La mia website è interessata da PHP2Shell? Come verificarlo in 15 minuti

Se il vostro sito web è interessato da PHP2Shell lo decide la versione di PHP sul server, non il CMS. Sono sicure PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, così come i pacchetti della vostra distribuzione Linux in cui la correzione è stata retroportata. Potete trovare la versione in pochi minuti nell’area clienti dell’hosting, nel menu di WordPress „Stato del sito“ oppure con il comando php -v.

I dettagli sulla vulnerabilità sono riportati nell’articolo PHP2Shell: Cosa devono sapere ora le aziende. Qui si tratta solo della domanda: sono coinvolto e cosa devo fare?

Passo 1: Il vostro sito web utilizza PHP?

WordPress, TYPO3, Joomla, Drupal, Contao, Shopware, Magento e molti sistemi modulari presso hoster tradizionali utilizzano PHP. I siti web con soli sistemi modulari di grandi piattaforme o moderni framework JavaScript spesso no. In caso di dubbio, chiedete al vostro web designer o al vostro hoster.

Passo 2: Verificare la versione di PHP

Nell’area clienti dell’hosting

Presso la maggior parte degli host, trovate la versione di PHP in „Impostazioni PHP“, „Versione PHP“ oppure nelle impostazioni dello spazio web. Annotate il numero di versione completo, ad esempio 8.3.36 e non solo 8.3.

In WordPress

In „Strumenti → Stato del sito → Rapporto → Server“ WordPress mostra la versione di PHP. Anche in questo caso conta il numero completo.

Su server propri

Con il comando php -v sulla riga di comando. Attenzione: la versione del web server può differire da quella della riga di comando. In caso di dubbio, verificate la versione utilizzata dal web server. Nelle distribuzioni Linux come Debian o Ubuntu, il solo numero di versione dice poco, perché le correzioni vengono spesso retroportate in pacchetti più vecchi. È determinante l’avviso di sicurezza della vostra distribuzione.

Passaggio 3: valutare la versione

Passaggio 4: chiedere all’host o al fornitore di servizi

Invii una breve e-mail: „PHP sul nostro webspace o server è stato patchato contro CVE-2026-109618 e CVE-2026-109619 (PHP2Shell)? Per favore con numero di versione.“ Una risposta scritta aiuta anche nella documentazione, ad esempio nei confronti dei responsabili della protezione dei dati.

Passaggio 5: non dimenticare i dispositivi

Firewall, router, gateway VPN e sistemi di archiviazione di rete (NAS) hanno spesso un’interfaccia web con PHP. Il BSI cita tra gli altri i prodotti di OPNsense, pfSense, QNAP e Synology come almeno in parte interessati. Verifichi se il produttore mette a disposizione un aggiornamento firmware e lo installi. Le interfacce web di questi dispositivi non dovrebbero in linea di principio essere raggiungibili da Internet.

Passaggio 6: cercare tracce

Ci sono state anomalie tra il 17 e il giorno del suo aggiornamento? Nuovi file PHP, utenti sconosciuti, errori improvvisi? Cosa fare in quel caso è indicato in Sito web hackerato? Riconoscere i segnali e reagire correttamente.

Non siete sicuri se il vostro sito web, il vostro shop online o i vostri dispositivi siano stati compromessi? Contattateci. Per iniziare, basta un breve colloquio.

Domande frequenti

Come trovo la mia versione PHP?

Nell’area clienti dell’hosting, nelle impostazioni PHP, in WordPress sotto Strumenti → Stato del sito → Rapporto → Server, oppure sui server propri con il comando php -v.

Il mio sito web è stato creato con un website builder. Devo fare qualcosa?

Sulle grandi piattaforme di website builder, il provider si occupa dei server. In caso di dubbio, chiedete. Se gestite anche dispositivi propri con interfaccia web, verificate questi separatamente.

Il mio server utilizza PHP 8.1. E adesso?

PHP 8.1 non riceve più aggiornamenti regolari. Per PHP2Shell sono disponibili patch di backport, ma a lungo termine è consigliabile passare a una versione supportata. Maggiori informazioni nell’articolo sulle versioni PHP obsolete.

Aggiornato al: 24 ottobre 2026. Fonte: Avviso di sicurezza BSI su PHP2Shell.