Visitare un sito hackerato è pericoloso? Cosa significa PHP2Shell per chi naviga

MacWindowsiPhoneAndroidAggiornato

PHP2Shell è una falla del software che gira sul server di un sito, non sul tuo telefono o computer. Visitare un sito in PHP non espone il tuo dispositivo alla falla in sé. Il rischio per chi naviga arriva dopo, se degli attaccanti prendono il controllo di un sito e cambiano ciò che ti mostra. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Le vulnerabilità PHP rese pubbliche il 21 ottobre 2026 riguardano le installazioni di PHP che rispondono a richieste web, cioè i server. Una visita non fa girare PHP sul tuo dispositivo. Però Google spiega che un sito hackerato può reindirizzare a pagine dannose, ospitare phishing o tentare di installare contenuti dannosi. Tieni aggiornato il browser, evita download inattesi e controlla l'indirizzo prima di inserire dati.

Cosa significa una falla PHP su un sito per chi lo visita?

La falla è sul server del sito. Il manuale di PHP spiega che il codice PHP viene eseguito sul server, che genera la pagina e la invia al browser: il browser riceve il risultato e non vede mai il codice PHP. L'avviso PHP su CVE-2026-109618 e CVE-2026-109619 indica come a rischio le installazioni di PHP che rispondono a richieste web, e il CSIRT Italia scrive che, se sfruttate, le vulnerabilità potrebbero permettere a un attaccante remoto di eseguire codice arbitrario sui sistemi interessati.

Le raccomandazioni del CSIRT Italia sono rivolte a chi gestisce i sistemi: aggiornare. Per te che visiti, PHP2Shell conta se un sito che usi viene compromesso, perché allora può cambiare ciò che ti mostra.

Cosa può fare un sito hackerato a chi lo visita?

Le norme di Google sullo spam e la sua guida sull'ingegneria sociale descrivono cosa fanno gli attaccanti quando entrano in un sito:

  • Modificano le pagine esistenti. Google dice che potrebbero inserire codice dannoso nelle pagine esistenti.
  • Ti mandano altrove. Google parla di codice dannoso che reindirizza alcuni utenti a pagine dannose o di spam.
  • Aggiungono pagine nuove. Google dice che gli hacker possono aggiungere pagine con spam o contenuti dannosi, spesso pensate per tentativi di phishing.
  • Provano a installare qualcosa. Google descrive contenuti compromessi potenzialmente in grado di installare contenuti dannosi sui computer degli utenti, e mostra l'esempio di un popup ingannevole che cerca di indurre l'utente a installare un malware.
  • Ti chiedono la password. Google dice che i siti di phishing potrebbero avere esattamente lo stesso aspetto del sito reale, e che gli hacker potrebbero assumere il controllo di siti innocui per ospitare questi contenuti.

Diverse di queste cose funzionano solo se fai qualcosa, come accettare un download o scrivere la password in una pagina falsa. I passaggi qui sotto riguardano proprio quei momenti.

Il browser mi avvisa se un sito è pericoloso?

Può farlo. Ogni browser principale ha i suoi avvisi:

  • Safari su Mac. Scegli Safari > Impostazioni, poi fai clic su Sicurezza. Apple spiega che l'opzione «Avvisa quando si visita un sito fraudolento» ti avvisa se il sito è sospettato di phishing.
  • Chrome. Google dice che Chrome mostra un avviso rosso «Sito pericoloso» per siti di phishing, malware, software indesiderato o ingegneria sociale. Su computer la protezione si sceglie da Altro > Impostazioni > Privacy e sicurezza > Sicurezza, nella sezione Navigazione sicura.
  • Microsoft Edge. Microsoft spiega che SmartScreen confronta i siti con un elenco dinamico di siti di phishing e software dannoso segnalati, e controlla anche i download. Quando blocca, avvisa che il sito o il download è stato bloccato per motivi di sicurezza.

Questi elenchi dipendono dalle segnalazioni. Edge stesso ha la voce «Segnala un sito Web non sicuro» per i siti che non erano stati individuati. Nessun avviso vuol dire solo nessun avviso, non la prova che il sito sia sicuro.

Come mi proteggo quando visito i siti?

Poche abitudini coprono gran parte dei rischi descritti da Google.

  1. Tieni aggiornati browser e dispositivi. La Polizia Postale ricorda che un dispositivo non aggiornato può avere vulnerabilità sfruttabili per accedere ai tuoi dati o ai tuoi account, e consiglia di aggiornare appena possibile sistema operativo e app.
  2. Non scaricare ciò che non hai cercato. Apple consiglia di installare solo software scaricato dall'App Store o direttamente dal sito dello sviluppatore.
  3. Controlla l'indirizzo prima di scrivere una password. La Polizia Postale avverte che anche una piccola variazione nel nome, una lettera diversa o un carattere aggiunto possono nascondere un sito contraffatto, e che una grafica curata o un logo conosciuto non garantiscono che il sito sia quello ufficiale. Su Mac passa il puntatore sul link per vederne l'indirizzo; su iPhone o iPad tocca e tieni premuto il link, come spiega Apple. Nel dubbio, raggiungi il servizio scrivendo tu l'indirizzo ufficiale o usando l'app ufficiale.
  4. Usa un gestore di password. Il NCSC britannico spiega che un gestore di password ti permette di avere password diverse per ogni servizio, e che aiuta contro il phishing perché compila la password solo sul sito giusto.
  5. Attiva l'autenticazione a due fattori. La Polizia Postale spiega che un secondo livello di verifica rende più difficile entrare nei tuoi account anche se qualcuno conosce la tua password.

E se ho già scritto una password o scaricato qualcosa?

Agisci sul punto preciso. Per un account, la Polizia Postale consiglia di controllare nelle impostazioni di sicurezza dispositivi e sessioni collegate, disconnettere quelli che non riconosci e cambiare la password, verificando anche che e-mail e numero di recupero siano davvero i tuoi. Se hai usato la stessa password altrove, cambiala anche lì. Per un download, la Polizia Postale consiglia di non eseguire programmi prima di averli analizzati con un antivirus, e di aggiornare l'antivirus regolarmente.

Se non riesci più a entrare nell'account, la Polizia Postale indica la procedura di recupero della piattaforma e la denuncia presso un qualunque ufficio di polizia. Puoi segnalare un sito di phishing con il modulo Segnalazioni della Polizia Postale, che però non sostituisce una denuncia. In Svizzera l'Ufficio federale della cibersicurezza (UFCS) riceve segnalazioni volontarie di ciberincidenti.

Il ruolo di Failshot

Failshot è un secondo livello di sicurezza per il tuo Mac, per un momento diverso: qualcuno che usa il tuo Mac di persona. La password è il primo livello, e Failshot è il livello che viene dopo. Quando è attivo, fotografa chi sblocca il Mac, poi, con Pro, registra un video di 5 secondi, e la sua finestra avvisa quella persona che lo sblocco è stato fotografato. Per disattivarlo, o per chiuderlo dal suo menu, servono Touch ID oppure il PIN di Failshot e la tua risposta, mai la password del Mac.

L'app per Mac si scarica gratis da failshot.app, con macOS 14 o versioni successive. Gratis da usare. Pro aggiunge il video, gli avvisi via email e la cassaforte crittografata. Prova Failshot Pro per Mac gratis per 7 giorni su failshot.app. La carta viene registrata al momento dell'iscrizione e addebitata l'ottavo giorno, a meno che tu non disdica. L'app è in inglese, e le versioni per iPhone, Android e Windows sono in arrivo.

Altre domande

È sicuro visitare un sito colpito dalla vulnerabilità PHP?

La falla è sul server del sito, e il manuale di PHP dice che PHP gira sul server, non nel browser. Il problema per chi naviga è un sito compromesso. Lì fai attenzione a download inattesi, reindirizzamenti e richieste di accesso.

Posso capire se un sito usa PHP?

Non in modo affidabile. Il manuale di PHP spiega che un server può essere configurato per elaborare tutte le pagine con PHP, e in quel caso chi visita non ha modo di saperlo.

Il proprietario di un sito sa sempre che è stato hackerato?

Non sempre. Google scrive che non è raro che l'hacker usi il cloaking per rendere più difficile al proprietario accorgersi della compromissione. La prudenza con download e password vale anche sui siti che conosci.

Questo riguarda il mio telefono?

Non direttamente. PHP2Shell riguarda installazioni di PHP che rispondono a richieste web, cioè server, non telefoni. Un sito compromesso può però mostrare una pagina di accesso falsa o proporre un download su qualsiasi dispositivo, quindi valgono le stesse abitudini.

Fonti