Centro Assistenza
Homepage Hosting PHP

Vulnerabilità di sicurezza PHP2Shell - informazioni importanti sul tuo contratto IONOS

Valido per: tutte le applicazioni e i servizi che utilizzano PHP

Nel mesi di ottobre 2026 sono state risolte due vulnerabilità critiche (CVE-2026-109618 e CVE-2026-109619) nel nucleo (Core Runtime) del linguaggio di scripting PHP.

La combinazione di queste due vulnerabilità, nota anche come PHP2Shell, consente l’esecuzione di codice dannoso e la presa di controllo del server web senza che sia necessario effettuare il login o interagire con il sistema. Questo articolo del Centro Assistenza fornisce informazioni sul contesto, sulle modalità per verificare un’eventuale compromissione e sulle misure da adottare.

I punti principali in sintesi

  • IONOS ha già installato l'aggiornamento ufficiale di PHP sui propri sistemi IT.
  • Per la maggior parte dei clienti non è richiesta alcuna azione.
  • Devi intervenire immediatamente se gestisci PHP in autonomia, ad esempio su un VPS o su un Server Dedicato.

Fare attenzione al phishing

L'esperienza dimostra che eventi che ricevono un'attenzione mediatica così ampia come PHP2Shell vengono sfruttati anche dai truffatori. Questi inviano e-mail contraffatte per ottenere credenziali di accesso o cercano in altri modi di indurti a rivelare informazioni sensibili.

  • Verifica l’autenticità delle presunte e-mail di IONOS tramite il servizio di convalida.
  • Non eseguire sul tuo server script che non provengano da fonti affidabili.

Modificare la versione di PHP tramite l'account IONOS

Se puoi modificare la tua versione di PHP tramite l'account IONOS, non corri alcun rischio legato a PHP2Shell, poiché queste versioni sono gestite e mantenute aggiornate da IONOS.

Trovi la gestione di PHP nel tuo account cliente alla voce Hosting > riquadro PHP. Clicca sul dominio desiderato e seleziona una delle versioni disponibili. La versione attualmente consigliata è contrassegnata di conseguenza.

Versioni di PHP protette dal programma di Supporto esteso per PHP

IONOS ha applicato gli aggiornamenti di sicurezza PHP2Shell anche alle versioni precedenti di PHP, nell'ambito del Supporto esteso per PHP. Se utilizzi una di queste versioni, sei protetto da PHP2Shell e non devi intraprendere alcuna azione immediata.

Gli aggiornamenti di sicurezza riguardano le seguenti versioni di PHP:

  • PHP 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0 e 8.1 (tutti i pacchetti di hosting)
  • PHP 4.0, 5.2, 5.4 e 5.5 (solo pacchetti di hosting ordinati fino al 14 settembre 2025 compreso)

Nota bene

Le seguenti informazioni si rivolgono principalmente ai clienti IONOS che utilizzano una propria versione di PHP, ad esempio su un server dedicato, o che impiegano integrazioni che installano autonomamente PHP.

I clienti che utilizzano PHP tramite IONOS, ad esempio per la gestione di un CMS come WordPress, sono già protetti grazie agli aggiornamenti interni di IONOS (vedi anche la sezione “Modificare la versione PHP tramite l'account IONOS ”di questo articolo).
 

Se gestisci il tuo server PHP autonomamente

IONOS ha già aggiornato la propria infrastruttura PHP e implementato ulteriori misure di sicurezza. Sono escluse da questo le installazioni PHP gestite sotto la tua responsabilità. In questo caso devi agire immediatamente.

Attenzione: una visibilità limitata o una scarsa notorietà non ti proteggono in qualità di gestore del server. Gli autori di attacchi (hacker) hanno automatizzato la ricerca di server web vulnerabili a PHP2Shell. Di conseguenza, anche i siti web meno noti finiscono nel mirino degli aggressori.

Oltre all’esecuzione di codice dannoso, la vulnerabilità PHP2Shell consentiva anche la lettura non autorizzata della memoria di lavoro. Ottenendo l’accesso ai processi del server, un hacker ha potenzialmente accesso ad altre tue informazioni, come ad esempio password di database, token di sessione, variabili d’ambiente o credenziali API. Il problema è quindi di vasta portata e mette a rischio tutti i dati presenti sul tuo spazio web.

Attacchi secondari

Nota bene: alcune applicazioni o componenti di sistemi IT potrebbero utilizzare una propria integrazione PHP. È il caso, ad esempio, di interfacce web o API basate su PHP. Di conseguenza, queste integrazioni possono risultare vulnerabili alla falla di sicurezza PHP2Shell.

Per informazioni più dettagliate, rivolgiti al produttore dell’applicazione o del componente di sistema in questione. L'articolo dell'Agenzia per la
cybersicurezza nazionale (ACN) può fornirti ulteriori indicazioni. Il link è disponibile alla fine di questa guida del Centro Assistenza.

Possibili segnali di un attacco PHP2Shell riuscito

Nel riepilogo dell'ACN (Agenzia per la cybersicurezza nazionale) trovi indicazioni in merito agli indicatori di compromissione relativi a PHP2Shell. I link indicati al suo interno offrono ulteriori approfondimenti.

Trovi il link all'articolo dell'ACN alla fine di questo articolo del Centro Assistenza.

Misure da adottare dopo un attacco PHP2Shell riuscito

Se amministri autonomamente il server o trovi indizi concreti di una minaccia, ad esempio codice dannoso o backdoor nello spazio web, IONOS consiglia di ripristinare i tuoi dati allo stato precedente agli attacchi (inizio ottobre 2026).

Ecco cosa devi fare subito:

  • Ripristina un backup pulito dei dati del tuo spazio web.
  • Aggiorna i tuoi pacchetti PHP e poi riavvia tutti i servizi PHP.
  • Una volta completato il ripristino, inserisci le password modificate e gli altri dati di accesso, come le chiavi API.

Non gestisci direttamente il tuo spazio web?

Inoltrate immediatamente il link di questo articolo del Centro Assistenza al tuo webmaster, al reparto IT o all’agenzia web di riferimento.

Migliorare la sicurezza della tua installazione PHP

Un passo importante per migliorare la sicurezza del tuo spazio web è l’utilizzo di versioni PHP aggiornate e ufficialmente supportate. 

Se utilizzi il servizio « IONOS » con Supporto esteso per PHP, sei in linea di massima protetto; tuttavia ti consigliamo di valutare quanto prima il passaggio a una versione aggiornata di PHP.

Ulteriori informazioni

Contenuto