Controllare se il tuo sito è stato hackerato dopo PHP2Shell

Esistono indicatori ufficiali di compromissione per PHP2Shell?

Al 22 ottobre 2026 PHP non ha pubblicato un elenco definitivo di indicatori specifici per PHP2Shell. In un thread di monitoraggio su X, i ricercatori di Wiz hanno suggerito di tenere d’occhio richieste multipart insolite seguite da errori di limite di memoria o risposte HTTP 500, cookie di sessione PHPSESSID malformati e worker PHP che si riavviano più spesso del normale. Anche diverse agenzie nazionali raccomandano di cercare backdoor. Considera questi segnali come piste da approfondire, non come prove. I controlli qui sotto cercano i segni tipici della compromissione di un sito.

Cosa devo fare prima del controllo?

Installa la patch PHP2Shell e riavvia PHP. Controllare un sito ancora vulnerabile ti dice solo cosa è successo finora. Se vedi danni in corso (defacement, spam, redirect), metti prima il sito offline.

Come controllo se il mio sito è stato hackerato?

Cerca modifiche che non hai fatto tu:

1. Utenti amministratori che non riconosci. In WordPress apri Utenti e filtra per Amministratore. Controlla anche gli account di hosting, FTP/SFTP e database.
2. File PHP dove non dovrebbero esserci. Le cartelle di upload come wp-content/uploads dovrebbero contenere immagini e documenti. Un file .php lì dentro è un forte segnale d’allarme.
3. File modificati di recente che non hai toccato. Ordina i file per data di modifica nel file manager e guarda con attenzione tutto ciò che è cambiato dopo l’annuncio delle vulnerabilità.
4. Plugin, temi o must-use plugin che non hai installato. Controlla la cartella wp-content/mu-plugins, che non compare nel normale elenco dei plugin.
5. Attività pianificate che non hai creato. Controlla i cron job nel pannello di controllo dell’hosting: gli attaccanti li usano per reinstallare le backdoor.
6. Avvisi dall’esterno. Segnalazioni dal tuo hosting, problemi di sicurezza in Google Search Console, o notizie di spam o redirect partiti dal tuo dominio.
7. Log, se li hai: richieste insolite, picchi di errori o crash nel periodo della divulgazione.

Un file PHP sconosciuto prova che si tratta di PHP2Shell?

No. Un file, un account o un redirect inspiegabile indica un problema, non quale vulnerabilità l’abbia causato. Va indagato in ogni caso.

Cosa faccio se trovo qualcosa?

Procedi in quest’ordine e fai una copia prima di cancellare qualsiasi cosa:

1. Metti il sito offline o blocca l’accesso pubblico.
2. Conserva le prove: copie dei file sospetti, log e uno snapshot, annotando gli orari.
3. Cambia tutte le password da un dispositivo pulito: hosting, FTP/SFTP, database, ogni account amministratore, oltre alle chiavi segrete del sito e ai token API.
4. Ripristina da un backup precedente all’intrusione, oppure ricostruisci da fonti affidabili, poi aggiorna PHP, l’applicazione, i temi e i plugin prima di tornare online.
5. Avvisa il tuo hosting e chiunque tu sia tenuto a informare se possono essere coinvolti dati personali o di pagamento.

Installare la patch elimina l’attaccante?

No. La patch chiude la falla; non rimuove una backdoor, un account abusivo o credenziali rubate. Dato che la ricerca descrive anche una fuga di dati dalla memoria, un controllo dei file senza anomalie non esclude nemmeno un’esposizione di dati.

Dovrei rivolgermi a un professionista?

Sì, se il sito gestisce pagamenti o dati personali, se non trovi un backup pulito, se il problema si ripresenta dopo la pulizia o se non sai fin dove è arrivata l’intrusione. Un servizio professionale di incident response può delimitare correttamente il danno.

Il mio sito è stato hackerato solo perché PHP era vulnerabile?

Non per forza. Cloudflare ha segnalato tentativi di attacco, ma nelle fonti che abbiamo controllato al 22 ottobre 2026 nessuna compromissione riuscita è stata confermata. Questo però non dimostra nemmeno che il tuo sito sia pulito. Controlla, non dare nulla per scontato. Torna al verificatore PHP2Shell.

Quali fonti sostengono questa pagina?

• Wiz Research: indicazioni di monitoraggio (thread su X)
• Wiz Research: ricerca originale
• CISA: playbook di risposta a incidenti e vulnerabilità
• CISA/FBI: advisory con indicazioni di difesa dalle web shell
• The PHP Group: advisory di sicurezza
• Cloudflare: protezioni WAF