Il 22 ottobre 2026, oltre 23'000 server legati alla Svizzera restavano vulnerabili a PHP2Shell, una doppia falla critica di PHP, nonostante le correzioni d'urgenza pubblicate il giorno prima. Il rilevamento è stato effettuato dall'azienda Risikomonitor, riferisce ICTjournal. Sono stati osservati tentativi di sfruttamento, senza danni segnalati finora. Per la cibersicurezza delle PMI, il rischio riguarda soprattutto il sito web e il negozio online.
Quanti server restano esposti in Svizzera?
Risikomonitor, specializzata nell'analisi automatizzata dei siti web, ha esaminato quasi 690'000 server con un legame con la Svizzera. Ne ha trovati poco più di 23'000 ancora interessati da PHP2Shell, ossia circa il 3,5%.
Questa cifra è probabilmente un minimo. Secondo ICTjournal, il numero reale potrebbe essere più elevato, perché la versione di PHP installata non è sempre rilevabile dall'esterno.
I dati mondiali di VirusTotal vanno nella stessa direzione. Il 21 ottobre 2026, il suo scanner ha individuato oltre 5 milioni di server PHP, ma ha potuto datare la versione solo per un quarto di essi.
| Rilevamento | Perimetro | Server esaminati | Risultato |
|---|---|---|---|
| Risikomonitor, 22 ottobre 2026 | Server legati alla Svizzera | Quasi 690'000 | Poco più di 23'000 ancora vulnerabili (circa il 3,5%) |
| VirusTotal, 21 ottobre 2026 | Mondo | Oltre 5 milioni | Versione identificata per un quarto; oltre 700'000 a fine vita, senza correzione |
L'aspetto più preoccupante riguarda queste versioni a fine vita. Tra i server di cui si conosce la versione, sono le più diffuse. Non ricevono alcuna correzione d'urgenza ufficiale.
Gli attacchi sono già cominciati?
Tentativi di sfruttamento ci sono effettivamente stati, ma non è stato segnalato alcun attacco che abbia causato danni. Secondo Bleeping Computer, che cita Amazon Threat Intelligence, sono cominciati quattro giorni prima della pubblicazione delle correzioni. Diversi gruppi di cibercriminali avrebbero testato metodi diversi, senza riuscirci.
Cloudflare descrive la stessa pressione. Il suo direttore generale, Matthew Prince, ha indicato su X di aver visto migliaia di tentativi prima della divulgazione pubblica, poi decine di migliaia nei 45 minuti successivi. Il loro numero ha poi raggiunto diversi milioni.
Un tentativo non è un'intrusione. ICTjournal sottolinea che queste cifre non corrispondono ad attacchi riusciti, la cui portata resta difficile da misurare.
Chi è interessato in Svizzera?
Qualsiasi organizzazione che utilizza PHP è potenzialmente interessata, dal sito del comune al negozio della PMI. PHP fa funzionare circa tre siti web su quattro, tra cui tutti i siti WordPress, come ricordava il nostro articolo sulla falla PHP PHP2Shell.
Anche alcuni siti romandi sono stati disattivati. La redazione di ICTjournal ha osservato che i siti dell'Università di Ginevra e del Politecnico federale di Losanna (EPFL) erano stati temporaneamente scollegati. Si tratta di misure preventive, e non di compromissioni accertate.
Il server web non è l'unico in causa. L'Ufficio federale della cibersicurezza (UFCS) ricorda che il rischio tocca anche le applicazioni interne, le interfacce di amministrazione e i dispositivi che integrano PHP.
Come verificare la propria versione di PHP?
Il primo passo consiste nel sapere quale versione è in uso, e dove. Per un sito in hosting, in genere è il provider di hosting a gestire PHP: basta chiedergli la versione installata e se la correzione per PHP2Shell è stata applicata.
La risposta va poi confrontata con le versioni corrette pubblicate dagli sviluppatori di PHP:
- PHP 8.5: versione 8.5.12;
- PHP 8.4: versione 8.4.27;
- PHP 8.3: versione 8.3.36;
- PHP 8.2: versione 8.2.35;
- PHP 8.1 e precedenti: nessuna nuova versione ufficiale; proteggono solo correzioni minime, i pacchetti delle distribuzioni Linux o una migrazione.
Gli sviluppatori di PHP sono chiari: nessuna misura di mitigazione sostituisce completamente l'aggiornamento del server PHP. Le impostazioni temporanee descritte nel nostro primo articolo riducono soltanto alcuni percorsi di attacco.
L'inventario conta quanto l'aggiornamento. Occorre censire tutte le installazioni PHP, compresi un vecchio sito dimenticato, un forum o uno strumento di statistiche fornito da terzi.
Cosa raccomanda l'Ufficio federale della cibersicurezza
L'UFCS ha raccomandato già dal 21 ottobre 2026 di installare immediatamente le correzioni. Ha avvertito che le due vulnerabilità potevano consentire di eseguire codice malevolo su un server, senza autenticazione. Censite come CVE-2026-109618 e CVE-2026-109619, hanno un punteggio di 9,2 su 10.
I consigli dell'ufficio si riassumono in tre gesti:
- aggiornare senza indugio i sistemi colpiti;
- verificare, oltre al server web, le applicazioni e i dispositivi che integrano PHP;
- segnalare un incidente in caso di dubbio: l'UFCS riceve le segnalazioni volontarie e gestisce un servizio di picchetto 24h/24.
Questi gesti si ricollegano alle misure di base di sicurezza informatica che l'ufficio consiglia alle aziende: aggiornamenti rapidi, accessi protetti e piano di reazione.
Cosa cambia PHP2Shell per una PMI
La nostra analisi: PHP2Shell mette alla prova un punto debole già noto delle PMI svizzere, l'inventario. Secondo lo studio sulla cibersicurezza delle PMI pubblicato il 22 ottobre 2026, oltre l'80% delle PMI installa gli aggiornamenti. Ma solo un terzo circa tiene un inventario dei propri sistemi informatici.
Ora, un aggiornamento protegge solo le macchine conosciute. Il sito vetrina affidato a un'agenzia, il negozio online o lo strumento interno ospitato presso un fornitore sfuggono facilmente all'elenco.
Una PMI che vuole valutare il proprio livello può cominciare con un test di cibersicurezza per PMI, come il Cybersecurity-Check. Questo bilancio gratuito individua in particolare i software obsoleti, una delle cause frequenti di attacchi riusciti.
Perché la correzione della falla si è fatta attendere?
La PHP Foundation riconosce che un problema all'origine della prima falla era già stato identificato nel 2024. Il suo potenziale di sfruttamento non era stato allora pienamente compreso, scrive in un post pubblicato il 21 ottobre 2026.
L'organizzazione attribuisce questo ritardo a difficoltà decisionali e alla mancanza di risorse del suo team di sicurezza.
L'intelligenza artificiale (IA) ha avuto un ruolo importante nella scoperta. La società Wiz afferma di aver utilizzato diversi modelli, tra cui Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI, per trovare le falle, costruire scenari di sfruttamento e verificare le correzioni. Anche il ricercatore Calif ha identificato una vulnerabilità critica con GPT-5.6 Sol, nell'ambito dell'iniziativa «Patch the Planet» di OpenAI.
Cosa non si sa ancora
Il numero reale di server vulnerabili in Svizzera resta sconosciuto, poiché la versione di PHP non è sempre rilevabile. Il rilevamento di Risikomonitor non precisa nemmeno quanti server svizzeri utilizzino una versione a fine vita.
Nessuna fonte consultata riferisce di un'intrusione riuscita in Svizzera. Non si sa nemmeno quando i siti disattivati per precauzione siano stati tutti rimessi online.
