“Noi non abbiamo WordPress, il sito ce l’ha fatto un’agenzia con un altro sistema. Questa storia di PHP non ci tocca.” È la frase che si sente di più in questi giorni. Può essere vera per il sito. Ma il sito è raramente l’unico programma che l’azienda apre dal browser.
PHP2Shell riguarda solo chi ha un sito WordPress?
No. Riguarda qualsiasi programma che gira su PHP, e WordPress è solo il più conosciuto. PHP è un linguaggio con cui sono scritti moltissimi programmi web. La falla sta nel motore di PHP, non in WordPress: ogni programma che gira su una versione non corretta è esposto, qualunque sia il suo nome.
L’Ufficio federale della cibersicurezza (UFCS) lo scrive nel suo avviso: PHP può far parte anche di interfacce di amministrazione, applicazioni aziendali interne, container e dispositivi, e chi li gestisce non sempre sa di averlo in casa.
Oltre ai server web, l’UFCS chiede di verificare le applicazioni e i dispositivi che usano PHP come componente integrato, e di chiedere ai fornitori quali prodotti sono interessati.
Cosa c’è in gioco lo spieghiamo nell’articolo principale: Falla PHP2Shell: cosa chiedere al tuo hosting. In breve: un attaccante può eseguire comandi sul server senza fare login.
Dove si nasconde PHP in un’azienda?
Quasi sempre in un programma che apri dal browser e che qualcuno, anni fa, ha installato per te. Ecco i posti dove trovarlo più spesso in una PMI.
| Dove | Esempi tipici | Chi lo aggiorna di solito |
|---|---|---|
| Sito e negozio online | WordPress, Joomla, Drupal, PrestaShop, Magento, WooCommerce | L’hosting per PHP, l’agenzia per il sito |
| Webmail | Roundcube, la posta dal browser offerta da molti hosting | L’hosting o chi gestisce la posta |
| Gestionali web | Rilevazione presenze, CRM, ticket, prenotazioni, magazzino | Il fornitore del programma |
| Intranet e documenti | Wiki interni, condivisione file, piattaforme di formazione | Il tecnico o il fornitore |
| Strumenti del tecnico | Pannelli per il database, inventario dei computer, monitoraggio | Il tecnico che li ha installati |
| Pannelli di dispositivi | Alcuni NAS, firewall, centralini telefonici, sistemi di videosorveglianza | Il produttore, con un aggiornamento del firmware |
Due esempi che abbiamo già trattato su questo sito: la webmail Roundcube e i negozi Magento sono entrambi scritti in PHP. Chi li usa ha quindi due motivi per controllare: le loro falle e quella del motore sotto.
Oltre a siti e negozi online, l’articolo indica come meno visibili ma altrettanto esposti intranet, sistemi di rilevazione presenze e vecchi CRM.
Come faccio a sapere se un programma usa PHP?
Il modo sicuro è chiederlo al fornitore. Ma ci sono tre indizi che puoi vedere da solo, in un minuto.
- L’indirizzo nel browser finisce con
.php, per esempio.../login.phpo.../index.php. È l’indizio più chiaro. - La pagina di accesso o le informazioni del programma lo dicono: molte schermate «Informazioni», «About» o il piè di pagina riportano il nome e la versione del software. Con il nome, una ricerca ti dice in che linguaggio è scritto.
- Il programma è «open source» e installato sul vostro server: buona parte dei gestionali, delle webmail e dei CMS open source più diffusi è scritta in PHP.
Nessun indizio non vuol dire «niente PHP»: molti programmi lo nascondono bene. Per questo la domanda al fornitore resta il passo decisivo.
Come faccio l’inventario in mezz’ora?
Prendi un foglio con quattro colonne e passa in rassegna tutto quello che in azienda si apre dal browser. Non serve un tecnico per la prima stesura: serve qualcuno che sappia cosa usano i colleghi.
- Elenca gli indirizzi: guarda i preferiti del browser di due o tre colleghi di reparti diversi (amministrazione, vendite, tecnico). Ogni preferito che porta a un login è una riga.
- Scrivi chi lo gestisce: l’hosting, un fornitore, il tecnico esterno, «nessuno». Le righe con «nessuno» sono le più pericolose: sono i programmi installati anni fa e mai più toccati.
- Segna se è raggiungibile da Internet: se lo apri anche da casa, senza VPN, sì.
- Ordina per priorità: prima quello che è su Internet e tratta dati sensibili (posta, clienti, pagamenti), poi il resto. È lo stesso ordine che indica l’UFCS.
Poi manda a ogni fornitore la stessa domanda, per iscritto:
Buongiorno, in merito alle falle di PHP CVE-2026-109618 e CVE-2026-109619 (PHP2Shell) del 21 ottobre 2026, vi chiedo di confermarmi per iscritto se il vostro prodotto
nome del programma, che usiamo nella versioneversione, usa PHP; se è coinvolto; e se sì, quando è o sarà disponibile la correzione e cosa dobbiamo fare noi. Grazie.
Per l’hosting del sito e della posta c’è l’email più dettagliata nell’articolo sulla falla PHP.
Un esempio dal Ticino
Immagina uno studio fiduciario di Lugano con otto persone. Il sito è stato fatto con un servizio online che non usa PHP: il titolare legge le notizie e pensa di essere a posto. Poi fa l’inventario.
- La posta dal browser è la webmail dell’hosting: PHP. L’hosting conferma la correzione in giornata.
- La rilevazione presenze è un programma web installato da un tecnico nel 2019 su un piccolo server in ufficio, aperto su Internet per chi lavora da casa: PHP, versione 7.4, nessuno lo aggiorna da anni. È la riga che conta.
- Il NAS con i documenti dei clienti ha un pannello web: il produttore non ha ancora pubblicato un avviso, quindi lo studio lo controlla ogni due giorni e intanto verifica che il pannello non sia raggiungibile da Internet.
Senza inventario il titolare avrebbe controllato solo il sito, cioè l’unica cosa che non aveva PHP.
Il Metodo 3V applicato all’inventario
| Fase | Cosa fai |
|---|---|
| Verifica: cosa ho davvero? | L’elenco di tutto ciò che si apre dal browser, con chi lo gestisce |
| Validazione: me lo conferma chi lo aggiorna? | Risposta scritta da ogni fornitore, non un «dovrebbe essere a posto» |
| Velocità controllata: cosa prima? | Prima ciò che è su Internet e tratta dati sensibili, poi il resto, senza spegnere tutto nel panico |
Domande frequenti
PHP2Shell riguarda solo chi ha un sito WordPress?
No. La falla è nel motore di PHP, non in WordPress. Riguarda ogni programma che gira su una versione di PHP non corretta: altri CMS e negozi online, webmail, gestionali web, intranet e i pannelli di alcuni dispositivi. L'UFCS avverte che spesso chi li usa non sa che dentro c'è PHP.
Come faccio a sapere se un programma usa PHP?
L'indizio più chiaro è un indirizzo che finisce con .php, come login.php. Anche la schermata Informazioni o il piè di pagina spesso riportano il nome del software. Il modo sicuro però è chiederlo per iscritto al fornitore: molti programmi non lo mostrano da nessuna parte.
Il mio NAS o il mio firewall è coinvolto da PHP2Shell?
Dipende dal produttore e dalla versione del firmware: PHP lì dentro non lo aggiorni tu. Guarda la pagina degli avvisi di sicurezza del produttore e installa gli aggiornamenti appena escono. Nel frattempo verifica che il pannello di amministrazione non sia raggiungibile da Internet.
Cosa faccio con un programma che nessuno aggiorna più?
Se è raggiungibile da Internet, rendilo accessibile solo dall'ufficio o tramite VPN finché non hai deciso cosa fare. Un programma senza fornitore non riceverà la correzione per PHP2Shell né per le falle future: va aggiornato da un tecnico o sostituito.
La correzione di PHP esiste dal 21 ottobre e i tentativi di attacco sono già milioni: chi cerca server non aggiornati non guarda come si chiama il tuo programma. Prendi oggi un foglio e scrivi la prima riga dell’inventario. Se arrivano email «dal fornitore» che ti chiedono di accedere per applicare la correzione, leggi prima come riconoscere la truffa.
