# Web shell trovata? Come agire ora nel modo giusto

> Trovata una web shell o un file PHP sospetto? Non cancellare, prima salvare. Chiariamo portata e punto d'ingresso. Ci chiami o scriva su WhatsApp.

Fonte: https://phpsos.de/it/soforthilfe/webshell-gefunden/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** una web shell è un piccolo file con cui un estraneo può controllare il Suo server da remoto. Chi ne ha trovata una è con ogni probabilità coinvolto e dovrebbe contattarci subito. Non cancellare, non aprire, prima salvare. Chiariamo da remoto come sia arrivata sul server, se esistano altri accessi, e bonifichiamo il server.

> **Agire subito:**
> **Ora non cancelli nulla e non reinstalli nulla.** Anche la web shell stessa resta per ora dov'è, così da poter essere salvata. È stato colpito? Ci chiami o ci scriva su WhatsApp, oppure segnali il ritrovamento tramite [Segnala l'emergenza](https://phpsos.de/it/notfall/).

## Ha trovato una web shell: che cosa significa?

Una web shell è uno script PHP (o uno script in un altro linguaggio lato server) che accetta comandi dall'esterno. Con essa gli aggressori possono leggere file, scaricare dati, caricare altro codice dannoso e raggiungere altri sistemi. Il file è quindi raramente l'obiettivo dell'attacco. È la porta di servizio che uno scassinatore lascia per poter tornare.

Ne derivano due conseguenze. Primo: qualcuno aveva già accesso in scrittura al Suo server o poteva eseguire codice. Secondo: il file trovato probabilmente non è l'unico. A ciò si aggiunge ciò che spesso non si sa: da quando è lì e che cosa è stato fatto nel frattempo?

## Come riconoscere una web shell

- un file PHP in una cartella in cui non dovrebbero esserci file PHP, ad esempio upload, cache, immagini o directory temporanee
- nomi di file che sembrano file di sistema ma non appartengono al Suo software, oppure nomi con doppia estensione
- codice illeggibile con lunghe stringhe di caratteri, codifica e funzioni per eseguire comandi, vedi [Riconoscere il codice PHP offuscato](https://phpsos.de/it/blog/verschleierter-php-code/)
- una data di modifica che non corrisponde ai Suoi aggiornamenti
- accessi a questo file nei log, spesso da indirizzi estranei e con richieste POST
- processi del web server che avviano una shell, come descritto in [Segnale d'allarme: il web server avvia una shell](https://phpsos.de/it/blog/webserver-startet-shell/)

Come interpretare correttamente i ritrovamenti lo spiega [File PHP nella cartella di upload](https://phpsos.de/it/blog/php-dateien-im-upload-ordner/), in modo più approfondito [Riconoscere e rimuovere le web shell](https://phpsos.de/it/ratgeber/webshell-erkennen/).

## Che cosa fare subito

1. **Non aprire e non eseguire il file.** Nessun test nel browser.
2. **Non cancellare e non spostare.** Non modifichi né il contenuto né i timestamp.
3. **Annotare:** percorso completo, nome del file, momento del ritrovamento, chi l'ha scoperto e con che cosa.
4. **Salvare il file e i metadati:** una copia con proprietario, permessi e timestamp. Bastano comandi di verifica in sola lettura, ad esempio:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Conservare i log:** non lasci sovrascrivere i registri di accesso e di errore di web server e PHP. La stampa specializzata consiglia di conservare i log del server a partire dal 20/10/2026.
6. **Isolare il server, se necessario:** se sospetta che i dati stiano uscendo, metta il sito offline. Come conservare le prove in questo caso lo descrive [Conservare le prove prima di reinstallare](https://phpsos.de/it/blog/beweise-sichern-vor-neuinstallation/).
7. **Informarci,** prima che vengano cambiate le password o bonificati i file.

## In concreto, come aiuta PHP SOS?

1. **Quadro della situazione:** che cosa è stato trovato, dove, quando e da chi? Quali sistemi si trovano sullo stesso server?
2. **Salvare e chiudere:** salviamo il ritrovamento, i file, il database e i log e blocchiamo gli accessi che appaiono sospetti.
3. **Verificare e bonificare:** cerchiamo altre web shell, file core modificati, [cronjob nascosti](https://phpsos.de/it/blog/cronjobs-als-hintertuer/), account admin estranei e [chiavi SSH sconosciute](https://phpsos.de/it/blog/ssh-schluessel-pruefen/) e li rimuoviamo. La procedura corrisponde al servizio [Rimozione di malware e web shell](https://phpsos.de/it/leistungen/malware-entfernung/).
4. **Rafforzare e riferire:** indichiamo il probabile punto d'ingresso, lo chiudiamo e mettiamo in sicurezza il server. Riceve una documentazione con ritrovamenti e linea temporale.

## Come è arrivata la web shell sul server?

Le vie tipiche sono plugin o estensioni obsoleti, upload di file non sicuri, credenziali rubate e vulnerabilità nel software del server. Dalla pubblicazione di PHP2Shell si aggiunge un'altra possibilità: PHP senza le correzioni di 8.5.12, 8.4.27, 8.3.36 o 8.2.35 può essere abusato da remoto per eseguire codice. Non esistono Indicator of Compromise confermati in merito, il rilevamento si basa sul comportamento. Se nel Suo caso l'ingresso sia avvenuto tramite PHP2Shell o un'altra via, lo si può dedurre solo dalle tracce, e indichiamo che cosa è provato e che cosa è supposizione. Come i log aiutino in questo lo mostra [Analizzare i log del web server](https://phpsos.de/it/ratgeber/logfiles-auswerten/).

Una patch non rimuove una web shell già presente. Fa parte del lavoro anche la protezione contro ritrovamenti futuri: [Vietare l'esecuzione di PHP nelle cartelle di upload](https://phpsos.de/it/blog/php-in-uploads-verbieten/) previene molti casi. Tenga presenti inoltre i [limiti degli scanner antimalware](https://phpsos.de/it/blog/grenzen-von-malware-scannern/): una scansione senza ritrovamenti non è un segnale di cessato allarme.

Se deve sapere che cosa sia successo esattamente, ad esempio per l'assicuratore o per le autorità, può essere sensata un'[analisi forense IT](https://phpsos.de/it/leistungen/it-forensik/).

## E se la web shell ricompare dopo la cancellazione?

Succede spesso e di solito ha due ragioni. O esiste almeno un'altra backdoor che ricrea il file trovato, oppure il punto d'ingresso è ancora aperto e l'aggressore semplicemente rientra. Nessuna delle due cose si risolve cancellando ripetutamente. Cerchiamo quindi l'insieme delle modifiche: file nuovi e modificati, voci nel database e nella configurazione, attività pianificate, account. Un [elenco dei file modificati di recente](https://phpsos.de/it/blog/geaenderte-dateien-finden/) è un inizio sensato, ma non sostituisce la verifica da parte di specialisti.

## Che cosa dovrebbe inviarci

- percorso e nome del file, possibilmente come copia con timestamp (concordiamo con Lei la via di consegna)
- estratti dei log di accesso relativi a questo file, se ha accesso
- tipo di server, hoster, versione di PHP e modalità di esecuzione, se noti
- quali siti web e applicazioni girano sul server
- quando sono stati fatti da ultimo aggiornamenti, upload o modifiche

## Perché PHP SOS

Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Un unico interlocutore la guida attraverso l'incidente. Lavoriamo da remoto senza trasferte in tutta la Germania e in Europa, documentiamo ogni passaggio e non facciamo promesse che nessuno può mantenere. Restiamo al Suo fianco finché l'incidente non è concluso e documentato.

## È stato colpito? Ci chiami. La aiutiamo.

Una web shell trovata è un segnale d'allarme da prendere sul serio. Ci contatti subito, per telefono o WhatsApp, e ce ne occupiamo dal primo messaggio. [Segnali subito l'emergenza](https://phpsos.de/it/notfall/)


## Domande frequenti

**Ho trovato una web shell. Posso semplicemente cancellare il file?**  
Per favore non come prima cosa. Il file mostra quando e con che mezzi è arrivato l'aggressore. Lo salvi prima insieme a timestamp e proprietario, poi verrà rimosso in modo mirato. Chi si limita a cancellare lascia di solito altri accessi.

**Devo aprire il file sospetto nel browser per vedere che cosa fa?**  
No. Un'apertura può eseguire il codice dannoso e cancellare altre tracce. Esamini il file solo in lettura e, meglio ancora, su una copia.

**Basta uno scanner antimalware per trovare tutte le web shell?**  
Non in modo affidabile. Gli scanner riconoscono modelli noti, ma le web shell offuscate o costruite di recente sfuggono. Una scansione pulita non dimostra che non sia rimasto nulla.

**Come faccio a sapere da quanto tempo la web shell è sul server?**  
Indizi forniscono la data di modifica, i log di accesso e di errore e i confronti con altri file nuovi. I timestamp però si possono falsificare. Per questo valutiamo più fonti e indichiamo che cosa è provato e che cosa è supposizione.

**Devo segnalare il ritrovamento?**  
Non appena potrebbero essere coinvolti dati personali, può essere necessaria una notifica all'autorità di controllo. Consigliano in merito il responsabile della protezione dei dati o gli avvocati; noi forniamo i fatti tecnici.

## Fonti

- [BSI: Ufficio federale tedesco per la sicurezza informatica](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR art. 33: notifica all'autorità di controllo](https://dsgvo-gesetz.de/art-33-dsgvo/)