Guide: sicurezza di PHP e dei server
Articoli tecnici per amministratori e sviluppatori: riconoscere le web shell, rafforzare php.ini, analizzare i log, programmare in modo sicuro.
Cronologia PHP2Shell: date dal 17 al 25 ottobre 2026
Tutte le date documentate su PHP2Shell in un'unica panoramica, dal primo tentativo di attacco osservato allo stato del 25/10/2026, e che cosa ne consegue per il Suo controllo.
Leggi tutto →02Conferma dell'aggiornamento PHP dall'hoster: come chiedere lo stato della patch
Dopo PHP2Shell la versione di PHP visualizzata dimostra poco. Con questo modello chiede al Suo hoster una conferma che può documentare.
Leggi tutto →03Riconoscere e rimuovere una webshell
Come individuare le backdoor sui server web PHP senza distruggere le tracce, e perché cancellare da soli di rado basta.
Leggi tutto →04Trovare backdoor in WordPress: individuarle in modo sistematico
Dove si nascondono tipicamente le backdoor in WordPress e come gli admin le individuano in modo sistematico con WP-CLI e pochi comandi.
Leggi tutto →05Configurare php.ini in modo sicuro
Quali impostazioni del php.ini riducono la superficie di attacco, come proteggerle dalla sovrascrittura e che cosa vale in più dopo PHP2Shell.
Leggi tutto →06Usare correttamente PHP disable_functions
Con disable_functions blocca le funzioni PHP rischiose. Come definire l'elenco in base alla Sua applicazione senza mettere fuori uso il sito.
Leggi tutto →07open_basedir e isolamento per sito
Come impedire, con open_basedir, utenti di sistema propri e pool PHP-FPM separati, che un'intrusione in un sito colpisca tutti gli altri sul server.
Leggi tutto →08Permessi dei file sul server web
Perché il server web non deve modificare il proprio codice, quali permessi sono sensati per file e cartelle e come verificare rapidamente lo stato attuale.
Leggi tutto →09composer audit: verificare le vulnerabilità delle dipendenze
Come gli sviluppatori trovano con composer audit le vulnerabilità note nelle librerie, automatizzano il controllo ed evitano gli errori tipici nel deployment.
Leggi tutto →10PHP end of life: rischi delle versioni obsolete
Che cosa significa la fine del supporto di una versione di PHP, quali rami ricevono ancora patch ufficiali dopo PHP2Shell e come rendere pianificabile la migrazione.
Leggi tutto →11Prevenire la SQL injection in PHP
Come gli sviluppatori escludono in modo affidabile la SQL injection nelle applicazioni PHP con prepared statement, whitelist e diritti minimi sul database.
Leggi tutto →12Prevenire XSS in PHP: difendersi con sicurezza dal cross-site scripting
Come gli sviluppatori prevengono il cross-site scripting nelle applicazioni PHP: codifica adatta al contesto, auto-escaping nei template, pulizia dell'HTML e una Content Security Policy.
Leggi tutto →13Realizzare in modo sicuro l'upload di file in PHP: sicurezza dell'upload
I moduli di upload sono una via frequente per le webshell. Come verificare correttamente i tipi di file, salvarli in sicurezza e impedire al server di eseguire script caricati.
Leggi tutto →14Mettere in sicurezza le sessioni in PHP: la sicurezza delle sessioni nella pratica
Le sessioni mantengono gli utenti connessi e sono quindi un bersaglio appetibile. Come configurare in modo sicuro cookie, ID di sessione e luoghi di archiviazione e applicare l'avviso PHP2Shell sull'upload progress.
Leggi tutto →15Deserializzazione non sicura in PHP: unserialize e sicurezza
unserialize() con dati estranei può, nel caso peggiore, portare all'esecuzione di codice. Come sostituirlo con JSON, limitarlo dove deve restare e trovare i punti a rischio nel codice.
Leggi tutto →16Prevenire la local file inclusion in PHP: LFI e RFI
Quando include o require prendono percorsi dalla richiesta, gli aggressori possono caricare file estranei. Come costruire in modo sicuro selezione delle pagine e template e proteggere in più il server.
Leggi tutto →17Proteggere i login admin dal brute force: protezione brute force per ogni login
I tentativi automatici di password colpiscono ogni pagina di login raggiungibile. Come frenare gli aggressori con rate limiting e Fail2ban, proteggere gli account con un secondo fattore e salvare correttamente le password.
Leggi tutto →18DDoS o attacco hacker? Come inquadrare correttamente gli attacchi
Sito lento, carico alto, file strani: se dietro c'è un DDoS o un'intrusione decide la reazione giusta. Come inquadrare la situazione con pochi controlli.
Leggi tutto →19Analizzare i log del server web dopo un attacco: leggere correttamente l'access log
Dopo un attacco i file di log sono spesso la traccia più importante. Come mettere al sicuro access log, error log e log PHP, trovare le richieste sospette ed evitare gli errori tipici nell'analisi.
Leggi tutto →20Impostare l'autenticazione a due fattori per gli accessi admin
Una password rubata non deve bastare per prendere il controllo del Suo server o shop. Come scegliere il metodo adatto, proteggere tutti gli accessi admin e pianificare gli accessi di emergenza.
Leggi tutto →21Strategia di backup per server: backup secondo la regola 3-2-1
Un backup serve solo se supera un attacco e può essere ripristinato. Come applicare la regola 3-2-1 ai server web e pianificare correttamente conservazione e test.
Leggi tutto →22Security header per i siti web: impostare correttamente gli header di sicurezza
Gli header di sicurezza indicano al browser di proteggere meglio i Suoi visitatori. Come impostare i più importanti in Nginx e Apache, introdurre gradualmente una Content Security Policy e verificare il risultato.
Leggi tutto →23Rimuovere l'avviso di Google «Questo sito è stato violato»
Un avviso di violazione nei risultati di ricerca costa visitatori e fiducia. Come bonificare il sito a fondo, trovare le pagine di spam nascoste e richiedere la verifica nella Search Console.
Leggi tutto →24Checklist dopo un hack: 20 punti per il dopo-attacco
Dopo un attacco conta l'ordine giusto. Questa checklist guida in 20 punti attraverso contenimento, raccolta delle prove, bonifica, nuovi accessi, obblighi e chiusura documentata.
Leggi tutto →Ogni ora conta. Ci scriva adesso.
Descriva brevemente sistema, versione di PHP e quanto osservato. Ci faremo sentire, chiariremo la situazione e lavoreremo da remoto fino alla chiusura e alla documentazione dell'incidente.