# 22,6 milioni di istanze esposte: come leggere i numeri

> 22,6 mln di istanze, 2,24 mln di host: quanti server colpisce PHP2Shell, perché i numeri divergono e che cosa significano per la Sua azienda.

Fonte: https://phpsos.de/it/blog/exponierte-instanzen-einordnen/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** quanti server siano interessati da PHP2Shell si può solo stimare. Unit 42 ha contato, secondo TechTarget, oltre 22,6 milioni di istanze esposte, CybelAngel parla di circa 2,24 milioni di host PHP, BleepingComputer riferisce, citando VirusTotal, di oltre 5,1 milioni. I numeri misurano cose diverse e perciò non si contraddicono. Per la Sua azienda conta un altro numero: quanti sistemi PHP propri sono raggiungibili e quanti di questi sono aggiornati in modo documentato.

## Il punto di partenza: un numero fa notizia

«22 milioni di server in pericolo» si leggeva il 21 ottobre 2026 in molti titoli. Il numero proviene da Unit 42, il reparto di ricerca di Palo Alto Networks, ed è stato riportato, tra gli altri, da TechTarget. Poco dopo circolavano altri numeri, in parte inferiori di un fattore dieci.

Ai lettori si dà l'impressione che nessuno sappia nulla. In realtà i fornitori contano semplicemente cose diverse con metodi diversi. Chi lo capisce può usare i numeri, invece di lasciarsene disorientare.

## Quanti server sono interessati da PHP2Shell? I numeri in sintesi

| Fonte | Numero | Che cosa è stato contato |
|---|---|---|
| Unit 42 (Palo Alto Networks), secondo TechTarget | oltre 22,6 mln | istanze esposte, potenzialmente vulnerabili; metodo non spiegato nel rapporto |
| VirusTotal, secondo BleepingComputer | oltre 5,1 mln | host PHP raggiungibili da Internet |
| CybelAngel, sulla base di dati Shodan | circa 2,24 mln | host che dichiarano PHP nei propri identificativi |
| CybelAngel | 59% di circa 1,5 mln | quota di host con versione visibile su rami senza aggiornamento ufficiale |
| CybelAngel | circa 740.000 | host che dichiarano PHP ma nascondono la versione |

Tutti i numeri si riferiscono alla situazione intorno al 20 e 21 ottobre. Sono istantanee e cambiano a ogni aggiornamento installato.

## Perché i conteggi sono così distanti tra loro

Tre effetti spiegano gran parte delle differenze.

**Istanza, host, sito web.** Un host è di solito un indirizzo IP o un server. Un'istanza può essere un singolo servizio o un singolo sito web. Su un server in shared hosting girano spesso centinaia di siti. CybelAngel lo sottolinea essa stessa: si contano host, non organizzazioni o siti web, e il numero effettivo di applicazioni raggiungibili dovrebbe essere più alto.

**Versioni nascoste.** Molti server non rivelano la propria versione di PHP, ad esempio perché `expose_php` è disattivato. Mancano quindi nelle statistiche basate sulle versioni. Perché nasconderla sia sensato ma non sostituisca una protezione lo spiega l'articolo su [indicazioni di versione ed expose_php](https://phpsos.de/it/blog/expose-php-versionsangaben/).

**Backport.** Distribuzioni e hoster installano a volte correzioni senza cambiare il numero di versione. Un server che all'esterno mostra un numero vecchio può quindi essere aggiornato. I conteggi basati sulla versione visualizzata sovrastimano perciò il numero dei sistemi privi di patch. Come verificare lo stato reale presso di Lei è in [Verificare versione e stato della patch di PHP](https://phpsos.de/it/php2shell/php-version-pruefen/).

### Come nascono questi conteggi

La maggior parte dei numeri si basa su servizi di ricerca che interrogano continuamente Internet e memorizzano ciò che i server comunicano di sé. Un server web indica spesso nelle sue risposte software e versione, ad esempio nell'intestazione `X-Powered-By`. CybelAngel, secondo la propria esposizione, si basa su questi identificativi tratti da dati Shodan. Non viene attaccato nulla: si legge solo ciò che è comunque visibile pubblicamente.

Da qui deriva una semplice regola di lettura per ogni nuovo numero sui media. Si chieda: che cosa è stato contato, host, istanze o siti web? Quando è stato misurato, prima o dopo il 21 ottobre? E come è stata determinata la versione, tramite il numero visualizzato o con un test vero? Chi non sa rispondere a queste tre domande dovrebbe trattare il numero come un ordine di grandezza approssimativo, non come un valore misurato.

> **Importante:**
> «Esposto» significa raggiungibile e, in base a caratteristiche esterne, possibilmente vulnerabile. Non significa attaccato né compromesso. Il BSI inizialmente non conosceva attacchi riusciti su larga scala confermati.

## Che cosa mostrano comunque di affidabile i numeri

Anche se l'entità oscilla, i conteggi sostengono tre affermazioni solide:

1. **La superficie di attacco è enorme.** Anche il numero più piccolo significa milioni di bersagli raggiungibili. Gli aggressori non devono cercare, possono verificare in modo automatizzato.
2. **Le versioni vecchie sono diffuse.** Secondo CybelAngel, il 59 percento degli host con versione visibile girava su rami per i quali il progetto PHP non pubblica aggiornamenti ufficiali. Per questi sistemi non serve una patch rapida, ma un backport, una terza parte o una migrazione. I rischi sono descritti nella guida [PHP End of Life](https://phpsos.de/it/ratgeber/php-end-of-life-risiken/).
3. **Il problema durerà più a lungo.** Una grande parte dei sistemi raggiungibili non verrà aggiornata in pochi giorni. Scansioni e tentativi di attacco continueranno quindi verosimilmente a lungo.

## Determinare il proprio numero

Il numero mondiale è un titolo. Il Suo è un compito. Ecco come arrivarci:

1. **Raccogliere domini e sottodomini:** da zone DNS, certificati, contratti con agenzie e hoster.
2. **Associare i servizi raggiungibili:** quale server sta dietro quale indirizzo, chi lo gestisce?
3. **Rilevare lo stato di PHP per ogni sistema:** versione, modalità di esecuzione, origine dei pacchetti, conferma del backport.
4. **Valutare il risultato:** aggiornato e documentato, aggiornato senza prova, non aggiornato, sconosciuto.
5. **Colmare le lacune:** chiarire prima l'ignoto, intervenire prima su ciò che non è aggiornato.

Alla fine c'è un breve elenco invece di un grande numero. Come mantenere l'inventario nel tempo lo descrive l'articolo [Inventario di tutti i siti web e server](https://phpsos.de/it/blog/inventar-websites-server/).

## Come aiuta concretamente PHP SOS?

- **Vista dall'esterno:** accertiamo quali dei Suoi sistemi sono raggiungibili da Internet e quali di questi usano PHP.
- **Vista dall'interno:** verifichiamo stato della patch e riavvio sui server, non solo la versione visualizzata.
- **Valutazione:** riceve un elenco con lo stato di ogni sistema e un ordine chiaro.
- **Controllo:** su richiesta, dopo la patch verifichiamo dall'esterno se la situazione è migliorata come previsto.

Come si svolge una verifica del genere lo descrive [Audit di sicurezza e penetration test](https://phpsos.de/it/leistungen/sicherheitsaudit-penetrationstest/).

## Conclusione

22,6 milioni, 5,1 milioni, 2,24 milioni: i numeri sembrano contraddittori, ma misurano solo cose diverse. Insieme mostrano che PHP2Shell riguarda una superficie di attacco molto grande e che in rete ci sono molte versioni vecchie. Il numero che decide il Suo rischio non lo fornisce nessuno studio. Nasce solo guardando ai propri sistemi.


## Domande frequenti

**Quanti server sono interessati da PHP2Shell?**  
Nessuno lo sa con precisione. Unit 42 di Palo Alto Networks ha contato, secondo TechTarget, oltre 22,6 milioni di istanze esposte, potenzialmente vulnerabili. CybelAngel parla di circa 2,24 milioni di host raggiungibili da Internet che dichiarano PHP. I numeri misurano cose diverse e non sono direttamente confrontabili.

**Perché i numeri divergono così tanto?**  
Perché si contano cose diverse: istanze, host, indirizzi IP o servizi. Su un host in shared hosting possono esserci centinaia di siti web. Inoltre molti server non mostrano la propria versione di PHP, altri ne mostrano una vecchia anche se è stato installato un backport.

**Esposto significa che un server è stato attaccato?**  
No. Esposto significa solo che un servizio PHP è raggiungibile da Internet e, in base a caratteristiche esterne, potrebbe essere vulnerabile. Questi conteggi non dicono nulla sugli attacchi effettivi.

**Quale numero è importante per la mia azienda?**  
Il numero dei Suoi sistemi PHP raggiungibili pubblicamente e quanti di questi risultano aggiornati in modo documentato. I numeri mondiali mostrano le dimensioni, ma non sostituiscono il proprio inventario.

## Fonti

- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [CybelAngel: Critical PHP RCE vulnerabilities CVE-2026-109618 and CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)
- [PHP: versioni supportate](https://www.php.net/supported-versions.php)