Emergenza PHP, quel sito andava salvato!

Il 21 ottobre 2026 sono state rese pubbliche due gravi vulnerabilità di PHP, una delle tecnologie che permettono ai siti web di funzionare. Il problema ha richiesto aggiornamenti urgenti anche sui server che ospitano i siti dei nostri clienti.

Abbiamo applicato le prime misure di protezione, installato gli aggiornamenti e controllato i sistemi. Dove le correzioni non erano ancora disponibili, abbiamo sospeso temporaneamente i siti per precauzione.

Al 25 ottobre tutti i server PHP della nostra infrastruttura erano aggiornati e tutti i siti nuovamente online. Dai controlli effettuati non sono emersi segni di compromissione.

Qual era il rischio

Le due vulnerabilità, conosciute come PHP2Shell, potevano permettere a un attaccante di eseguire comandi su un server senza disporre delle credenziali di accesso.

Il problema riguardava PHP, utilizzato anche da piattaforme come WordPress. Per risolverlo era necessario aggiornare il software sui server: intervenire soltanto sul sito o sui suoi plugin non sarebbe stato sufficiente. Il team PHP ha quindi pubblicato correzioni urgenti, invitando ad applicarle immediatamente. 

Come siamo intervenuti

Nel primo pomeriggio del 21 ottobre, prima che fossero disponibili gli aggiornamenti, il nostro team IT ha applicato alcune modifiche alle configurazioni dei server per ridurre l’esposizione al rischio.

Appena sono state pubblicate le correzioni, abbiamo avviato gli aggiornamenti sulla nostra infrastruttura Amazon Web Services, AWS, che ospita i siti dei clienti coinvolti.

Abbiamo utilizzato un sistema automatico per distribuire gli interventi sui diversi server e registrare il risultato di ogni operazione. Prima di procedere abbiamo eseguito una prova su un server di test. Per ciascun sistema abbiamo poi verificato la presenza della correzione, controllato la configurazione e verificato che il sito rispondesse correttamente.

L’automazione ci ha permesso di intervenire su più server con una procedura uniforme e verificabile. Il team ha seguito le operazioni e gestito i casi che richiedevano attenzione specifica.

Perché alcuni siti sono rimasti temporaneamente offline

Gli aggiornamenti sono diventati disponibili in momenti diversi, a seconda della versione di PHP e del tipo di server. Il nostro sistema ne ha controllato la disponibilità a intervalli regolari, anche durante la notte.

Su alcuni server abbiamo dovuto attendere più a lungo. In questi casi abbiamo sostituito temporaneamente i siti con una pagina di cortesia, fino all’installazione delle correzioni.

Sappiamo che un sito non raggiungibile può interrompere richieste, prenotazioni o vendite. Abbiamo scelto questa misura per evitare di mantenere accessibili sistemi ancora esposti a una vulnerabilità critica.

La sospensione precauzionale era anche tra le indicazioni di CERT-EU, il servizio di cybersicurezza delle istituzioni europee, per i sistemi che non potevano essere aggiornati subito.

Un’emergenza che ha coinvolto anche Wikimedia

La stessa situazione ha richiesto interventi a organizzazioni internazionali. La Wikimedia Foundation, che gestisce Wikipedia, ha annunciato il 21 ottobre la sospensione precauzionale di diversi servizi di supporto, tra cui Toolforge e Cloud VPS, in attesa di poterli aggiornare in sicurezza.

Si trattava di servizi sospesi per prevenire possibili attacchi, non di una conferma di violazione. La presenza di ambienti e versioni differenti di PHP rendeva necessario procedere con verifiche e riattivazioni graduali.

Che cosa abbiamo controllato

Installare gli aggiornamenti risolveva le vulnerabilità, ma serviva anche verificare se qualcuno avesse tentato di sfruttarle prima dell’intervento.

I nostri server sono stati raggiunti da scansioni automatiche e tentativi di attacco. Per cercare eventuali tracce di compromissione abbiamo analizzato oltre 13 milioni di righe dei registri di accesso, cioè le informazioni che i server conservano sulle richieste ricevute, relative al periodo dal 21 al 23 ottobre.

Abbiamo inoltre controllato la presenza di file sospetti, attività anomale e malfunzionamenti dei servizi.

Dalle verifiche effettuate non sono emersi segni di compromissione.

Il ripristino dei servizi

Il 25 ottobre abbiamo completato gli aggiornamenti degli ultimi server coinvolti. Tutti i siti sono tornati regolarmente online.

Abbiamo informato i clienti sugli interventi svolti, sulle ragioni delle sospensioni temporanee e sull’esito dei controlli. Per questa emergenza non sono state richieste attività da parte loro.

Il nostro team continua a monitorare i sistemi e a seguire gli aggiornamenti di sicurezza di PHP.