP, spesso di piccoli fornitori. Girano con gli stessi permessi del CMS e vengono eseguiti dallo stesso runtime PHP. Un CMS con molte estensioni ha perciò una superficie di attacco maggiore di un'installazione snella, anche se il nucleo è aggiornato.
Rinunciamo qui ai dati sulla diffusione dei singoli sistemi. Non esiste una fonte che consideriamo affidabile e confrontabile.
CMS e sistemi di shop diffusi basati su PHP
La tabella cita sistemi noti e ciò che i produttori stessi dicono della loro base tecnica. I requisiti di versione non li indichiamo di proposito, perché cambiano a ogni release.
| Sistema | Tipo | Nota sulla base tecnica |
|---|---|---|
| WordPress, WooCommerce | CMS, estensione shop | applicazione PHP, MySQL o MariaDB secondo i requisiti |
| TYPO3 | CMS | secondo la documentazione richiede server web, PHP e database SQL |
| Joomla | CMS | PHP con MySQL, MariaDB o PostgreSQL |
| Drupal | CMS | PHP; estensioni del core in core/composer.json |
| Contao | CMS | secondo il produttore sul framework full stack Symfony |
| Craft CMS | CMS | il produttore cita Yii tra gli strumenti impiegati |
| Shopware 6 | Shop | la documentazione per sviluppatori tratta i plugin come bundle Symfony |
| Magento Open Source, Adobe Commerce | Shop | PHP e Composer nei requisiti di sistema |
| PrestaShop | Shop | PHP con tabella di compatibilità propria |
| Nextcloud | Archivio di file | Apache con mod_php o PHP-FPM, Nginx con PHP-FPM |
| Moodle | Piattaforma di apprendimento | secondo la documentazione sviluppata in PHP |
| MediaWiki, Matomo | Wiki, statistiche | PHP secondo i requisiti di installazione |
Molti di questi sistemi usano internamente componenti dei framework PHP e caricano librerie tramite Composer. Per la maggior parte abbiamo pagine proprie con indicazioni sulla messa in sicurezza, ad esempio WordPress, Shopware 6 e TYPO3.
Come scopro se il mio sito web gira su PHP?
Molte aziende non sanno con precisione quali sistemi girino da loro, soprattutto se il sito è stato realizzato da un'agenzia. Questi passaggi portano chiarezza:
- Creare un inventario: elencare tutti i domini, i sottodomini e le interfacce web interne, compresi sistemi di test e vecchie pagine di campagna.
- Chiedere a hoster o agenzia: quale sistema, quale versione di PHP, quale modalità di esecuzione (PHP-FPM, mod_php, LiteSpeed)? Chieda una risposta scritta.
- Guardare il pannello di hosting: in Plesk, cPanel e interfacce simili la versione di PHP è indicata per ogni sito web. Tenga presente che i backport della distribuzione non cambiano il numero visualizzato.
- Verificare sul server: gli amministratori vedono dai processi e dalla configurazione del server web quale runtime PHP consegni effettivamente.
- Non dimenticare i dispositivi: sistemi NAS, router e appliance hanno spesso un'interfaccia web che può anch'essa girare su PHP.
# Sul server: quali processi PHP girano?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Prendere sul serio i requisiti di sistema
Ogni produttore pubblica con quali versioni di PHP il suo software è stato testato. Queste indicazioni sono la base di ogni pianificazione degli aggiornamenti: un aggiornamento di PHP a una versione che il CMS non supporta ancora può paralizzare il sito web. Un CMS che gira solo con una versione di PHP senza aggiornamenti di sicurezza è un rischio permanente.
Verifichi perciò, secondo i requisiti di sistema del produttore per la Sua versione esatta, quali versioni di PHP entrano in considerazione e le confronti con le versioni di PHP corrette. Per i sistemi che girano solo con PHP 8.1 o precedenti il progetto PHP non fornisce più aggiornamenti ufficiali.
Che cosa significa PHP2Shell per chi gestisce CMS e shop
PHP2Shell è costituito dalle vulnerabilità CVE-2026-109618 e CVE-2026-109619 nell'interprete PHP, entrambe con CVSS 9.2. Consentono di eseguire codice dannoso senza autenticazione. Sono corrette in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Un aggiornamento del CMS non chiude queste vulnerabilità; perché lo spiega il nostro articolo Perché un aggiornamento di WordPress non aiuta contro PHP2Shell.
Per gli shop pesa in modo particolare, perché lì si trovano dati dei clienti, ordini e credenziali per i servizi di pagamento e di spedizione. Inoltre una patch non rimuove il software dannoso introdotto in precedenza e non dimostra che non sia successo nulla.
Come aiuta concretamente PHP SOS?
- Creiamo un inventario dei Suoi siti web basati su PHP e delle applicazioni interne con sistema, versione di PHP e modalità di esecuzione.
- Confrontiamo i requisiti dei produttori con le versioni di PHP corrette e pianifichiamo l'aggiornamento per ogni sistema.
- Installiamo gli aggiornamenti di PHP, riavviamo tutti i processi e verifichiamo poi che CMS e shop funzionino correttamente.
- In caso di sospetto di incidente esaminiamo il sistema nell'ambito dell'assistenza immediata PHP2Shell.
Domande frequenti
WordPress gira su PHP?
Sì. WordPress è un'applicazione PHP e secondo i requisiti ufficiali richiede PHP e un database MySQL o MariaDB. Le vulnerabilità dell'interprete PHP riguardano quindi ogni installazione di WordPress, indipendentemente dallo stato di WordPress stesso.
Un aggiornamento del CMS aiuta contro PHP2Shell?
No. La vulnerabilità si trova in PHP, non nel CMS. Secondo drweb.de, WordPress.org non prevede perciò alcun aggiornamento proprio contro di essa. Si chiude solo con una versione di PHP corretta e il riavvio di tutti i processi PHP.
Come scopro quale versione di PHP richiede il mio shop?
Dai requisiti di sistema del produttore per la Sua versione concreta. Queste indicazioni cambiano a ogni release importante, perciò andrebbero lette direttamente presso il produttore e non riprese da guide più vecchie.
Sono interessate anche le applicazioni interne?
Sì, se girano su PHP. Archivi di file come Nextcloud, piattaforme di apprendimento come Moodle, wiki interni con MediaWiki o Matomo per le statistiche sono applicazioni PHP. Nei censimenti vengono spesso dimenticate.
Un sito senza .php nell'indirizzo non è PHP?
Non necessariamente. I sistemi moderni instradano tutti gli indirizzi attraverso un index.php centrale, così nell'URL non compare mai .php. Solo uno sguardo al server o un'indicazione di hoster o agenzia dà certezza.