# Agenzia: siti dei clienti hackerati? Ci chiami. La aiutiamo.

> Più siti dei clienti della Sua agenzia sono colpiti? Ci chiami o scriva su WhatsApp. Salviamo, bonifichiamo e documentiamo da remoto.

Fonte: https://phpsos.de/it/soforthilfe/agentur-kundenseiten-gehackt/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** se nella Sua agenzia sono colpiti più siti di clienti, raramente è un caso: di solito c'è un server condiviso, un accesso condiviso o la stessa versione di PHP. Se è colpito, ci contatti subito. Le diamo una panoramica, conteniamo l'incidente da remoto, bonifichiamo i sistemi e forniamo relazioni per i Suoi clienti.

> **Agire subito:**
> **Ora non cancelli nulla e non reinstalli nulla.** Anche quando la pressione dei clienti è forte: senza log e file salvati non si può né chiarire la causa né dimostrare che cosa non è stato colpito. [Segnali l'emergenza](https://phpsos.de/it/notfall/) e ce ne occupiamo dal primo messaggio.

## È stato colpito? Segnali quando i siti dei clienti sono stati hackerati

Come agenzia vede schemi che i singoli gestori non notano mai. Indicano un incidente comune:

- Più siti di clienti mostrano contemporaneamente gli stessi sintomi: reindirizzamenti, contenuti spam, avvisi nel browser.
- Lo stesso account admin sconosciuto o lo stesso file sospetto compare presso clienti diversi.
- L'hoster segnala abuso o carico anomalo per un account su cui si trovano molti progetti.
- I clienti telefonano perché il loro sito è segnalato da Google, e con una controverifica trova altri siti nello stesso stato.
- Uno sviluppatore o un ex collaboratore aveva accesso a molti progetti, ed è trapelato un accesso.
- Interventi di manutenzione tramite uno strumento centrale, ad esempio deployment, backup o un servizio di aggiornamento, hanno modificato un sito che non ha toccato.
- Gestisce molti siti su versioni di PHP di cui non può dimostrare lo stato della patch per ciascuna.

Con PHP2Shell si aggiunge il fatto che la vulnerabilità si trova nell'interprete PHP stesso. Un aggiornamento del CMS, ad esempio di WordPress, non la chiude; conta l'ambiente di esecuzione PHP che serve davvero le pagine.

## Che cosa fare subito

1. **Elencare i siti interessati:** dominio, server, account di hosting, versione di PHP, CMS, responsabili. Anche i casi sospetti ne fanno parte.
2. **Cercare i punti in comune:** stesso server? Stessi accessi? Stesso plugin? Stessa via di deployment?
3. **Isolare i siti a rischio:** metta in modalità di manutenzione i siti che distribuiscono attivamente codice dannoso. Non cancellare.
4. **Far salvare log e stato:** chieda all'hoster di conservare i registri; salvi i propri registri di deployment.
5. **Controllare gli accessi centrali:** chi ha accesso a pannello di hosting, SSH, Git, gestore di password e deployment? Modifiche solo dopo averle concordate.
6. **Informare i clienti con moderazione:** all'inizio solo ciò che è provato. Non indicare una causa prima che sia accertata.
7. **Contattarci:** ci chiami o ci scriva su WhatsApp.

## In concreto, come aiuta PHP SOS?

1. **Quadro della situazione:** con Lei ci facciamo un'idea di tutti i siti e server e li ordiniamo per urgenza: codice dannoso distribuito attivamente, sospetto di fuga di dati, presumibilmente solo non aggiornato.
2. **Salvare e chiudere:** salviamo ogni sistema interessato prima che venga modificato qualcosa e chiudiamo la porta d'ingresso comune: accessi, stato di PHP, riavvio di tutti i processi.
3. **Verificare e bonificare:** cerchiamo in modo sistematico, su tutti i siti, le stesse tracce, rimuoviamo web shell e backdoor e ripristiniamo in modo pulito. Dettagli in [Rimozione di malware e web shell](https://phpsos.de/it/leistungen/malware-entfernung/).
4. **Rafforzare e riferire:** separiamo i siti tra loro dove ha senso e forniamo per ogni cliente una breve relazione che può inoltrare, più una relazione complessiva per Lei.

Lavoriamo da remoto, senza trasferte, in tutta la Germania e in Europa. Su richiesta in secondo piano per la Sua agenzia, come descritto nella pagina [Agenzie e white label](https://phpsos.de/it/branchen/agenturen-white-label/).

## Perché nelle agenzie spesso cadono molti siti contemporaneamente

Chi gestisce molti progetti su un solo server risparmia sui costi, ma scambia l'isolamento con la comodità. Se tutto gira sotto lo stesso utente e lo stesso pool di processi PHP, il codice di un sito hackerato può leggere e modificare i file dei vicini. Non è un caso esotico, ma lo standard in molte configurazioni. Come separare correttamente i pool lo descrive [Isolare i pool PHP-FPM](https://phpsos.de/it/blog/php-fpm-pools-isolieren/).

Si aggiungono gli accessi condivisi: una chiave SSH per tutti i progetti, un account di hosting con tutti i domini, le stesse password per staging e produzione. Qui vale il principio del privilegio minimo. Di più in [Privilegi dell'utente del web server](https://phpsos.de/it/blog/rechte-des-webserver-benutzers/).

Conta anche la catena di fornitura: plugin, temi e librerie provengono da terzi, l'hoster è responsabile della piattaforma, l'agenzia dell'esercizio. Dove passino questi confini e dove nascano le lacune lo tratta [Catena di fornitura agenzia e hoster](https://phpsos.de/it/blog/lieferkette-agentur-hoster/).

## Inventario, versioni di PHP e comunicazione con i clienti

Il problema più frequente in tali situazioni è la mancanza di visione d'insieme: quale sito gira su quale server con quale versione di PHP, e chi è responsabile? Senza questo elenco non si può dire chi sia interessato dalla patch e chi no. Come costruire un simile registro lo mostra [Inventario di siti web e server](https://phpsos.de/it/blog/inventar-websites-server/). Se più versioni di PHP girano in parallelo, aiuta inoltre [Più versioni di PHP su un server](https://phpsos.de/it/blog/mehrere-php-versionen-server/).

Verso i clienti conta la chiarezza. Non deve sapere tutto, ma non deve edulcorare nulla: che cosa è provato, che cosa si sta ancora verificando, che cosa farà come prossimo passo? Spunti di formulazione li trova in [Informare i clienti dopo un incidente](https://phpsos.de/it/blog/kunden-nach-vorfall-informieren/). Se sono coinvolti dati personali, possono entrare in gioco obblighi di notifica ai sensi dell'art. 33 GDPR. È un'informazione generale; la valutazione spetta al responsabile della protezione dei dati e all'avvocato. Se l'incidente va oltre i singoli siti, passiamo a una [Incident response](https://phpsos.de/it/leistungen/incident-response/) strutturata.

## Che cosa dovrebbe inviarci

- un elenco dei domini interessati e di quelli presumibilmente interessati
- indicazioni su server e hosting per ogni progetto, per quanto noti
- versioni di PHP e CMS o shop in uso
- gli accessi che può concederci e i ruoli nel team
- indicazioni su che cosa è stato modificato o distribuito per ultimo
- nome del referente per le decisioni e per la comunicazione con i clienti

## Perché PHP SOS

Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Ha un unico interlocutore per tutti i progetti interessati, lavoriamo da remoto e documentiamo per ogni sistema che cosa è stato trovato e fatto. Non promettiamo miracoli. Ciò che non si può dimostrare lo chiamiamo sconosciuto, così che con i Suoi clienti non dica più di quanto sa.

## È stato colpito? Ci chiami. La aiutiamo.

Se più siti dei Suoi clienti sono anomali, la pressione del tempo è doppia: sul piano tecnico e nel rapporto con i Suoi clienti. Ci contatti subito: ci chiami o ci scriva su WhatsApp. Ce ne occupiamo dal primo messaggio e restiamo accanto a Lei finché l'incidente non è concluso e documentato. [Segnali subito l'emergenza](https://phpsos.de/it/notfall/)


## Domande frequenti

**Perché spesso sono colpiti più siti di clienti contemporaneamente?**  
Spesso i siti condividono un server, un account di hosting, lo stesso processo PHP o le stesse credenziali. Se un aggressore entra in un punto, può spostarsi lateralmente. Una versione vulnerabile di PHP riguarda inoltre tutti i siti che la usano.

**Devo informare subito i clienti?**  
Dipende dalla situazione e dal contratto. Chiarisca prima quali siti siano davvero colpiti, così da non informare sulla base di supposizioni. Con i dati personali sono possibili obblighi di notifica; l'inquadramento spetta al responsabile della protezione dei dati o all'avvocato.

**Chi risponde se il sito di un cliente è stato hackerato?**  
Dipende dai Suoi contratti, dall'ambito del servizio e dalla dinamica. Su questo non forniamo consulenza legale. Una relazione chiara su causa e misure aiuta in questo chiarimento.

**Potete lavorare a nome nostro senza che il cliente finale ci veda?**  
Su richiesta lavoriamo in secondo piano per la Sua agenzia e forniamo relazioni che può inoltrare ai Suoi clienti. I dettagli li discutiamo in anticipo.

**Basta bonificare i siti dei clienti uno per uno?**  
Di solito no. Se la causa sta nel server condiviso, in un accesso condiviso o in una versione di PHP non aggiornata, dopo la pulizia singola i problemi ricompaiono. Va eliminata anche la causa.

## Fonti

- [BSI: Ufficio federale tedesco per la sicurezza informatica](https://www.bsi.bund.de/)
- [GDPR art. 33: notifica all'autorità di controllo](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [php.net: comunicazioni e aggiornamenti di sicurezza](https://www.php.net/)