Come testare il tuo sito per PHP2Shell senza rischi

WindowsMacAggiornato 2026-10-24

L'avviso del progetto PHP del 21 ottobre 2026 elenca le versioni di PHP che correggono PHP2Shell: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Quell'elenco è il test. Se la versione di PHP del tuo sito è uguale o successiva alla correzione del suo ramo, l'aggiornamento chiesto dall'avviso è al suo posto. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Confronta la versione di PHP del sito con le versioni corrette, leggi gli avvisi del tuo hosting e dei produttori del software che usi, e cerca i prodotti che includono PHP nell'elenco di NCSC-NL su GitHub. Uno scanner non sostituisce questi controlli. La correzione è l'aggiornamento, e vanno testati solo siti tuoi o per cui hai un'autorizzazione.

Cosa dicono di controllare le fonti ufficiali?

Nessuno degli avvisi ufficiali citati in questa guida chiede ai privati di usare uno scanner. L'avviso PHP dice che le vulnerabilità riguardano tutte le installazioni di PHP che rispondono a richieste web, e che solo un aggiornamento è una soluzione completa. L'alert del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), raccomanda di aggiornare seguendo i bollettini del produttore e, indipendentemente dall'aggiornamento, di analizzare i log alla ricerca di segnali di sfruttamento o di compromissione. Il NCSC britannico chiede alle organizzazioni di trovare dove usano PHP, aggiornare e seguire gli aggiornamenti dei fornitori i cui prodotti includono PHP. L'agenzia statunitense CISA chiede di censire tutti i sistemi che usano qualsiasi versione di PHP e di aggiornarli alle versioni corrette.

Per chi ha un blog, un piccolo negozio online o il sito di un'associazione, tutto questo si riduce a due controlli: la versione su cui gira il sito, e gli avvisi delle aziende di cui usi il software o l'hosting.

Come controllo la mia versione di PHP?

Ti serve il numero esatto, per esempio 8.3.36, non solo «PHP 8». La guida per verificare la versione di PHP del sito mostra dove trovarlo in WordPress e nel pannello dell'hosting, e cosa chiedere all'hosting se non lo vedi.

Il NCSC aggiunge un avvertimento utile: non limitare la ricerca alle versioni di PHP obsolete. Scrive che sono coinvolte le organizzazioni che usano qualsiasi versione di PHP, quindi anche una versione che sembra recente va confrontata con l'elenco delle versioni corrette.

E gli avvisi del mio hosting e degli altri produttori?

L'hosting gestisce il server, quindi il suo avviso è spesso la risposta più chiara che avrai. Cerca un'e-mail, una pagina di stato o un articolo di assistenza sull'avviso PHP del 21 ottobre, e controlla che indichi la versione corretta del ramo usato dal tuo sito. Se non trovi nulla, chiedi.

PHP può anche stare dentro altri prodotti. La CISA scrive che PHP è spesso un componente di altri software e che la sua presenza può non essere direttamente visibile. Il NCSC chiede di seguire gli aggiornamenti di sicurezza dei fornitori terzi, perché apparecchi e servizi possono includere PHP. Se hai un NAS o un router con una pagina di amministrazione web, il posto dove guardare è l'avviso di sicurezza del produttore. La guida su PHP2Shell nei NAS Synology e QNAP riassume cosa hanno detto quei due produttori, e quella su router e PHP2Shell copre il resto della rete di casa.

Che cos'è l'elenco di NCSC-NL su GitHub?

Il centro nazionale per la cybersicurezza dei Paesi Bassi (NCSC-NL) tiene un archivio pubblico su github.com/NCSC-NL/php2shell. La pagina del NCSC britannico su PHP2Shell dice che NCSC-NL vi ha pubblicato un inventario dei prodotti software con una dipendenza da PHP potenzialmente coinvolta.

L'archivio si presenta come informazione operativa su CVE-2026-109618 e CVE-2026-109619. Ha tre parti: elenchi di prodotti software con una dipendenza da PHP potenzialmente coinvolti, materiale di rilevamento e mitigazione, e strumenti per generare i file dell'archivio. La sua tabella degli ultimi aggiornamenti indica data, fornitore, prodotto, versione, uno stato per le due vulnerabilità e i link. Tra gli stati ci sono Fix (corretto), Vulnerable (vulnerabile) e Investigation (in analisi). L'archivio dice che viene aggiornato man mano che la situazione evolve.

Per usarlo, cerca i prodotti che usi per fornitore e nome, poi segui il link all'avviso del fornitore per i dettagli. L'archivio non si presenta come completo, quindi un prodotto che manca non è per forza escluso.

Uno scanner di vulnerabilità online può dirmi se sono al sicuro?

Può dirti alcune cose, con dei limiti. La guida del NCSC sugli strumenti di scansione delle vulnerabilità (in inglese) spiega che gli scanner raccolgono informazioni su un sistema, con tecniche chiamate «fingerprinting» o «banner grabbing», e le confrontano con prodotti noti come vulnerabili. Dice che la scansione automatica non vale quanto un lavoro manuale come un penetration test, che gli scanner di rete puntano all'ampiezza più che alla profondità, e che possono dare falsi positivi, cioè una vulnerabilità segnalata che non esiste, e falsi negativi, cioè una vulnerabilità reale che sfugge.

Per PHP2Shell, nessuno scanner fa parte dei consigli del progetto PHP, e la correzione dell'avviso è l'aggiornamento. Qualunque cosa dica una scansione, quello che devi sapere resta la versione esatta di PHP sul server e se è quella corretta. Se scanner e hosting non dicono la stessa cosa, chiedi all'hosting di confermarti la versione per iscritto.

È legale testare un sito per PHP2Shell?

Testa solo siti che sono tuoi o per cui hai un'autorizzazione chiara, e non usare mai codice di attacco contro il sito di qualcun altro. In Italia l'articolo 615-ter del Codice penale, nel testo pubblicato su Normattiva, punisce con la reclusione fino a tre anni «Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo». Lo stesso articolo prevede pene più alte in casi aggravati. Questa guida non stabilisce se un determinato test rientri nell'articolo: se hai dubbi su cosa puoi fare, chiedi prima.

Se il tuo sito è sul server di un hosting, chiedi a loro prima di fare qualunque cosa che vada oltre un controllo della versione.

Altre domande

Esiste uno scanner ufficiale per PHP2Shell?

Nessuna delle pagine ufficiali elencate qui sotto offre uno scanner per privati. L'archivio di NCSC-NL contiene materiale di rilevamento e mitigazione, ma non descrive uno scanner. La risposta dell'avviso PHP è aggiornare alla 8.5.12, 8.4.27, 8.3.36 o 8.2.35.

PHP2Shell è già stata sfruttata?

Al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione. Il CERT-EU scrive che hanno iniziato a circolare le prime proof of concept. Il CSIRT Italia scrive: «Si evidenzia, inoltre, la disponibilità in rete di Proof of Concept (PoC) per lo sfruttamento di entrambe le vulnerabilità.» L'avviso di QNAP riporta che sono stati segnalati pubblicamente tentativi di sfruttamento contro PHP.

La scansione dice che il mio sito è vulnerabile. Cosa faccio?

Confronta la tua versione di PHP con l'elenco delle versioni corrette e chiedi all'hosting di confermarla. Se non è corretta, aggiornala o falla aggiornare. Se sul sito qualcosa sembra strano, la guida sito hackerato, cosa fare copre la prima ora.

L'hosting dice che è tutto corretto, ma uno scanner no. Chi ha ragione?

Secondo la guida del NCSC sulla scansione, gli scanner possono dare falsi positivi, e la correzione dipende dalla versione di PHP sul server. Chiedi all'hosting la versione esatta del sito e confrontala tu con le versioni corrette. La guida l'hosting dice che PHP è aggiornato spiega cosa resta a te.

Un firewall corregge PHP2Shell?

No. La CISA scrive che un web application firewall può dare una certa protezione finché i sistemi non vengono aggiornati. L'avviso PHP precisa che le sue misure temporanee riducono l'esposizione ma non rendono sicura un'installazione. La correzione resta l'aggiornamento.