«Gentile cliente, a causa della vulnerabilità critica CVE-2026-109618 il suo sito verrà sospeso entro 24 ore. Acceda al pannello per applicare la correzione.» Il numero della falla è vero, la notizia è vera, l’hosting è il tuo. L’unica cosa falsa è il link.
Ci sono già truffe che usano PHP2Shell?
Al 24 ottobre 2026 non risultano casi verificati, ma gli esperti di sicurezza le danno per molto probabili. Un’emergenza pubblica con una scadenza, che tutti hanno letto sui giornali e che riguarda milioni di siti, è il materiale ideale per chi truffa: non deve convincerti che c’è un problema, lo sai già.
Il servizio di verifica delle notizie scrive di non avere casi verificati di truffe che usano esplicitamente PHP2Shell come pretesto, e descrive le forme più probabili: email a nome del provider, telefonate di falso supporto e programmi di «riparazione» in allegato.
Lo schema non è nuovo. È lo stesso delle telefonate della finta banca o del finto supporto tecnico: cambia solo la scusa, che questa volta è sui giornali di tutto il mondo.
Le tre forme che può prendere
1. L’email al titolare del sito. Arriva a chi ha un sito, un negozio online o un dominio. Cita i numeri veri della falla, parla di «emergenza» sul tuo account, chiede di «verificare le credenziali» o di «confermare l’aggiornamento» entro 24 ore, altrimenti il sito viene sospeso. Il pulsante porta a una pagina che copia il pannello del tuo hosting.
2. La telefonata del finto tecnico. Qualcuno si presenta come il tuo hosting, la tua agenzia web o il tuo tecnico informatico, e ti chiede la password del pannello, l’accesso al server o un codice appena arrivato per SMS, «per applicare la correzione».
L’azienda specializzata in formazione contro il phishing prevede email che citano i numeri veri della falla, rimandano a un pannello falso e minacciano la sospensione, e telefonate di finti tecnici che chiedono le credenziali. La regola che indica: nessuno applica questa correzione per telefono.
3. Il messaggio per tutti gli altri. Questa è la versione per chi un sito non ce l’ha: «il tuo computer è a rischio per la falla PHP», con un programma da installare, un allegato o un numero da chiamare. Qui la risposta è ancora più semplice: PHP gira sui server dei siti, non sul tuo telefono o sul tuo computer. Non esiste nessun aggiornamento PHP2Shell da installare sui tuoi dispositivi.
Gli utenti dei siti non devono installare aggiornamenti PHP sui propri dispositivi, e un sito temporaneamente spento non significa per forza che sia stato violato.
Come riconosco un’email falsa dall’hosting?
Basta una di queste cinque cose per fermarti.
- Ti chiede di accedere, inserire la password o un codice per «applicare» la correzione. La correzione si installa sul server: non serve la tua password in un modulo.
- Mette una scadenza e una minaccia: «entro 24 ore», «il sito verrà sospeso». Scadenza più minaccia è la leva classica per farti agire prima di pensare.
- Il mittente non è il dominio delle tue fatture. Guarda l’indirizzo completo, non solo il nome che appare.
- Il link porta a una pagina di accesso. Passa il mouse sopra il pulsante senza cliccare, o meglio: non usarlo proprio.
- C’è un allegato o un programma da installare. Nessun hosting ti manda un programma per correggere PHP.
Com’è fatto un avviso vero?
Un avviso vero ti informa e basta: cosa è successo, cosa hanno fatto, cosa cambia per te. Non ti chiede niente, non ti manda a fare login, non ha fretta.
Un esempio concreto. Il 21 ottobre un gestionale online europeo ha mandato ai clienti un’email sulla falla PHP. Spiegava che la falla riguarda PHP in tutto il mondo e non solo il suo servizio, che non aveva trovato segni di abuso, che per precauzione aveva disattivato il caricamento dei file fino all’installazione della correzione e che tutto il resto funzionava come sempre. Lo stesso avviso era sulla sua pagina di stato pubblica, aperto alle 11:36 e chiuso alle 20:57: la prova che non era un’invenzione.
Mettila accanto all’email falsa e la differenza salta all’occhio:
| Avviso vero | Email falsa | |
|---|---|---|
| Cosa ti chiede | Niente | Accedere, «verificare», confermare |
| Tono | Calmo, con orari precisi | Urgente, con una scadenza |
| Minacce | Nessuna | Sospensione del sito |
| Dove lo ritrovi | Pagina di stato, pannello, sito ufficiale | Solo nell’email |
| Cosa fa il fornitore | Installa la correzione sui suoi server | Vuole che lo «faccia tu» |
Se il tuo fornitore ha una pagina di stato, salvala tra i preferiti oggi. È il posto dove controllare un avviso senza cliccare niente.
Il Metodo 3V applicato all’avviso PHP2Shell
Le tre domande del Metodo 3V fermano questa truffa prima del clic. Il metodo viene dal libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Domanda | Applicata all’avviso |
|---|---|
| Verifica: da dove arriva davvero? | Il mittente è il dominio delle tue fatture? L’avviso c’è anche nel pannello o sulla pagina di stato, aperti dal segnalibro? |
| Validazione: lo confermo per un’altra strada? | Chiama l’hosting al numero del contratto, o scrivi dal pannello. Non rispondere all’email e non usare il numero del messaggio. |
| Velocità controllata: chi ha fretta, io o lui? | La fretta vera è dell’hosting, che deve aggiornare i server. A te non serve correre a fare login: ti serve una conferma scritta che la correzione è installata. |
Se hai già cliccato o dato la password
- Cambia subito la password del pannello dell’hosting, aprendolo dal segnalibro, e attiva la verifica in due passaggi se l’hosting la offre.
- Chiama l’hosting al numero del contratto: digli cosa è successo e chiedi di controllare accessi recenti, utenti nuovi e file modificati.
- Cambia le altre password collegate: WordPress, database, posta del dominio. Se usavi la stessa password altrove, cambiala anche lì.
- Se hai installato un programma o dato accesso remoto al computer: scollegalo da Internet, cambia le password da un altro dispositivo e, se il computer serve per pagamenti, avvisa la banca.
- Segnala: in Svizzera all’UFCS; in Italia alla Polizia Postale.
Domande frequenti
Ho ricevuto un'email dal mio hosting su PHP2Shell: è vera?
Può esserlo: molti hosting hanno avvisato i clienti. Un avviso vero però ti informa e basta, senza chiederti password né login. Non cliccare: apri il pannello dal tuo segnalibro o la pagina di stato del fornitore. Se l'avviso è vero, lo trovi anche lì. Se chiede di accedere entro una scadenza, trattalo come falso finché non lo confermi.
Devo installare un aggiornamento PHP sul computer o sul telefono?
No. PHP gira sui server che fanno funzionare i siti, non sui dispositivi di chi li visita. Non esiste un aggiornamento PHP2Shell per computer o telefoni: chi ti propone di scaricarlo, per email, messaggio o telefono, ti sta truffando.
Mi ha telefonato il supporto tecnico per la falla PHP: cosa faccio?
Non dare password, codici o accesso remoto. Nessuno installa questa correzione per telefono. Chiudi e richiama tu il fornitore al numero del contratto o delle fatture, mai a quello che ti ha dato chi ha chiamato.
Come faccio a sapere se il mio sito è stato aggiornato davvero?
Chiedilo tu all'hosting, dal canale che usi sempre, con domande precise: quale versione di PHP usa il sito, se la correzione è installata e i servizi riavviati. Nell'articolo sulla falla PHP trovi l'email pronta da copiare.
Per sapere cosa chiedere all’hosting e come controllare la versione di PHP del tuo sito, leggi Falla PHP2Shell: cosa chiedere all’hosting. L’emergenza è adesso, ed è adesso che arrivano i messaggi falsi: salva oggi il segnalibro del pannello e la pagina di stato del tuo fornitore, prima che arrivi il primo.
