Un rischio diffuso per siti istituzionali e commerciali
L'Agenzia per la cybersicurezza nazionale (Acn) ha pubblicato due bollettini di sicurezza che evidenziano una situazione di emergenza per i siti web italiani: oltre 285.149 domini risultano esposti a due vulnerabilità critiche nel linguaggio di programmazione PHP, identificate come CVE‑2026‑109618 e CVE‑2026‑109619 e denominate con l'etichetta PHP2Shell.
Secondo i dati diffusi dall'Agenzia, nel territorio nazionale sono stati individuati 741.523 siti che utilizzano PHP. Di questi è stato possibile verificare la versione per 348.130 servizi: tra quelli controllati, 285.149 (pari all'81,9%) montano ancora una versione vulnerabile, mentre soltanto 62.981 risultano aggiornati.
«in rete circolano già le istruzioni per farlo: l’Agenzia parla di «recenti tentativi di sfruttamento»
Perché le falle sono pericolose
Le due vulnerabilità riguardano la gestione della memoria in PHP e sono state valutate con un punteggio di gravità di 9,2 su 10. In determinate condizioni possono consentire l'esecuzione di codice da remoto senza autenticazione, il che significa che un aggressore potrebbe impartire comandi al server, sottrarre dati, modificare pagine o interrompere servizi.
Stato degli aggiornamenti e tentativi di sfruttamento
L'Acn segnala che gli aggiornamenti correttivi sono stati pubblicati, ma la loro applicazione non è stata sufficiente: «dall'attività di monitoraggio del Csirt Italia e dall'analisi dell'esposizione nazionale - è l'alert dell'Agenzia - emerge che l'81,9% dei servizi PHP con versione identificata risulta potenzialmente vulnerabile a PHP2Shell».
- Aree coinvolte: portali della pubblica amministrazione, piattaforme di commercio elettronico, siti aziendali e servizi web dinamici che fanno uso di PHP.
- Rischi: esecuzione remota di codice, furto o alterazione di dati, interruzione dei servizi, impatto sulla continuità operativa.
- Aggiornamenti: patch disponibili ma non installate dalla maggior parte dei gestori verificati.
Numeri principali
| Voce | Valore |
|---|---|
| Siti italiani che usano PHP | 741.523 |
| Siti per cui è stata verificata la versione | 348.130 |
| Siti con versione vulnerabile | 285.149 (81,9%) |
| Siti aggiornati | 62.981 |
Conseguenze pratiche e raccomandazioni
La diffusione di queste vulnerabilità può avere effetti rilevanti sui servizi quotidiani: moduli web, procedure di autenticazione, carrelli di e‑commerce, aree riservate e portali comunali sono tutti potenzialmente a rischio se eseguiti su versioni di PHP compromesse. L'Acn ha invitato i gestori delle infrastrutture interessate ad aggiornare immediatamente i sistemi vulnerabili e a monitorare attività sospette.
Per i gestori di siti web le indicazioni operative pubblicate dall'Agenzia includono, tra le altre misure, la verifica della versione di PHP in uso, l'applicazione delle patch ufficiali pubblicate per le due CVE e il controllo dei log per individuare possibili tentativi di compromissione.
Impatto a livello nazionale
Questo allarme rappresenta un'eccezione per intensità e portata: l'Acn ha infatti diffuso due bollettini distinti nell'arco di tre giorni, sottolineando che la combinazione di vulnerabilità gravi e il largo impiego di PHP nel web italiano ha creato una finestra temporale favorevole per attività malevole. L'esistenza di proof‑of‑concept e istruzioni di sfruttamento in rete aumenta la probabilità di attacchi mirati o automatizzati nei confronti dei servizi non aggiornati.
Per gli utenti finali il rischio principale è l'esposizione dei propri dati o l'indisponibilità temporanea di servizi online; per le organizzazioni, invece, il pericolo è anche di natura operativa e reputazionale.
Chi gestisce un sito web o una piattaforma basata su PHP deve considerare la priorità dell'intervento: controllare la versione del linguaggio in uso e applicare le patch rilasciate è il primo passo per ridurre il rischio di compromissione.
