In breve: con un managed server il fornitore si assume una parte della sicurezza, tipicamente sistema operativo, pacchetti PHP e servizi standard. Applicazione, plugin, accessi e responsabilità in materia di protezione dei dati restano per lo più a Lei. Dopo PHP2Shell dovrebbe chiarire per iscritto entrambe le cose: che cosa ha fatto il fornitore e che cosa resta ancora a Lei.
Che cosa significa «managed» e che cosa no
Il termine non è tutelato. Un fornitore può intendere soltanto l'installazione degli aggiornamenti del sistema operativo, un altro cura anche web server, PHP, database e backup. Alcune tariffe comprendono il monitoraggio 24 ore su 24, altre solo un referente in orario d'ufficio.
Proprio in una situazione come PHP2Shell si vede quanto sia precisa la descrizione del servizio. Le due vulnerabilità CVE-2026-109618 e CVE-2026-109619 si trovano in PHP stesso. Se il Suo fornitore cura PHP come parte della sua piattaforma o se PHP vale come «il Suo software» lo stabilisce il contratto. Non si affidi all'ipotesi che qualcuno se ne occuperà comunque.
Sicurezza del managed server: ripartizione tipica dei compiti
La tabella seguente mostra una ripartizione frequente. Non sostituisce l'esame del Suo contratto, ma aiuta a porre le domande giuste.
| Ambito | Di solito presso il fornitore | Di solito presso di Lei |
|---|---|---|
| Hardware, rete, virtualizzazione | sì | no |
| Aggiornamenti del sistema operativo | sì | no |
| Pacchetti PHP della piattaforma | spesso | se installati da Lei |
| Riavvio di PHP-FPM e del web server | spesso | per servizi propri |
| Configurazione PHP a livello di server | spesso | per richieste particolari |
| CMS, shop, plugin, codice proprio | no | sì |
| Account amministratore dell'applicazione | no | sì |
| Backup | frequente | verifica del ripristino |
| Valutazione e notifica delle violazioni dei dati | no | sì |
| Monitoraggio degli attacchi | a seconda della tariffa | a seconda della tariffa |
Le caselle poco chiare sono il vero rischio. Dove dovrebbe scrivere «a seconda della tariffa» o «spesso», manca una regola.
Quali domande dovrebbe porre adesso
Invii al Suo fornitore una richiesta breve e oggettiva. Chieda una risposta in forma scritta, in modo da poterla esibire in seguito. Questi punti dovrebbero essere inclusi:
- Quali versioni di PHP girano sul nostro server e sono protette da CVE-2026-109618 e CVE-2026-109619?
- Da quando vale e, dopo, tutti i processi PHP e il web server sono stati riavviati?
- La correzione è stata installata come backport? In tal caso, quale versione del pacchetto lo dimostra?
- Ci sono stati indizi di tentativi di attacco o di processi anomali sul nostro server?
- I log del web server sono conservati a partire dal 20/10/2026 e come possiamo ottenerli?
Un modello già redatto si trova alla pagina Chiedere all'hoster lo stato della patch. Il numero di versione nel menu cliente non è una prova: con i backport spesso resta invariato, ad esempio a 8.2.34.
Anche se il fornitore ha aggiornato PHP, la Sua applicazione va comunque verificata. Una patch non rimuove il malware introdotto prima dell'aggiornamento e non prova che non sia successo nulla.
Che cosa resta a Lei
La Sua parte riguarda soprattutto l'applicazione. Verifichi che CMS, shop e plugin siano aggiornati, rimuova le estensioni non più utilizzate e controlli l'elenco degli amministratori. Faccia attenzione a file nuovi nelle cartelle di upload, reindirizzamenti estranei e attività pianificate insolite nell'applicazione.
Si aggiunge l'aspetto giuridico. Se in un incidente dati personali finiscono in mani estranee, di norma è tenuta alla notifica la Sua azienda come titolare del trattamento, non il fornitore. Questi, in qualità di responsabile del trattamento, deve informarLa senza ritardo. Le linee essenziali sono spiegate nella pagina Obbligo di notifica GDPR: 72 ore. Si tratta di informazioni generali, non di consulenza legale; il caso concreto va valutato da responsabili della protezione dei dati o da avvocati.
Un altro punto viene spesso trascurato: il software che Lei o la Sua agenzia avete installato sul managed server, ad esempio una versione aggiuntiva di PHP da una fonte esterna, un container o un programma di supporto, di norma non rientra nella cura del fornitore. Chieda quindi anche se il fornitore sa che cosa gira oltre alla dotazione standard. E chiarisca chi si assume l'indagine in caso di sospetto. Molti fornitori ripristinano la piattaforma, ma non indagano se e quali dati siano stati colpiti. Proprio questa risposta Le serve però per valutare possibili obblighi di notifica.
Migliorare i contratti per il futuro
Approfitti della situazione per mettere per iscritto la ripartizione dei compiti. Hanno senso regole su aggiornamenti di sicurezza compreso il riavvio, sull'informazione in caso di vulnerabilità critiche, sulla conservazione e consegna dei log e sul supporto in caso di incidenti. Chieda anche se il fornitore La avvisa attivamente o se deve informarsi Lei.
Un server proprio senza assistenza è l'alternativa, ma sposta tutto il lavoro su di Lei. Che cosa significa è descritto alla pagina Mettere in sicurezza da soli root server e vServer.
Come aiuta concretamente PHP SOS?
- Leggiamo la Sua descrizione del servizio e prepariamo una matrice dei compiti che rende visibili le lacune.
- Formuliamo le domande tecniche al Suo fornitore e valutiamo le sue risposte.
- Verifichiamo la parte applicativa che spetta a Lei, alla ricerca di tracce e componenti obsoleti.
- Ciò che il fornitore non copre lo assumiamo, su richiesta, con un contratto di manutenzione della sicurezza oppure lo integriamo con il monitoraggio della sicurezza.
Domande frequenti
Con un managed server è tutto protetto automaticamente?
No. Managed significa che il fornitore si assume determinati compiti stabiliti per contratto, di solito sistema operativo e servizi standard. Applicazione, plugin, accessi e software proprio restano spesso a Lei.
Dove è scritto di che cosa risponde il mio fornitore?
Nella descrizione del servizio e nelle condizioni contrattuali, spesso anche in un documento sulla ripartizione dei compiti. Per i dati personali si aggiunge il contratto di trattamento dei dati. Se manca una regola chiara per gli aggiornamenti di sicurezza, lo chieda per iscritto.
Nonostante il managed server devo fare qualcosa anch'io per PHP2Shell?
Sì. Ottenga una conferma che tutte le versioni di PHP sono aggiornate e i processi riavviati. Verifichi inoltre la Sua applicazione alla ricerca di tracce e chiarisca se esiste un obbligo di notifica.
Chi notifica una violazione dei dati se è stato coinvolto l'hoster?
Di norma è tenuto alla notifica all'autorità di controllo il titolare del trattamento, cioè la Sua azienda. L'hoster, in qualità di responsabile del trattamento, deve informarLa senza ritardo. Faccia valutare il caso concreto dal Suo responsabile della protezione dei dati.