# Quali CMS e sistemi di shop girano su PHP

> Quali CMS e sistemi di shop girano su PHP: WordPress, TYPO3, Shopware, Joomla, Drupal e altri in sintesi, con un metodo di verifica per i Suoi siti web.

Fonte: https://phpsos.de/it/php/cms-und-shops-auf-php/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** una grande parte dei sistemi di gestione dei contenuti (CMS) e dei sistemi di shop diffusi è scritta in PHP, tra cui WordPress con WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento ovvero Adobe Commerce e PrestaShop. A questi si aggiungono applicazioni interne come Nextcloud, Moodle, MediaWiki e Matomo. Chi gestisce uno di questi sistemi è interessato dalle vulnerabilità dell'interprete PHP come PHP2Shell, per quanto aggiornato sia il CMS stesso.

## Perché tanti siti web girano su PHP

PHP è tagliato su misura per i server web fin dagli anni Novanta ed è disponibile presso praticamente ogni hoster. Un CMS basato su PHP si può quindi gestire senza un'infrastruttura server propria, il che era ed è attraente soprattutto per piccole e medie imprese, associazioni e pubbliche amministrazioni.

Per chi gestisce un sito significa: il sito web non è solo «WordPress» o «Shopware», ma una pila di più livelli. In basso gira il sistema operativo, sopra il server web, poi l'interprete PHP e in cima il CMS con le sue estensioni. Ogni livello richiede aggiornamenti propri. Una vulnerabilità in PHP colpisce tutti i sistemi che vi si basano.

Si aggiungono le estensioni: plugin, temi, moduli e interfacce dello shop sono anch'essi codice PHP, spesso di piccoli fornitori. Girano con gli stessi permessi del CMS e vengono eseguiti dallo stesso runtime PHP. Un CMS con molte estensioni ha perciò una superficie di attacco maggiore di un'installazione snella, anche se il nucleo è aggiornato.

Rinunciamo qui ai dati sulla diffusione dei singoli sistemi. Non esiste una fonte che consideriamo affidabile e confrontabile.

## CMS e sistemi di shop diffusi basati su PHP

La tabella cita sistemi noti e ciò che i produttori stessi dicono della loro base tecnica. I requisiti di versione non li indichiamo di proposito, perché cambiano a ogni release.

| Sistema | Tipo | Nota sulla base tecnica |
|---|---|---|
| WordPress, WooCommerce | CMS, estensione shop | applicazione PHP, MySQL o MariaDB secondo i requisiti |
| TYPO3 | CMS | secondo la documentazione richiede server web, PHP e database SQL |
| Joomla | CMS | PHP con MySQL, MariaDB o PostgreSQL |
| Drupal | CMS | PHP; estensioni del core in `core/composer.json` |
| Contao | CMS | secondo il produttore sul framework full stack Symfony |
| Craft CMS | CMS | il produttore cita Yii tra gli strumenti impiegati |
| Shopware 6 | Shop | la documentazione per sviluppatori tratta i plugin come bundle Symfony |
| Magento Open Source, Adobe Commerce | Shop | PHP e Composer nei requisiti di sistema |
| PrestaShop | Shop | PHP con tabella di compatibilità propria |
| Nextcloud | Archivio di file | Apache con mod_php o PHP-FPM, Nginx con PHP-FPM |
| Moodle | Piattaforma di apprendimento | secondo la documentazione sviluppata in PHP |
| MediaWiki, Matomo | Wiki, statistiche | PHP secondo i requisiti di installazione |

Molti di questi sistemi usano internamente componenti dei [framework PHP](https://phpsos.de/it/php/php-frameworks/) e caricano librerie tramite Composer. Per la maggior parte abbiamo pagine proprie con indicazioni sulla messa in sicurezza, ad esempio [WordPress](https://phpsos.de/it/plattformen/wordpress/), [Shopware 6](https://phpsos.de/it/plattformen/shopware-6/) e [TYPO3](https://phpsos.de/it/plattformen/typo3/).

## Come scopro se il mio sito web gira su PHP?

Molte aziende non sanno con precisione quali sistemi girino da loro, soprattutto se il sito è stato realizzato da un'agenzia. Questi passaggi portano chiarezza:

1. **Creare un inventario:** elencare tutti i domini, i sottodomini e le interfacce web interne, compresi sistemi di test e vecchie pagine di campagna.
2. **Chiedere a hoster o agenzia:** quale sistema, quale versione di PHP, quale modalità di esecuzione (PHP-FPM, mod_php, LiteSpeed)? Chieda una risposta scritta.
3. **Guardare il pannello di hosting:** in Plesk, cPanel e interfacce simili la versione di PHP è indicata per ogni sito web. Tenga presente che i backport della distribuzione non cambiano il numero visualizzato.
4. **Verificare sul server:** gli amministratori vedono dai processi e dalla configurazione del server web quale runtime PHP consegni effettivamente.
5. **Non dimenticare i dispositivi:** sistemi NAS, router e appliance hanno spesso un'interfaccia web che può anch'essa girare su PHP.

```bash
# Sul server: quali processi PHP girano?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
```

## Prendere sul serio i requisiti di sistema

Ogni produttore pubblica con quali versioni di PHP il suo software è stato testato. Queste indicazioni sono la base di ogni pianificazione degli aggiornamenti: un aggiornamento di PHP a una versione che il CMS non supporta ancora può paralizzare il sito web. Un CMS che gira solo con una versione di PHP senza aggiornamenti di sicurezza è un rischio permanente.

Verifichi perciò, secondo i requisiti di sistema del produttore per la Sua versione esatta, quali versioni di PHP entrano in considerazione e le confronti con le versioni di PHP corrette. Per i sistemi che girano solo con PHP 8.1 o precedenti il progetto PHP non fornisce più aggiornamenti ufficiali.

## Che cosa significa PHP2Shell per chi gestisce CMS e shop

PHP2Shell è costituito dalle vulnerabilità CVE-2026-109618 e CVE-2026-109619 nell'interprete PHP, entrambe con CVSS 9.2. Consentono di eseguire codice dannoso senza autenticazione. Sono corrette in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Un aggiornamento del CMS non chiude queste vulnerabilità; perché lo spiega il nostro articolo [Perché un aggiornamento di WordPress non aiuta contro PHP2Shell](https://phpsos.de/it/blog/warum-wordpress-update-nicht-hilft/).

Per gli shop pesa in modo particolare, perché lì si trovano dati dei clienti, ordini e credenziali per i servizi di pagamento e di spedizione. Inoltre una patch non rimuove il software dannoso introdotto in precedenza e non dimostra che non sia successo nulla.

## Come aiuta concretamente PHP SOS?

- Creiamo un inventario dei Suoi siti web basati su PHP e delle applicazioni interne con sistema, versione di PHP e modalità di esecuzione.
- Confrontiamo i requisiti dei produttori con le versioni di PHP corrette e pianifichiamo l'aggiornamento per ogni sistema.
- Installiamo gli aggiornamenti di PHP, riavviamo tutti i processi e verifichiamo poi che CMS e shop funzionino correttamente.
- In caso di sospetto di incidente esaminiamo il sistema nell'ambito dell'[assistenza immediata PHP2Shell](https://phpsos.de/it/leistungen/php2shell-soforthilfe/).


## Domande frequenti

**WordPress gira su PHP?**  
Sì. WordPress è un'applicazione PHP e secondo i requisiti ufficiali richiede PHP e un database MySQL o MariaDB. Le vulnerabilità dell'interprete PHP riguardano quindi ogni installazione di WordPress, indipendentemente dallo stato di WordPress stesso.

**Un aggiornamento del CMS aiuta contro PHP2Shell?**  
No. La vulnerabilità si trova in PHP, non nel CMS. Secondo drweb.de, WordPress.org non prevede perciò alcun aggiornamento proprio contro di essa. Si chiude solo con una versione di PHP corretta e il riavvio di tutti i processi PHP.

**Come scopro quale versione di PHP richiede il mio shop?**  
Dai requisiti di sistema del produttore per la Sua versione concreta. Queste indicazioni cambiano a ogni release importante, perciò andrebbero lette direttamente presso il produttore e non riprese da guide più vecchie.

**Sono interessate anche le applicazioni interne?**  
Sì, se girano su PHP. Archivi di file come Nextcloud, piattaforme di apprendimento come Moodle, wiki interni con MediaWiki o Matomo per le statistiche sono applicazioni PHP. Nei censimenti vengono spesso dimenticate.

**Un sito senza .php nell'indirizzo non è PHP?**  
Non necessariamente. I sistemi moderni instradano tutti gli indirizzi attraverso un index.php centrale, così nell'URL non compare mai .php. Solo uno sguardo al server o un'indicazione di hoster o agenzia dà certezza.

## Fonti

- [WordPress.org](https://wordpress.org/)
- [TYPO3](https://typo3.org/)
- [Shopware](https://www.shopware.com/)
- [Dr. Web: PHP2Shell e versioni di PHP](https://www.drweb.de/php2shell-update-php-versionen/)