{"id":31084,"date":"2026-10-23T11:11:43","date_gmt":"2026-10-23T09:11:43","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=31084"},"modified":"2026-10-23T11:11:43","modified_gmt":"2026-10-23T09:11:43","slug":"how-to-mitigate-php2shell-at-home","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/how-to-mitigate-php2shell-at-home\/31084\/","title":{"rendered":"Come le nuove vulnerabilit\u00e0 di PHP minacciano gli utenti privati"},"content":{"rendered":"

Il 21 ottobre sono state divulgate due vulnerabilit\u00e0 critiche in PHP, il linguaggio di scripting utilizzato da molti siti web e servizi online: CVE-2026-109618<\/a> e CVE-2026-109619<\/a>. Gli autori degli attacchi possono sfruttarle per eseguire comandi da remoto su qualsiasi server che utilizzi PHP, senza bisogno di autenticazione. L\u2019exploit \u00e8 stato battezzato PHP2Shell.<\/p>\n

Il team di sicurezza di PHP ha annunciato un imminente aggiornamento di emergenza il 20 ottobre e ha pubblicato le patch per correggere le vulnerabilit\u00e0 gi\u00e0 il giorno successivo.<\/p>\n

In precedenza abbiamo analizzato i dettagli tecnici di queste vulnerabilit\u00e0<\/a> e spiegato cosa devono fare le aziende e gli amministratori di server<\/a>. Potresti aver tranquillamente ignorato la notizia perch\u00e9 non gestisci alcun server, ma purtroppo il problema non riguarda soltanto le aziende.<\/p>\n

Quasi il 70% dei siti web utilizza PHP, compresi servizi che usiamo ogni giorno: wiki, negozi online, dispositivi smart dotati di interfacce web, sistemi NAS domestici, controller per la smart home e molto altro.<\/p>\n

Oggi spieghiamo in che modo queste vulnerabilit\u00e0 possono riguardarti personalmente e cosa puoi fare per ridurre i rischi.<\/p>\n

Come le vulnerabilit\u00e0 possono colpire gli utenti privati<\/h2>\n

Furto di account e dati personali<\/h3>\n

La vulnerabilit\u00e0 consente a un autore di attacchi di rubare i token di autenticazione dalla memoria del server. Questi token funzionano essenzialmente come lasciapassare elettronici: indicano a un sito web che l\u2019utente ha gi\u00e0 effettuato l\u2019accesso. Di conseguenza, un autore di attacchi potrebbe riuscire ad accedere all\u2019account di un\u2019altra persona senza inserire una password o un codice di autenticazione a due fattori, mettendo a rischio messaggi, documenti, indirizzi di consegna, cronologia degli ordini e altre informazioni riservate.<\/p>\n

Perdita di file sui dispositivi domestici<\/h3>\n

Se in casa utilizzi un dispositivo NAS o un sistema di videosorveglianza basato su una versione vulnerabile di PHP, anche questo potrebbe essere a rischio. A seconda del livello di accesso ottenuto, gli autori degli attacchi potrebbero riuscire a copiare, eliminare o criptare i file a cui hanno accesso.<\/p>\n

Infezione da malware<\/h3>\n

Se un autore di attacchi ottiene l\u2019accesso a un sito web vulnerabile, pu\u00f2 utilizzarlo praticamente come vuole: indurre i visitatori a scaricare un file dannoso o a fare clic su un link di phishing, mostrare istruzioni pericolose, sostituire moduli di pagamento o pagine di accesso con versioni dannose, e molto altro. Di conseguenza, chi visita un sito web legittimo potrebbe non solo perdere l\u2019accesso al proprio account, ma anche perdere denaro o infettare accidentalmente il proprio dispositivo con malware.<\/p>\n

Di seguito riportiamo alcuni esempi di servizi direttamente interessati dalle vulnerabilit\u00e0.<\/p>\n

Quali servizi sono interessati dalle vulnerabilit\u00e0 di PHP<\/h2>\n

Jeedom<\/h3>\n

Jeedom \u00e8 una piattaforma per la smart home che consente agli utenti di controllare illuminazione, sensori, riscaldamento, tapparelle e dispositivi IoT domestici. Gli autori degli attacchi potrebbero abusarne in molti modi: disattivare l\u2019allarme, monitorare quando il proprietario \u00e8 fuori casa, accedere alle immagini del videocitofono e altro ancora.<\/p>\n

Gli sviluppatori hanno confermato che la nuova vulnerabilit\u00e0 interessa la loro applicazione e hanno gi\u00e0 rilasciato un aggiornamento di emergenza<\/a>, Jeedom 4.6.2. Perch\u00e9 funzioni, gli utenti devono eseguire l\u2019aggiornamento due volte<\/em>. Gli sviluppatori affermano che nei prossimi giorni verr\u00e0 rilasciata una versione completamente corretta per gli utenti privati.<\/p>\n

I siti web che utilizziamo ogni giorno<\/h3>\n

Come accennato sopra, PHP \u00e8 utilizzato da circa il 70% dei siti web. Questo non significa che siano tutti vulnerabili: dipende dalla versione di PHP in uso e dal fatto che i gestori del sito abbiano gi\u00e0 installato gli aggiornamenti. Molti siti web governativi in Europa hanno gi\u00e0 sospeso le proprie attivit\u00e0<\/a> a causa della nuova vulnerabilit\u00e0.<\/p>\n

Purtroppo, un sito web pu\u00f2 essere ancora vulnerabile anche se sembra funzionare normalmente. Un autore di attacchi potrebbe potenzialmente assumere il controllo di qualsiasi sito web legittimo il cui server non sia stato ancora aggiornato. Potrebbe falsificare le pagine di pagamento o di accesso, ospitare file dannosi o convincere gli utenti a scaricare un \u201caggiornamento urgente\u201d che in realt\u00e0 contiene malware.<\/p>\n

Gli utenti comuni non hanno un modo affidabile per verificare se queste istruzioni o questi file siano sicuri. Assicurati quindi di utilizzare una protezione affidabile contro phishing e malware<\/a>. Se sospetti che i tuoi dati possano essere stati rubati, controlla le sessioni attive nelle impostazioni del tuo account. Se noti attivit\u00e0 sospette o dispositivi che non riconosci, disconnettiti da tutte le sessioni attive e cambia la password. Usa un gestore di password<\/a>: pu\u00f2 generare una password davvero robusta e univoca che non dovrai ricordare a memoria.<\/p>\n

Videogiochi<\/h3>\n

Brutte notizie per i gamer: anche alcuni videogiochi i cui server utilizzano PHP sono a rischio. Se non vuoi che gli autori degli attacchi mettano le mani sui tuoi account, assicurati di aggiornare le password delle piattaforme di gioco, degli store e dei tuoi account.<\/p>\n

Per guadagnare tempo per gli aggiornamenti, alcuni sviluppatori hanno temporaneamente messo offline i propri servizi. Final Fantasy XIV<\/em>, Pokemon Champions<\/em>, i giochi di Bandai Namco Entertainment, Uma Musume: Pretty Derby<\/em>, Granblue Fantasy<\/em>, Shadowverse: Worlds Beyond<\/em> e molti altri sono entrati in manutenzione di emergenza. Anche Nintendo Switch Online e gli store GOG e Steam sono stati interessati<\/a>.<\/p>\n

Purtroppo ci sono state anche conseguenze pi\u00f9 drastiche. Ieri gli sviluppatori di World Quest<\/em> hanno annunciato<\/a> la chiusura definitiva del gioco dopo 15 anni: si basava su un\u2019infrastruttura obsoleta che sarebbe stata estremamente difficile e costosa da correggere. Per lo stesso motivo, il gioco per dispositivi mobili Please Save My Pandemonium!<\/em> \u00e8 stato chiuso dopo oltre dieci anni di attivit\u00e0.<\/p>\n

NAS domestici<\/h3>\n

Negli ultimi anni i cosiddetti \u201ccloud domestici\u201d sono diventati popolari, e non senza motivo: molti utenti preferiscono conservare i backup dei propri dati a casa anzich\u00e9 online. Diverse aziende producono dispositivi NAS e almeno tre \u2014 QNAP, Synology e ASUSTOR \u2014 hanno dichiarato che le vulnerabilit\u00e0 interessano i loro prodotti. \u00c8 stato inoltre rilasciato un aggiornamento per Unraid, un sistema operativo per server domestici, sistemi di archiviazione di rete e server multimediali.<\/p>\n

QNAP<\/h4>\n

Il produttore ha confermato che le vulnerabilit\u00e0 interessano diverse versioni dei suoi sistemi operativi per NAS \u2014 QTS<\/em> e QuTS hero<\/em> \u2014 oltre ad applicazioni come QuMagie<\/em>, Note Station 3<\/em> e alcune versioni di QVR Surveillance<\/em>. Un attacco riuscito potrebbe mettere a rischio foto, documenti, note e registrazioni delle telecamere.<\/p>\n

Al momento della pubblicazione, QNAP sta ancora preparando gli aggiornamenti, quindi la priorit\u00e0 \u00e8 disconnettere temporaneamente il NAS da Internet. QNAP consiglia<\/a> di disabilitare l\u2019inoltro delle porte (port forwarding) sul router, impedire al NAS di aprire automaticamente le porte e consentire l\u2019accesso al pannello di gestione soltanto dalla rete domestica o\u00a0tramite una VPN<\/a>.<\/p>\n

Synology<\/h4>\n

Entrambe le vulnerabilit\u00e0 sono state ufficialmente confermate<\/a> nei pacchetti PHP 7.3, 7.4 e 8.0\u20138.4, oltre che in Mail Station<\/em> e Synology Calendar<\/em>. Sono gi\u00e0 state pubblicate correzioni per PHP a partire dalla versione 7.4, nonch\u00e9 per Mail Station<\/em> e Synology Calendar<\/em>. PHP 7.3 non verr\u00e0 corretto. L\u2019azienda sottolinea inoltre che il componente PHP integrato nel sistema operativo non \u00e8 accessibile dall\u2019esterno del dispositivo, quindi il rischio di attacco \u00e8 molto basso.<\/p>\n

ASUSTOR<\/h4>\n

Anche ASUSTOR ha confermato ufficialmente entrambe le vulnerabilit\u00e0<\/a> e ha immediatamente rimosso da App Central i pacchetti PHP 7, 7.3, 7.4 e 8.1. L\u2019azienda consiglia di eseguire immediatamente un backup dei dati, rimuovere i pacchetti PHP meno recenti e utilizzare PHP 8.3 o 8.4.<\/p>\n

Unraid<\/h4>\n

Nell\u2019aggiornamento del sistema operativo pubblicato oggi<\/a>, PHP \u00e8 stato aggiornato alla versione 8.4.27, che include le correzioni per queste vulnerabilit\u00e0. Gli sviluppatori raccomandano a tutti gli utenti di aggiornare a Unraid 7.3.4. I container dotati di una propria installazione di PHP devono essere aggiornati separatamente: la nuova versione di PHP presente nel sistema operativo non sostituisce quella installata all\u2019interno dei container.<\/p>\n

Al momento della pubblicazione non avevamo trovato conferme pubbliche da parte di altri grandi produttori, come TerraMaster, UGREEN, Buffalo o Western Digital, sul fatto che i loro dispositivi fossero interessati da queste vulnerabilit\u00e0: soltanto discussioni tra utenti sui forum.<\/p>\n

Tuttavia, il fatto che finora soltanto alcuni produttori di NAS abbiano confermato il problema non garantisce che i tuoi dispositivi siano al sicuro, soprattutto se sono piuttosto vecchi o provengono da un produttore poco noto o non pi\u00f9 attivo. In questo caso, disconnetti innanzitutto i dispositivi da Internet, mantenendoli accessibili esclusivamente dalla rete locale, quindi verifica se sono vulnerabili.<\/p>\n

Archiviazione cloud Nextcloud<\/h4>\n

Nextcloud \u00e8 una piattaforma gratuita e open source che consente di creare il proprio spazio di archiviazione cloud e rappresenta un\u2019alternativa a Google Drive, Dropbox e Microsoft OneDrive. Permette di archiviare e sincronizzare file tra pi\u00f9 dispositivi, condividerli con altri utenti e lavorare con documenti, foto, calendari e contatti. I dati possono essere archiviati sul proprio server o NAS anzich\u00e9 sui server di un\u2019azienda terza.<\/p>\n

Se conservi dati importanti in Nextcloud, verifica come \u00e8 configurata la tua istanza cloud. Se utilizzi Nextcloud All-in-One<\/em>, aggiorna alla versione 14.4.1<\/a>, in cui la vulnerabilit\u00e0 \u00e8 gi\u00e0 stata corretta.<\/p>\n

Se la tua installazione di Nextcloud \u00e8 configurata in modo diverso, devi aggiornare personalmente PHP sul dispositivo o sul server.<\/p>\n

Come proteggere dispositivi e dati<\/h2>\n