# Vulnerabilità Joomla PHP2Shell: proteggere i siti Joomla > Proteggere Joomla dopo PHP2Shell: verificare la versione di PHP nelle informazioni di sistema, proteggere configuration.php, controllare Super User ed estensioni. Fonte: https://phpsos.de/it/plattformen/joomla/ Stato: 25/10/2026 Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6 **In breve:** la vulnerabilità di Joomla di cui si parla in questi giorni si chiama PHP2Shell e si trova nel PHP del server, non in Joomla. Un aggiornamento di Joomla non la chiude. Dopo patch di PHP e riavvio dovrebbe controllare `configuration.php`, gli override dei template, le estensioni e l'elenco dei Super User. ## Che cosa significa PHP2Shell per Joomla Joomla è un CMS PHP e eredita ogni debolezza del PHP sottostante. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono, secondo il team PHP, di eseguire codice dannoso senza autenticazione. Sono interessate le consuete modalità di esecuzione PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Proprio i siti Joomla più piccoli di associazioni, imprese artigiane o federazioni girano spesso su hosting condiviso e vengono curati di rado. Lì l'aggiornamento di PHP spetta all'hoster. Il Suo compito è informarsi sullo stato e controllare il sito alla ricerca di tracce. Quali versioni siano interessate lo mostra [Quali versioni di PHP sono interessate?](https://phpsos.de/it/php2shell/betroffene-php-versionen/). ## Vulnerabilità Joomla: verificare la versione di PHP Nell'area di amministrazione, **Sistema > Informazioni di sistema** mostra la versione di PHP e le principali impostazioni di PHP. È la versione con cui Joomla gira davvero sul web. Le versioni upstream corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se Joomla mostra un numero più vecchio, può comunque essere stato applicato un backport; deve confermarlo il Suo hoster. Sull'hosting condiviso la versione di PHP si può spesso cambiare per dominio nel menu cliente dell'hoster. Questo però permette solo di passare tra le versioni messe a disposizione dall'hoster; se siano aggiornate lo decide l'hoster. Il passaggio a una versione principale più recente può comunque essere sensato, se la Sua versione di Joomla e tutte le estensioni la supportano. Lo provi prima, perché le vecchie estensioni con le versioni di PHP più recenti si interrompono spesso con messaggi di errore. Joomla indica da sé i requisiti minimi di PHP per ogni versione principale. Quali versioni di PHP supporta la Sua versione di Joomla, lo verifichi nei requisiti di sistema su joomla.org. Con versioni Joomla molto vecchie, un cambio di PHP può richiedere prima un upgrade di Joomla. ## Nascondigli tipici del codice dannoso in Joomla | Posizione | Contenuto | A che cosa fare attenzione | |---|---|---| | `configuration.php` | Accesso al database, `$secret`, percorsi per log e temp | Data di modifica, codice aggiunto | | `images/`, `media/` | Immagini e media | I file PHP sono sospetti | | `tmp/` | file temporanei, anche delle installazioni | Residui di pacchetti estranei | | `templates//html/` | Override dei template con codice PHP | override sconosciuti o modificati | | `plugins/system/` | Plugin di sistema che si caricano a ogni chiamata | plugin sconosciuti | | `administrator/logs/` | Log | salvare prima delle modifiche | | `.htaccess` | Reindirizzamenti, regole di rewrite | Reindirizzamenti solo per i motori di ricerca | I plugin di sistema sono particolarmente apprezzati perché vengono eseguiti a ogni visualizzazione di pagina. Dovrebbe sempre saper spiegare un plugin sconosciuto in questa cartella. Controlli non invasivi da riga di comando (Joomla 4 e successivi include una propria console): ```bash # File PHP nelle cartelle media e temporanee find images media tmp -type f -name "*.php" # Elencare utenti ed estensioni php cli/joomla.php user:list php cli/joomla.php extension:list ``` > **Importante:** > Se il Suo sito Joomla reindirizza i visitatori da Google verso siti estranei o se Google mostra un avviso, il server è con ogni probabilità già compromesso. In tal caso non basta un aggiornamento: serve una bonifica e poi una verifica nella Search Console. ## Accesso amministratore ed estensioni L'area di amministrazione si trova in `/administrator`. Controlli il gruppo di utenti «Super Users» alla ricerca di account sconosciuti e di account di ex fornitori di servizi. Attivi l'autenticazione a due fattori inclusa in Joomla e usi account personali anziché condivisi. Le estensioni del Joomla Extensions Directory e di terze parti sono numerose in molti siti: moduli, gallerie, page builder, newsletter. Ognuna porta con sé codice PHP proprio e spesso funzioni di upload proprie. Le estensioni il cui fornitore non rilascia più aggiornamenti sono un rischio permanente e rendono più difficile ogni aggiornamento di PHP. Disinstalli completamente ciò che non usa. ## Che cosa può fare un aggiornamento di Joomla e che cosa no Un aggiornamento di Joomla sostituisce i file del core e chiude le vulnerabilità note in Joomla. Non applica patch a PHP, non tocca gli override dei template e le estensioni di terzi e non rimuove file che non fanno parte del core. Anche voci del database come nuovi Super User restano. Se il Suo sito è già stato modificato, aiuta la procedura descritta in [Sito hackerato? Assistenza di emergenza da remoto](https://phpsos.de/it/leistungen/website-gehackt-notfallhilfe/). Per la ricerca delle backdoor vale la pena consultare la guida [Riconoscere e rimuovere le web shell](https://phpsos.de/it/ratgeber/webshell-erkennen/). Se il Suo sito Joomla è stato allestito da un'agenzia o da un freelance, chieda a loro quali estensioni e template siano stati personalizzati. I file personalizzati non si possono semplicemente confrontare con il pacchetto originale e richiedono un controllo individuale. ## In che modo PHP SOS aiuta concretamente? - Chiediamo lo stato di PHP al Suo hoster o lo verifichiamo sul Suo server, riavvio compreso. - Mettiamo al sicuro log, file e database prima di ogni modifica. - Confrontiamo il core con il pacchetto originale e controlliamo override, plugin di sistema, cartelle media e Super User. - In caso di riscontri bonifichiamo il sito, rinnoviamo gli accessi e accompagniamo la rimozione degli avvisi di Google. ## Domande frequenti **Joomla è interessato da PHP2Shell?** Joomla stesso non ha una nuova vulnerabilità, ma gira su PHP. Se il PHP del server non è aggiornato, secondo il team PHP un aggressore può eseguire codice senza autenticazione. Un aggiornamento di Joomla non cambia nulla al riguardo. **Dove trovo in Joomla la versione di PHP?** Nell'area di amministrazione, in Sistema > Informazioni di sistema. Lì vede anche le impostazioni di PHP. Dal numero non si capisce se sia stato applicato un backport; deve confermarlo il Suo hoster. **Perché gli override dei template sono un rischio?** Gli override si trovano nella cartella del template e contengono codice PHP che sostituisce l'output di componenti e moduli. Il codice introdotto lì passa quasi inosservato, perché gli override non vengono sostituiti dagli aggiornamenti di Joomla. ## Fonti - [php.net: bollettini di sicurezza](https://www.php.net/) - [Joomla](https://www.joomla.org/) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/) - [Guida di Google Search Console](https://support.google.com/webmasters/)