I miei dati personali sono a rischio per la vulnerabilità PHP?

MacWindowsiPhoneAndroidAggiornato

Una vulnerabilità è un punto debole, e un punto debole in un sito non equivale al furto dei tuoi dati. PHP2Shell sono due vulnerabilità critiche di PHP, il linguaggio di molti siti web, corrette il 21 ottobre 2026. Il CSIRT Italia scrive che, se sfruttate, potrebbero permettere a un attaccante remoto di eseguire codice arbitrario sui sistemi interessati. Al 23 ottobre 2026 nessuno degli avvisi ufficiali citati in questa guida elenca aziende o clienti coinvolti.

Risposta breve

Non necessariamente. PHP2Shell è una falla dei server web, e un server vulnerabile non significa che qualcuno ne abbia preso dei dati. Se un sito che usi subisce una violazione con rischio elevato per te, il Garante privacy spiega che il titolare deve comunicartela. Nel frattempo usa password diverse, attiva l'autenticazione a due fattori e diffida dei messaggi che parlano di violazioni.

La vulnerabilità PHP vuol dire che i miei dati sono stati rubati?

No, non di per sé. Il Garante per la protezione dei dati personali definisce la violazione dei dati personali (data breach) come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. PHP2Shell è un punto debole che potrebbe permettere qualcosa del genere su un server non aggiornato. Che da un certo sito siano stati presi dei dati dipende dal fatto che quel sito sia stato attaccato.

Cosa dicono le fonti ufficiali, al 23 ottobre 2026:

  • Il progetto PHP ha rilasciato le versioni corrette il 21 ottobre e ha invitato tutti gli utenti di PHP ad aggiornare subito.
  • Al 23 ottobre 2026, l'alert dell'agenzia statunitense CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione.
  • Il CSIRT Italia segnala la disponibilità in rete di proof of concept per entrambe le vulnerabilità.

Nessuna di queste è un'affermazione su un negozio, una banca o un servizio in particolare. La guida alla vulnerabilità PHP spiega le falle in sé.

Come saprei se un sito che uso ha subito una violazione?

Dovrebbe dirtelo chi lo gestisce. Il Garante spiega che il titolare del trattamento deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile un rischio per le persone. Se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati con i canali più idonei, a meno che abbia già preso misure che ne riducono l'impatto.

Di solito quindi arriva un'e-mail, una lettera o un avviso dall'azienda stessa. Se pensi che un sito che usi possa essere coinvolto, contattalo raggiungendolo da solo: la Polizia Postale consiglia, nel dubbio, di non usare il link ricevuto e di digitare direttamente l'indirizzo ufficiale nel browser o usare l'app ufficiale.

Puoi anche chiedere all'azienda quali dati tratta su di te. Il Garante spiega che puoi presentare un'istanza al titolare senza particolari formalità, per esempio via e-mail o raccomandata, e che il titolare deve risponderti senza ingiustificato ritardo, al più tardi entro 1 mese, prorogabile di 2 mesi nei casi complessi.

Devo cambiare la password di quel sito?

Cambiala se hai un motivo: l'azienda te lo chiede, oppure hai usato la stessa password altrove.

  1. Raggiungi il sito scrivendo tu l'indirizzo o usando la sua app, non da un link in un'e-mail o in un SMS.
  2. Cambia la password nelle impostazioni di sicurezza dell'account.
  3. Cambiala anche ovunque tu abbia usato la stessa.
  4. Usa una password diversa per ogni servizio. La Polizia Postale lo consiglia perché, se una viene scoperta, i danni sono minori.

Devo attivare l'autenticazione a due fattori?

Sì, dove è disponibile. La Polizia Postale spiega che aggiungere un secondo livello di verifica rende più difficile l'accesso ai tuoi account anche se qualcuno riesce a conoscere la tua password, e consiglia di attivarla soprattutto per e-mail, social network, app di messaggistica e servizi con informazioni personali o finanziarie. Per un Apple Account, vedi la guida (in inglese) sulla autenticazione a due fattori dell'Apple Account.

Come riconosco un messaggio di phishing?

La Polizia Postale descrive il phishing come una truffa che usa e-mail solo apparentemente inviate da banche, società di carte di credito o siti con registrazione, come webmail ed e-commerce. Il messaggio segnala problemi di registrazione o di altro tipo e chiede i tuoi dati di accesso, con un link a un sito costruito identico all'originale.

Cosa tenere a mente, dalle indicazioni della Polizia Postale:

  • controlla con attenzione l'indirizzo del sito: anche una lettera diversa o un carattere aggiunto possono nascondere un sito contraffatto
  • un aspetto curato e un logo conosciuto non garantiscono che il sito sia quello ufficiale
  • non inviare in chat password, codici di verifica, dati bancari o fotografie di carte

Puoi segnalare un messaggio di phishing con il modulo Segnalazioni della Polizia Postale, che ha un argomento Phishing.

Cosa devo controllare nei miei account?

La Polizia Postale consiglia di entrare nelle impostazioni di sicurezza di e-mail, social e app di messaggistica e verificare dispositivi e sessioni collegate. Se trovi un telefono, un computer, una sessione o un accesso che non riconosci, disconnettilo subito e cambia la password. Controlla anche che e-mail e numero di telefono di recupero siano davvero i tuoi.

Se qualcuno ha cambiato quei dati e non riesci a reimpostare la password, la Polizia Postale indica di avviare il recupero dell'account dal centro assistenza della piattaforma e di formalizzare la denuncia in un qualunque ufficio di polizia. Vedi anche la guida (in inglese) su qualcun altro che ha effettuato l'accesso al tuo account.

Altre domande

Posso verificare se la mia e-mail compare in una violazione di dati?

Il NCSC britannico suggerisce strumenti come haveibeenpwned.com, o funzioni simili di gestori di password e antivirus, per vedere se i tuoi dati compaiono in violazioni pubbliche. Un risultato riguarda violazioni passate note a quel servizio, non PHP2Shell in particolare.

Un'azienda mi avvisa sempre di una violazione?

Non sempre. Secondo il Garante il titolare deve comunicarla agli interessati quando il rischio per i loro diritti è elevato, salvo misure che ne riducano l'impatto, quindi una violazione a rischio minore può non arrivarti direttamente. Puoi sempre presentare un'istanza all'azienda per sapere quali dati tratta su di te.

Come presento un reclamo su come un'azienda ha trattato i miei dati?

Il Garante spiega che, se la risposta del titolare alla tua istanza non arriva nei tempi o non è soddisfacente, o se ritieni che il trattamento non sia conforme, puoi rivolgerti all'autorità giudiziaria o al Garante, con un reclamo. In Svizzera l'IFPDT permette di presentare una denuncia, dopo aver verificato come può intervenire nel tuo caso.

Devo installare qualcosa sul telefono o sul computer?

Non per PHP2Shell. Le falle sono nei server web, che aggiorna il gestore del sito. La Polizia Postale consiglia comunque di aggiornare appena possibile il sistema operativo e le app che usi.

La mia banca mi chiederà di confermare i miei dati per questo?

La Polizia Postale descrive proprio questo schema come phishing: messaggi che sembrano della banca e chiedono i dati di accesso. Se un messaggio su una violazione ti chiede di accedere o confermare dati, contatta la banca digitando tu l'indirizzo ufficiale o usando la sua app.

Fonti