# Server violato con PHP2Shell? Ci chiami. La aiutiamo.

> Sospetta un attacco PHP2Shell? Mettiamo al sicuro le tracce, chiudiamo la vulnerabilità e bonifichiamo il server. Ci chiami o scriva su WhatsApp.

Fonte: https://phpsos.de/it/soforthilfe/php2shell-gehackt/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** se sospetta che il Suo server sia stato violato tramite PHP2Shell, ci contatti subito. È stato colpito? Ci chiami. La aiutiamo. Dal primo messaggio ci occupiamo del contenimento, conserviamo le tracce, chiudiamo la vulnerabilità, rimuoviamo il codice dannoso e documentiamo l'incidente fino alla sua conclusione.

> **Agire subito:**
> **Ora non cancelli nulla e non reinstalli nulla.** I file cancellati e i log sovrascritti sono le tracce da cui si capisce se e come qualcuno sia entrato. Se necessario scolleghi il server dalla rete, ma lo lasci invariato. [Segnali l'emergenza](https://phpsos.de/it/notfall/): le diremo il passo successivo.

## È stato colpito? Segnali che PHP2Shell è già stato sfruttato

PHP2Shell è il nome di due vulnerabilità critiche in PHP stesso, con cui gli aggressori possono eseguire codice dannoso da remoto senza autenticazione. Finora non esiste un'impronta univoca. Conta quindi ciò che fa il server, non ciò che trova uno scanner. Indizi di un'intrusione sono:

- Processi del web server o di PHP-FPM che avviano una shell come `sh` o `bash`. È un forte segnale d'allarme.
- File PHP nuovi o modificati nelle cartelle di upload, cache o temp che nessuno ha creato.
- Cronjob, servizi o chiavi SSH che Lei non conosce.
- Connessioni in uscita verso destinazioni sconosciute, carico improvvisamente alto o traffico dati insolito.
- Richieste nei log a partire dal 17/10/2026, in particolare upload e richieste di sessione anomali prima dell'installazione della patch.
- Segnalazioni dell'hoster, del browser o del motore di ricerca su spam, malware o reindirizzamenti.

Maggiori informazioni in [Sono già stato compromesso?](https://phpsos.de/it/php2shell/bin-ich-gehackt-anzeichen/). Se manca ogni segnale, ciò non prova che il server sia pulito. Significa solo che finora non è emerso nulla.

## Che cosa fare subito

1. **Non modificare nulla.** Non cancellare file, non ripristinare backup, non reinstallare nulla prima che sia stato fatto un salvataggio.
2. **Conservare i log.** Chieda al Suo hoster o al Suo reparto IT di non sovrascrivere i log di accesso, di errore e di sistema. La stampa specializzata consiglia di conservare i log a partire dal 20/10/2026.
3. **Decidere sulla raggiungibilità.** Se i dati rischiano di uscire o se i visitatori potrebbero essere in pericolo, metta il sito offline o in modalità di manutenzione.
4. **Raccogliere gli accessi.** Annoti chi ha accesso a server, pannello, CMS e database. Le password le cambi solo dopo averlo concordato e da un dispositivo pulito.
5. **Informare le persone.** La direzione, il responsabile della protezione dei dati e, se esiste una polizza, l'assicuratore.
6. **Chiamarci o scriverci.** Prima conosciamo la situazione, più cose restano documentabili.

## In concreto, come aiuta PHP SOS?

Lavoriamo da remoto, senza trasferte, in tutta la Germania e in Europa.

1. **Quadro della situazione:** chiariamo quali sistemi sono in funzione, quale modalità di esecuzione di PHP è in uso, che cosa ha attirato l'attenzione e quali dati potrebbero essere coinvolti.
2. **Salvare e chiudere:** salviamo file, database e log e fissiamo lo stato prima di ogni modifica. Poi chiudiamo la vulnerabilità con la patch o, se questa non è ancora possibile, con misure provvisorie, e riavviamo tutti i processi PHP.
3. **Verificare e bonificare:** cerchiamo web shell, backdoor, cronjob e accessi estranei e li rimuoviamo, oppure ricostruiamo lo stato a partire da fonti attendibili. La procedura è descritta in [Rimozione di malware e web shell](https://phpsos.de/it/leistungen/malware-entfernung/).
4. **Rafforzare e riferire:** cambiamo i segreti interessati, rafforziamo le misure di protezione e consegniamo una relazione che distingue tra ciò che è provato, ciò che è probabile e ciò che è sconosciuto.

Se l'incidente va oltre un singolo server, passiamo a una [Incident response](https://phpsos.de/it/leistungen/incident-response/) strutturata. Se servono prove che reggano in tribunale, coinvolgiamo l'[analisi forense IT](https://phpsos.de/it/leistungen/it-forensik/).

## Perché una patch da sola non basta dopo un attacco

Le vulnerabilità si trovano nell'interprete PHP, non nel CMS. Il progetto PHP ha pubblicato il 21/10/2026 le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Chi ha aggiornato dopo di allora e ha riavviato tutti i worker è protetto da nuovi attacchi attraverso questa via. Ma ciò che un aggressore ha depositato prima resta dov'è: una web shell, un account aggiuntivo, un'attività pianificata. Proprio per questo i giorni tra il 17 e il 21/10 sono particolarmente importanti.

C'è poi un secondo punto: una web shell è spesso solo il primo passo. Chi ha potuto eseguire codice sul web server ha potuto anche leggere i file di configurazione e ricavarne gli accessi a database, posta e API. Questi segreti vanno sostituiti, altrimenti la porta resta aperta anche se PHP è aggiornato. Come verificare in modo sensato file e momenti è spiegato nella guida su [come riconoscere le web shell](https://phpsos.de/it/ratgeber/webshell-erkennen/).

## Obbligo di notifica e documentazione

Se potrebbero essere coinvolti dati personali, può diventare necessaria una notifica all'autorità di controllo entro 72 ore. Il conteggio parte dalla presa di conoscenza, non dalla conclusione dell'indagine. Se il Suo caso sia soggetto a notifica lo decidono il responsabile della protezione dei dati o un avvocato; noi non forniamo consulenza legale. La nostra documentazione ne fornisce la base. Maggiori informazioni sul termine in [Obbligo di notifica GDPR entro 72 ore](https://phpsos.de/it/compliance/dsgvo-meldepflicht-72-stunden/), i passi successivi nella [checklist dopo un attacco](https://phpsos.de/it/ratgeber/checkliste-nach-dem-hack/).

## Che cosa dovrebbe inviarci

- Descrizione di che cosa si nota da quando e di chi se n'è accorto
- Tipo di server: server proprio, server gestito o pacchetto di hosting, più l'hoster
- Risultato di `php -v` e, se noto, la modalità di esecuzione (PHP-FPM, mod_php, LiteSpeed)
- Momento dell'aggiornamento di PHP, se già installato
- Accesso al server o l'autorizzazione a parlare con il Suo hoster
- Una persona di riferimento con potere decisionale per spegnimenti e riavvii

## Perché PHP SOS

Lavoriamo Made in Germany e da oltre 25 anni, con la nostra rete di partner di professionisti della cybersicurezza, ci specializziamo nella sicurezza informatica. Ha un unico interlocutore che La accompagna dal primo messaggio fino alla conclusione. Tutto ciò che facciamo viene documentato, così che possa dimostrarlo alla direzione, all'assicuratore e alle autorità. Non promettiamo nulla che nessuno possa mantenere: se mancano i log lo diciamo apertamente, e indichiamo che cosa è provato e che cosa resta un'ipotesi.

## È stato colpito? Ci chiami. La aiutiamo.

Non aspetti che il sospetto diventi certezza. Ci chiami o ci scriva su WhatsApp. Ce ne occupiamo dal primo messaggio e restiamo accanto a Lei finché l'incidente non è concluso e documentato. [Segnali subito l'emergenza](https://phpsos.de/it/notfall/).


## Domande frequenti

**Basta aggiornare PHP se il mio server potrebbe essere già stato violato?**  
No. L'aggiornamento chiude la vulnerabilità, ma non rimuove il malware già introdotto e non dimostra che in precedenza non sia successo nulla. Dopo la patch il server va controllato alla ricerca di tracce di un'intrusione.

**Come riconosco un attacco PHP2Shell riuscito?**  
Non esistono Indicator of Compromise pubblicati e confermati. Il rilevamento si basa sul comportamento: processi del web server che avviano una shell, nuovi file PHP nelle cartelle di upload o di cache, cronjob o chiavi SSH sconosciuti e connessioni in uscita anomale.

**Devo scollegare il server dalla rete se sospetto un'intrusione?**  
Spesso è la scelta giusta: il BSI (l'Ufficio federale tedesco per la sicurezza informatica) consiglia di scollegare temporaneamente dalla rete il web server anche quando un aggiornamento non è subito possibile. L'importante è non cancellare nulla e conservare log e file, in modo che l'incidente possa essere chiarito.

**Dopo un attacco PHP2Shell devo informare l'autorità per la protezione dei dati?**  
Se potrebbero essere coinvolti dati personali, può essere necessaria una notifica entro 72 ore. La decisione la prende Lei insieme al Suo responsabile della protezione dei dati o a un avvocato; noi forniamo i fatti tecnici necessari.

**Ci sono davvero già server violati tramite PHP2Shell?**  
Secondo i media, i primi tentativi di attacco osservati risalgono al 17/10/2026, e Cloudflare ha riferito di tentativi di attacco osservati. Il BSI inizialmente non ha segnalato attacchi riusciti confermati su larga scala. Nel singolo caso lo si può chiarire solo sul server stesso.

## Fonti

- [BSI: Ufficio federale tedesco per la sicurezza informatica](https://www.bsi.bund.de/)
- [php.net: avvisi di sicurezza](https://www.php.net/)
- [GDPR art. 33: notifica all'autorità di controllo](https://dsgvo-gesetz.de/art-33-dsgvo/)