# Guide: sicurezza di PHP e dei server > Guide sulla sicurezza di PHP: web shell, backdoor, php.ini, SQL injection, XSS, upload, log, backup e header di sicurezza. Fonte: https://phpsos.de/it/ratgeber/ Stato: 25/10/2026 Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6 Articoli tecnici per amministratori e sviluppatori: riconoscere le web shell, rafforzare php.ini, analizzare i log, programmare in modo sicuro. - [Cronologia PHP2Shell: date dal 17 al 25 ottobre 2026](https://phpsos.de/it/ratgeber/php2shell-chronologie/): Tutte le date documentate su PHP2Shell in un'unica panoramica, dal primo tentativo di attacco osservato allo stato del 25/10/2026, e che cosa ne consegue per il Suo controllo. - [Conferma dell'aggiornamento PHP dall'hoster: come chiedere lo stato della patch](https://phpsos.de/it/ratgeber/hoster-patch-status-erfragen/): Dopo PHP2Shell la versione di PHP visualizzata dimostra poco. Con questo modello chiede al Suo hoster una conferma che può documentare. - [Riconoscere e rimuovere una webshell](https://phpsos.de/it/ratgeber/webshell-erkennen/): Come individuare le backdoor sui server web PHP senza distruggere le tracce, e perché cancellare da soli di rado basta. - [Trovare backdoor in WordPress: individuarle in modo sistematico](https://phpsos.de/it/ratgeber/backdoor-wordpress-finden/): Dove si nascondono tipicamente le backdoor in WordPress e come gli admin le individuano in modo sistematico con WP-CLI e pochi comandi. - [Configurare php.ini in modo sicuro](https://phpsos.de/it/ratgeber/php-ini-sicher-konfigurieren/): Quali impostazioni del php.ini riducono la superficie di attacco, come proteggerle dalla sovrascrittura e che cosa vale in più dopo PHP2Shell. - [Usare correttamente PHP disable_functions](https://phpsos.de/it/ratgeber/disable-functions/): Con disable_functions blocca le funzioni PHP rischiose. Come definire l'elenco in base alla Sua applicazione senza mettere fuori uso il sito. - [open_basedir e isolamento per sito](https://phpsos.de/it/ratgeber/open-basedir/): Come impedire, con open_basedir, utenti di sistema propri e pool PHP-FPM separati, che un'intrusione in un sito colpisca tutti gli altri sul server. - [Permessi dei file sul server web](https://phpsos.de/it/ratgeber/dateirechte-webserver/): Perché il server web non deve modificare il proprio codice, quali permessi sono sensati per file e cartelle e come verificare rapidamente lo stato attuale. - [composer audit: verificare le vulnerabilità delle dipendenze](https://phpsos.de/it/ratgeber/composer-abhaengigkeiten-pruefen/): Come gli sviluppatori trovano con composer audit le vulnerabilità note nelle librerie, automatizzano il controllo ed evitano gli errori tipici nel deployment. - [PHP end of life: rischi delle versioni obsolete](https://phpsos.de/it/ratgeber/php-end-of-life-risiken/): Che cosa significa la fine del supporto di una versione di PHP, quali rami ricevono ancora patch ufficiali dopo PHP2Shell e come rendere pianificabile la migrazione. - [Prevenire la SQL injection in PHP](https://phpsos.de/it/ratgeber/sql-injection-php/): Come gli sviluppatori escludono in modo affidabile la SQL injection nelle applicazioni PHP con prepared statement, whitelist e diritti minimi sul database. - [Prevenire XSS in PHP: difendersi con sicurezza dal cross-site scripting](https://phpsos.de/it/ratgeber/xss-php/): Come gli sviluppatori prevengono il cross-site scripting nelle applicazioni PHP: codifica adatta al contesto, auto-escaping nei template, pulizia dell'HTML e una Content Security Policy. - [Realizzare in modo sicuro l'upload di file in PHP: sicurezza dell'upload](https://phpsos.de/it/ratgeber/datei-upload-sicher/): I moduli di upload sono una via frequente per le webshell. Come verificare correttamente i tipi di file, salvarli in sicurezza e impedire al server di eseguire script caricati. - [Mettere in sicurezza le sessioni in PHP: la sicurezza delle sessioni nella pratica](https://phpsos.de/it/ratgeber/session-sicherheit-php/): Le sessioni mantengono gli utenti connessi e sono quindi un bersaglio appetibile. Come configurare in modo sicuro cookie, ID di sessione e luoghi di archiviazione e applicare l'avviso PHP2Shell sull'upload progress. - [Deserializzazione non sicura in PHP: unserialize e sicurezza](https://phpsos.de/it/ratgeber/deserialisierung-php/): unserialize() con dati estranei può, nel caso peggiore, portare all'esecuzione di codice. Come sostituirlo con JSON, limitarlo dove deve restare e trovare i punti a rischio nel codice. - [Prevenire la local file inclusion in PHP: LFI e RFI](https://phpsos.de/it/ratgeber/lfi-rfi/): Quando include o require prendono percorsi dalla richiesta, gli aggressori possono caricare file estranei. Come costruire in modo sicuro selezione delle pagine e template e proteggere in più il server. - [Proteggere i login admin dal brute force: protezione brute force per ogni login](https://phpsos.de/it/ratgeber/brute-force-login-schutz/): I tentativi automatici di password colpiscono ogni pagina di login raggiungibile. Come frenare gli aggressori con rate limiting e Fail2ban, proteggere gli account con un secondo fattore e salvare correttamente le password. - [DDoS o attacco hacker? Come inquadrare correttamente gli attacchi](https://phpsos.de/it/ratgeber/ddos-oder-exploit/): Sito lento, carico alto, file strani: se dietro c'è un DDoS o un'intrusione decide la reazione giusta. Come inquadrare la situazione con pochi controlli. - [Analizzare i log del server web dopo un attacco: leggere correttamente l'access log](https://phpsos.de/it/ratgeber/logfiles-auswerten/): Dopo un attacco i file di log sono spesso la traccia più importante. Come mettere al sicuro access log, error log e log PHP, trovare le richieste sospette ed evitare gli errori tipici nell'analisi. - [Impostare l'autenticazione a due fattori per gli accessi admin](https://phpsos.de/it/ratgeber/zwei-faktor-admin/): Una password rubata non deve bastare per prendere il controllo del Suo server o shop. Come scegliere il metodo adatto, proteggere tutti gli accessi admin e pianificare gli accessi di emergenza. - [Strategia di backup per server: backup secondo la regola 3-2-1](https://phpsos.de/it/ratgeber/backups-3-2-1/): Un backup serve solo se supera un attacco e può essere ripristinato. Come applicare la regola 3-2-1 ai server web e pianificare correttamente conservazione e test. - [Security header per i siti web: impostare correttamente gli header di sicurezza](https://phpsos.de/it/ratgeber/sicherheits-header/): Gli header di sicurezza indicano al browser di proteggere meglio i Suoi visitatori. Come impostare i più importanti in Nginx e Apache, introdurre gradualmente una Content Security Policy e verificare il risultato. - [Rimuovere l'avviso di Google «Questo sito è stato violato»](https://phpsos.de/it/ratgeber/google-warnung-entfernen/): Un avviso di violazione nei risultati di ricerca costa visitatori e fiducia. Come bonificare il sito a fondo, trovare le pagine di spam nascoste e richiedere la verifica nella Search Console. - [Checklist dopo un hack: 20 punti per il dopo-attacco](https://phpsos.de/it/ratgeber/checkliste-nach-dem-hack/): Dopo un attacco conta l'ordine giusto. Questa checklist guida in 20 punti attraverso contenimento, raccolta delle prove, bonifica, nuovi accessi, obblighi e chiusura documentata.