In breve: una vulnerabilità sul sito di un comune è un incidente con ricadute pubbliche. Chiarisca chi gestisce il server, faccia confermare patch di PHP e riavvio e tenga pronta una pagina di emergenza nel caso in cui il sito debba essere temporaneamente scollegato dalla rete. La comunicazione a cittadini e stampa dovrebbe essere concordata prima che arrivino le domande.
Quali sistemi PHP gestiscono tipicamente i comuni
Molti siti comunali girano su TYPO3, altri su sistemi PHP diversi. Attorno al sito principale nascono altre applicazioni: moduli online per domande e iscrizioni, segnalazione di disservizi, calendari degli eventi, partecipazione dei cittadini, portali di lavoro, preiscrizioni all'asilo, siti turistici, cataloghi di biblioteche e siti di singole strutture come scuola di musica o aziende municipalizzate.
Alcune di queste applicazioni le gestisce il comune stesso, altre un centro di calcolo comunale, un consorzio o un produttore di applicativi specialistici. Chi vuole chiudere una vulnerabilità di PHP deve prima sapere su quali server di chi gira quale applicazione.
I comuni più piccoli spesso non hanno un reparto IT proprio. Lì un collaboratore dell'ufficio centrale cura il sito a margine, la parte tecnica è presso un'agenzia e i contratti risalgono a un'epoca in cui nessuno pensava a vulnerabilità critiche nel linguaggio di programmazione. Le città più grandi hanno il problema opposto: così tanti siti di uffici, progetti e strutture che quasi nessuno conosce l'elenco completo.
Che cosa è in gioco sui siti comunali
Nei moduli e nei portali si trovano dati di cittadine e cittadini: indirizzi, date di nascita, informazioni sui bambini nelle iscrizioni ad asili e scuole, foto e posizioni nelle segnalazioni di disservizi, candidature. Per gli organismi pubblici valgono il GDPR e la legge regionale sulla protezione dei dati; di norma è competente l'autorità di controllo del Land.
Almeno altrettanto pesa l'integrità: il sito di un comune è una fonte ufficiale. Contenuti manipolati, avvisi pubblici falsificati o reindirizzamenti verso siti truffa a nome della città danneggiano la fiducia ben oltre il danno tecnico.
I domini comunali godono della fiducia di cittadini e motori di ricerca. Proprio questo li rende attraenti per gli aggressori: come mittenti di spam, come deposito di pagine truffa o come piattaforma per false notizie, ad esempio su elezioni, maltempo o tariffe.
Comune e vulnerabilità del sito: chi decide che cosa?
| Ruolo | Compito tipico nell'incidente |
|---|---|
| Centro di calcolo comunale o fornitore IT | Server, pacchetti PHP, riavvio, separazione della rete |
| Ufficio centrale o coordinamento IT | Direzione complessiva, incarichi, piano di emergenza |
| Ufficio stampa | Informazione a cittadini e media |
| Responsabile della protezione dei dati dell'ente | Valutazione dell'obbligo di notifica |
| Agenzia web | CMS, estensioni, contenuti |
Il vuoto nasce spesso tra centro di calcolo e agenzia: il centro di calcolo gestisce il server, l'agenzia cura TYPO3 e ciascuna parte presume che sia l'altra a occuparsi di PHP. Un aggiornamento di TYPO3 non chiude PHP2Shell.
Il BSI (Ufficio federale tedesco per la sicurezza informatica) ha valutato la situazione con il livello di allerta 3 / arancione e raccomanda l'aggiornamento immediato. Se un server web comunale non può essere aggiornato subito, lo scolleghi temporaneamente dalla rete e attivi una pagina di emergenza statica.
Le prime ore nell'amministrazione
- Elencare tutti i siti e gli applicativi specialistici con accesso web, comprese strutture e turismo.
- Far confermare per iscritto al rispettivo gestore: PHP alla versione 8.5.12, 8.4.27, 8.3.36 o 8.2.35 oppure backport applicato, tutti i processi riavviati.
- Scollegare dalla rete i sistemi non confermati oppure proteggerli fino alla patch con il virtual patching. Cloudflare segnala che le regole basate sui soli dati della richiesta non bastano; è un ponte, non un sostituto.
- Salvare i log dal 20/10/2026.
- Informare ufficio stampa e responsabile della protezione dei dati e concordare un linguaggio oggettivo. Un aiuto è la pagina sulla comunicazione di crisi.
Che cosa raccomandi nel dettaglio il BSI lo riassume la pagina Raccomandazioni del BSI su PHP2Shell. Le questioni su appalti e incarichi d'urgenza le chiarisca secondo le Sue regole interne.
Prevenzione: pagina di emergenza, inventario e sostituzione
La prossima vulnerabilità critica arriverà di certo. Tre preparativi fanno allora risparmiare ore: una pagina di emergenza statica già pronta, con numeri di telefono, orari di apertura e indicazioni per le richieste urgenti, che si possa servire senza PHP. Un inventario aggiornato di tutte le applicazioni web con gestore, referente e base contrattuale. E una regola di sostituzione, perché decisioni come lo spegnimento del sito possano essere prese anche la sera e nei fine settimana.
Questi punti rientrano nel piano di emergenza IT dell'amministrazione. Aziende municipalizzate, enti strumentali e strutture con siti propri dovrebbero comparirvi espressamente, perché altrimenti mancano nel censimento.
Come aiuta concretamente PHP SOS?
- Supportiamo il Suo coordinamento IT nell'inventario e chiariamo con centro di calcolo, produttori e agenzia chi aggiorna quale sistema.
- Dove gestisce direttamente, con il servizio di patch PHP ci occupiamo di aggiornamento, riavvio e prova scritta.
- In caso di sospetto di compromissione preserviamo le tracce e verifichiamo che i contenuti non siano stati manipolati, prima che il sito torni online.
- Documentiamo la procedura in modo che responsabile della protezione dei dati, direzione dell'amministrazione e revisori dei conti possano ricostruirla.
Domande frequenti
Possiamo semplicemente spegnere il sito del comune?
Il BSI raccomanda di scollegare temporaneamente i server web dalla rete se l'aggiornamento non è subito possibile. Per i comuni è indicata una pagina di emergenza statica con i principali canali di contatto. Chi può decidere ciò internamente dovrebbe essere indicato nel piano di emergenza.
Il sistema informativo del consiglio comunale è interessato?
Dipende da tecnica ed esercizio. I sistemi informativi del consiglio e i servizi online sono spesso gestiti da produttori di applicativi specialistici o da centri di calcolo comunali. Chieda lì in modo specifico di impiego di PHP, stato delle patch e riavvio.
Quale autorità di protezione dei dati è competente per i comuni?
Per gli organismi pubblici dei Länder e dei comuni di norma è competente l'autorità di controllo della protezione dei dati del rispettivo Land tedesco. Valgono inoltre le leggi regionali sulla protezione dei dati. Il Suo responsabile della protezione dei dati dell'ente conosce i canali di notifica.