In breve: PHP non gira solo sui server web, ma anche nelle interfacce web di NAS, firewall e dispositivi specializzati o in pacchetti di server web che ha installato su un NAS. Se un dispositivo sia interessato da PHP2Shell può dirlo solo il produttore; l'aggiornamento arriva con il firmware. Il Suo compito è individuare questi dispositivi, togliere le loro interfacce web da Internet e seguire i bollettini dei produttori.
Perché i dispositivi con interfaccia web rientrano nella questione PHP
Quando si parla di PHP2Shell, i più pensano al sito aziendale o al negozio online. Eppure PHP è anche in dispositivi che nessuno considera server web. Stanno nella sala server o in ufficio, hanno un'interfaccia web per la gestione e spesso funzionano per anni senza attenzione.
Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 riguardano, secondo php.net, PHP stesso nelle modalità PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Se l'interfaccia web di un dispositivo usa una di queste modalità con una versione vulnerabile, il rischio vale lì allo stesso modo. La differenza: di norma non può aggiornare PHP sul dispositivo da solo.
Che tali sistemi vengano dimenticati ha motivi concreti. Spesso li ha configurati un fornitore di servizi che da tempo non li segue più. Gli aggiornamenti del firmware non partono automaticamente, ma richiedono un clic che nessuno fa. E alcuni dispositivi portano comode funzioni di accesso remoto che rendono l'interfaccia web raggiungibile da Internet all'insaputa dell'IT. Con una vulnerabilità PHP come PHP2Shell, questa comodità diventa un rischio.
Vulnerabilità PHP su NAS e appliance: quali sistemi entrano in questione
Qui indichiamo tipi di dispositivo, non un'affermazione su singoli modelli. Se un determinato firmware sia interessato si legge esclusivamente nei bollettini del produttore.
| Tipo di dispositivo | Come entra in gioco PHP | Chi aggiorna |
|---|---|---|
| NAS con pacchetto di server web | Gestisce propri siti o app PHP sul NAS | Il produttore fornisce il pacchetto PHP, lo installa Lei |
| Distribuzioni per firewall e router | Parti dell'interfaccia di gestione sono scritte in PHP | Il produttore tramite firmware |
| Dispositivi specializzati con interfaccia web | ad es. centralini telefonici, rilevazione presenze, tecnica degli edifici, se il produttore usa PHP | Produttore o rivenditore specializzato |
| Appliance virtuali | VM preconfigurate con interfaccia web propria | Il produttore tramite immagine di aggiornamento |
| Container sul NAS | Applicazioni PHP in container Docker | Lei, con una nuova immagine |
Due esempi documentati: Synology consente in Web Station di gestire siti PHP con profili PHP selezionabili e ha annunciato la fine del supporto per PHP 7.3, 7.4 e 8.0 in DSM 7.3. I bollettini di sicurezza di Netgate su pfSense descrivono file PHP e messaggi di errore PHP dell'interfaccia web. Ciò mostra soltanto che PHP vi compare, non che questi prodotti siano interessati da PHP2Shell.
Inventario: come trovare i sistemi dimenticati
Il passo più importante è un elenco. Molte aziende sanno esattamente quali siti gestiscono, ma non quali dispositivi abbiano un'interfaccia web. Come si presenta un inventario permanente lo descrive l'articolo Inventario di tutti i siti web e server.
- Rilevare la rete: raccogliere i dispositivi dall'elenco DHCP, dalla panoramica dello switch o del firewall.
- Contrassegnare le interfacce web: per ogni dispositivo annotare se viene gestito tramite HTTP o HTTPS.
- Verificare le pubblicazioni: elencare gli inoltri di porta e i servizi di accesso remoto nel router. Ogni interfaccia web raggiungibile da Internet va in cima.
- Assegnare il produttore: annotare modello, stato del firmware e link ai bollettini di sicurezza del produttore.
- Rilevare i servizi propri: elencare a parte i pacchetti di server web e i container installati sui NAS.
Un primo indizio si ottiene con un'innocua interrogazione delle intestazioni. Il comando richiama solo la home page e non modifica nulla:
# Mostrare le intestazioni del server di un'interfaccia web (indirizzo come esempio)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Se compare un'indicazione PHP, è un indizio. Se manca, non prova nulla, perché molti dispositivi sopprimono volutamente tali indicazioni.
Cosa può fare se non può aggiornare da solo
Nei dispositivi la patch spetta al produttore. La raggiungibilità spetta a Lei, ed è proprio lì la leva più grande. Il BSI (Ufficio federale tedesco per la sicurezza informatica) raccomanda, con PHP2Shell, di scollegare temporaneamente dalla rete i server web senza aggiornamento; per le interfacce di gestione dei dispositivi vale per analogia a maggior ragione.
- Toglierli da Internet: rimuovere gli inoltri di porta verso le interfacce web e consentire l'accesso remoto solo tramite VPN.
- Separare la rete di gestione: rendere le interfacce web raggiungibili solo da un segmento di rete proprio per gli amministratori. Il contesto è nell'articolo Proteggere le aree di amministrazione.
- Spegnere l'inutilizzato: disattivare i pacchetti di server web o le app sul NAS di cui nessuno ha più bisogno.
- Seguire i bollettini sul firmware: attivare le notifiche di aggiornamento e installare gli aggiornamenti tempestivamente, non appena il produttore li rilascia.
- Sostituire i dispositivi obsoleti: non gestire più raggiungibili da Internet i dispositivi senza supporto del produttore e pianificarne la sostituzione.
Se su un NAS gestisce propri siti PHP, per questi siti vale lo stesso che per ogni server web: verificare la versione, aggiornare il pacchetto, riavviare il servizio. Le basi sulla vulnerabilità le spiega Che cos'è PHP2Shell?.
Se un dispositivo era esposto in rete
Se un'interfaccia web era raggiungibile da Internet tra il 17 e il 21 ottobre e il dispositivo è interessato, non dovrebbe limitarsi ad aggiornarlo. Verifichi se account, condivisioni o inoltri sono stati modificati, conservi i log disponibili e cambi le credenziali. Un dispositivo che ha avuto un aggressore in rete può servire da trampolino verso altri sistemi.
Con firewall e router è particolarmente delicato, perché vedono tutto il traffico dati. Nel dubbio, un ripristino alle impostazioni di fabbrica con una nuova configurazione pulita è più affidabile della ricerca di singole tracce; prima, log e configurazione dovrebbero essere stati salvati.
Con un NAS si aggiunge la questione dei dati. Vi si trovano spesso contratti, documenti del personale o dati dei clienti. Se un aggressore ha potuto accedere al dispositivo, deve chiarire se possano essere coinvolti dati personali; in tal caso può sussistere un obbligo di notifica ai sensi del GDPR. Ne parli presto con il Suo responsabile della protezione dei dati; questa non è consulenza legale.
Come aiuta concretamente PHP SOS?
- Rilevare l'esistente: rileviamo con Lei tutti i sistemi con interfaccia web, anche NAS, appliance e macchine virtuali.
- Verificare la raggiungibilità: verifichiamo dall'esterno quali interfacce siano raggiungibili da Internet e proponiamo schermature. Una verifica più approfondita è offerta dall'audit di sicurezza con penetration test.
- Seguire la situazione dei produttori: associamo i bollettini di sicurezza dei produttori ai Suoi dispositivi e pianifichiamo gli aggiornamenti.
- Chiarire il sospetto: se un dispositivo interessato era esposto in rete, conserviamo i log e cerchiamo tracce.
Domande frequenti
Il mio NAS è interessato da PHP2Shell?
Può dirlo in modo vincolante solo il produttore, per il Suo modello e il Suo firmware. Consulti i suoi bollettini di sicurezza e verifichi se sul NAS stesso gestisce siti PHP, ad esempio tramite un pacchetto di server web. Fino a chiarimento l'interfaccia non dovrebbe essere raggiungibile da Internet.
Posso aggiornare PHP su un NAS o un firewall da solo?
Di norma no. PHP lì fa parte del firmware o di un pacchetto del produttore. Gli aggiornamenti arrivano tramite la funzione di aggiornamento del dispositivo. Interventi manuali nel firmware possono mettere a rischio garanzia e stabilità.
Basta usare l'interfaccia web solo nella rete locale?
Riduce nettamente il rischio, ma non lo elimina. Un computer già compromesso nella stessa rete può continuare a raggiungere l'interfaccia. Meglio una rete di gestione separata o l'accesso solo tramite VPN.
Come riconosco che un dispositivo usa PHP?
A volte lo rivelano l'header del server o l'estensione .php negli indirizzi dell'interfaccia. Se mancano tali indizi, ciò non prova nulla. Sono affidabili la documentazione del produttore e i bollettini di sicurezza.