PHP2Shell: controlla il tuo sito oggi, come ho fatto con SCF.

Cos’è PHP2Shell

PHP è il programma che, sul server, fa funzionare la maggior parte dei siti: tutti quelli fatti con WordPress, Drupal, Joomla, PrestaShop e moltissimi gestionali. Il 21 ottobre 2026 sono state corrette due falle gravi, chiamate insieme PHP2Shell, e lo CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale ha pubblicato un avviso con impatto «alto».

In parole semplici: con richieste costruite apposta, per esempio un finto caricamento di file, chi attacca può mandare in confusione la memoria di PHP e arrivare a far eseguire al server i propri comandi, senza conoscere nessuna password. Da qui il nome: da PHP a una shell, cioè il controllo del server. Entrambe le falle hanno un punteggio di 9,2 su 10.

Al momento dell’avviso non risultavano dimostrazioni pubbliche né attacchi in corso. Ma quando una correzione esce, chi attacca la studia per capire dov’era il buco: i giorni subito dopo sono i più pericolosi, e chi non aggiorna resta scoperto proprio quando i programmi automatici iniziano a cercare.

Cosa sto facendo con SCF: una sera d’emergenza

Da qualche settimana lavoro con SCF, società di consulenza e formazione: moduli di iscrizione agli eventi, comunicazioni ai contatti e, da poco, il loro sito nuovo. Il sito vecchio girava su Drupal 7 e PHP 7.4, due programmi che non ricevono più correzioni di sicurezza (PHP 7.4 dal 2022, Drupal 7 dall’inizio del 2025). Per una falla come questa, quindi, la correzione non sarebbe mai arrivata.

Il sito nuovo era in preparazione, non ancora pronto per uscire. Letto l’avviso, abbiamo deciso di non aspettare:

• Sito in manutenzione per qualche ora: al posto delle pagine una pagina statica, che non passa da PHP.
• PHP spostato dalla 7.4 a una versione ancora seguita, che riceve le correzioni.
• Moduli di iscrizione e comunicazioni provati sulla versione nuova, e il codice anche sull’ultima di PHP con tutti gli avvisi accesi: nessun errore.
• Sito nuovo online in anticipo: 53 contenuti e 128 vecchi indirizzi portati sul nuovo, così i link da Google e dalle email continuano a funzionare. Prima l’ho provato su una copia del server con 281 controlli, poi l’ho rifatto sul server vero. Online verso le 22:30.
• Regole di protezione in più sul server, come suggeriscono gli avvisi, e il vecchio Drupal spostato fuori dal sito, dove nessuno lo può raggiungere.

Non è finita: nei prossimi giorni copie di sicurezza nuove, il controllo dei registri del server che chiede l’ACN e le rifiniture del sito nuovo.

Perché non lo trovi tra i casi studio. È stata un’emergenza, non un progetto chiuso: ho anticipato di sera un lavoro che era in corso, per togliere un rischio concreto. Quando il sito nuovo sarà rifinito e approvato da SCF in ogni parte, lo racconterò per bene come caso studio.

Per SCF ci siamo mossi la sera stessa, e lo stesso vale per te. Se il tuo sito è su WordPress, Joomla, PrestaShop o un gestionale fatto anni fa e non sai che versione di PHP usa, scrivimi oggi, anche su WhatsApp: guardo il tuo sito e ti dico subito se sei esposto e cosa fare per primo, prima che lo scopra qualcun altro.

Cosa fare, in 6 passi

1. 01

   Scopri che versione di PHP usi

   Nel pannello del tuo hosting (spesso cPanel, alla voce «Seleziona versione PHP») oppure chiedendolo a chi ti segue il sito. Se il sito è su Wix, Shopify o Squarespace puoi fermarti qui: il server lo gestiscono loro.

   Perché conta: Senza sapere la versione non sai se sei esposto, e nemmeno cosa chiedere.

2. 02

   Passa alla versione corretta

   Le versioni che chiudono le due falle sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (o successive). Su un hosting condiviso la installa il fornitore: se nel pannello non c’è ancora, apri una richiesta di assistenza e chiedi quando arriva.

   Perché conta: È l’unica soluzione vera: tutto il resto riduce il rischio, non lo toglie.

3. 03

   Se sei su PHP 8.1 o più vecchio, cambia ramo

   Per PHP 8.1, 8.0, 7.4 e precedenti non uscirà nessuna correzione. Bisogna passare a un ramo ancora seguito (8.2 o più recente), controllando prima che sito, tema e plugin reggano la versione nuova.

   Perché conta: Un sito vecchio può rompersi cambiando PHP: meglio scoprirlo su una prova che con i clienti.

4. 04

   Prima di toccare, una copia

   Copia di file e database, scaricata sul tuo computer o comunque fuori dal server. Dal pannello dell’hosting di solito bastano due clic.

   Perché conta: Se l’aggiornamento rompe qualcosa, torni indietro in pochi minuti.

5. 05

   Se non puoi aggiornare subito, sospendi

   È il consiglio dell’ACN: finché PHP non è aggiornato, valuta di mettere il sito in manutenzione con una pagina semplice, che non passa da PHP. Qualche ora offline costa meno di un server preso da altri.

   Perché conta: Un sito spento non si può attaccare; uno vulnerabile acceso sì.

6. 06

   Controlla che nessuno sia già entrato

   Chiedi a chi ti segue il sito (o all’hosting) di guardare i registri del server: errori ripetuti di memoria esaurita, processi PHP che si interrompono, file cambiati che nessuno ha toccato, file .php nuovi nelle cartelle delle immagini, utenti amministratori sconosciuti. Nel dubbio, cambia le password di pannello, hosting e database.

   Perché conta: Aggiornare chiude la porta, ma non manda via chi fosse già entrato.

Il problema vero: i siti dimenticati

PHP2Shell passerà, come tante falle prima. Quello che resta sono i siti messi online anni fa e mai più aggiornati: funzionano, nessuno li tocca, e intanto il programma sotto invecchia. Il caso di SCF lo mostra bene: con un sito su versioni non più seguite, la scelta non era «quando aggiorno», ma «cosa spengo».

La domanda da farti oggi è semplice: chi aggiorna il mio sito, e ogni quanto? Se la risposta è «non lo so», è la prima cosa da sistemare. Trovi le altre abitudini utili nella guida alla sicurezza del sito.

Cosa non fare

• Pensare «il mio sito è piccolo, non interessa a nessuno»Gli attacchi sono programmi automatici che provano migliaia di siti a caso.
• Aggiornare solo WordPress e i pluginLa falla è in PHP, sul server: si chiude aggiornando PHP, non il sito.
• Restare su PHP 7.4 o 8.0 «perché funziona»Quelle versioni non riceveranno nessuna correzione, né questa né le prossime.
• Cambiare versione senza copia e senza provaUn sito vecchio può rompersi: prima la copia, poi la prova.
• Cliccare sulle email che ti chiedono di «aggiornare PHP»Dopo una notizia così arrivano le truffe: entra tu nel pannello, dal sito ufficiale.

La lista di controllo

Spunta quello che hai già fatto: quello che resta, fallo oggi o chiedilo a chi ti segue il sito.

• So che versione di PHP usa il mio sito
• È almeno 8.5.12, 8.4.27, 8.3.36 o 8.2.35
• Se non c’è ancora, ho chiesto all’hosting quando arriva
• Ho una copia recente di file e database fuori dal server
• Ho fatto controllare i registri del server
• Ho cambiato le password di pannello e hosting
• So chi aggiorna il mio sito, e ogni quanto

Domande frequenti

Altre guide

• Come farsi trovare su ChatGPT
• Scheda Google Business: come farla bene
• Recensioni Google: chiederle e rispondere
• Ti basta Instagram o ti serve un sito?
• Quanto costa un sito web
• Come scegliere chi ti fa il sito

Tutte le 24 guide gratuite