IONOS versione PHP: come controllarla e lo stato di PHP2Shell

Il mio sito su IONOS è a rischio per PHP2Shell?

Un sito su IONOS è esposto a PHP2Shell se usa una build PHP precedente alla versione corretta del suo ramo. PHP2Shell indica due vulnerabilità critiche di PHP stesso, CVE-2026-109618 e CVE-2026-109619: riguardano qualsiasi sito PHP, WordPress compreso. Sul web hosting IONOS è IONOS a installare PHP; su un VPS o server dedicato lo installi tu. Le versioni corrette sono:

Il verificatore PHP2Shell ti aiuta a leggere il risultato.

IONOS ha corretto PHP2Shell?

IONOS ha detto che sta installando la correzione, ma al 22 ottobre 2026 non ha ancora dichiarato il lavoro concluso. Sulla pagina di stato italiana c’è l’avviso Manutenzione di sicurezza: possibili brevi interruzioni dei servizi basati su PHP:

• 21 ottobre 2026, 18:09 (CEST): IONOS descrive una vulnerabilità critica in PHP e dice che sta installando l’aggiornamento di sicurezza su tutti i suoi sistemi, con conclusione prevista entro le 24 ore successive. Alcuni siti e servizi potrebbero risultare lenti o temporaneamente non disponibili. Chi gestisce in autonomia un VPS o un server bare metal deve installare subito l’aggiornamento di PHP.
• 21 ottobre 2026, 23:01 (CEST): IONOS scrive che sta ancora lavorando per ripristinare i servizi interessati.

I prodotti indicati sono l’Area Cliente IONOS, Web Hosting, Hosting Windows, Hosting WordPress, MyWebsite (ordinato prima del 9 giugno 2017) e MyWebsite NOW. L’avviso non nomina PHP2Shell né i CVE, ma esce lo stesso giorno della release di PHP. Un secondo avviso, L’accesso a Nextcloud potrebbe non essere possibile, spiega che le istanze Managed Nextcloud sono state spente per precauzione alle 14:30 e il problema è stato segnato come risolto alle 22:57.

Come vedo la versione PHP su IONOS?

La vedi nelle impostazioni PHP dell’area clienti. Secondo la guida IONOS Visualizzare o modificare la versione di PHP, valida per Hosting Linux e Performance Hosting:

1. Accedi all’area clienti IONOS e apri la pagina Impostazioni PHP (dalla guida, il pulsante Accedi e apri le impostazioni di PHP ti porta direttamente lì).
2. La tabella elenca domini e sottodomini; la colonna Versione di PHP mostra la versione di ciascuno.

Ogni dominio e sottodominio può avere una versione diversa, quindi controllali tutti. Il pannello mostra il ramo, non la build esatta: per quella guarda il sito (in WordPress, Strumenti → Salute del sito → Info → Server) e usa il PHP version checker.

Come passo a una versione PHP corretta su IONOS?

Dipende dal prodotto:

• Hosting Linux e Performance Hosting: nella stessa pagina fai clic sul dominio, scegli la versione e fai clic su Salva; per più domini insieme spunta le caselle e usa Cambiare la versione PHP. IONOS avverte che l’attivazione può richiedere un po’ di tempo, che il cambio può influire sul funzionamento del sito e che puoi tornare alla versione precedente. La guida consiglia PHP 8.4 per i CMS più comuni.
• Managed WordPress e MyWebsite: la versione PHP la gestisce IONOS e non si può cambiare.
• VPS e server bare metal che amministri tu: aggiorni PHP tu, come chiede anche l’avviso di IONOS. Segui la guida alla patch PHP2Shell.

Sul web hosting la build corretta dentro un ramo la installa IONOS: cambiare ramo non serve per PHP2Shell, a meno che tu non sia su 8.1 o precedente.

E i siti WordPress su IONOS?

Un sito WordPress su IONOS riceve la correzione di PHP2Shell solo tramite PHP: aggiornare WordPress, temi o plugin non basta. Quando IONOS chiude l’avviso, apri Salute del sito su ogni sito e confronta la versione con la tabella sopra. Approfondimento: PHP2Shell e WordPress.

Cosa chiedo all’assistenza IONOS?

Contatta l’assistenza IONOS se, dopo la chiusura dell’avviso, il sito riporta ancora una versione inferiore alla versione corretta del suo ramo. Chiedi quale build esatta usa il dominio, se include la correzione per CVE-2026-109618 e CVE-2026-109619 e se i processi PHP sono stati riavviati. Se usi IONOS PHP Extended Support, chiedi se anche la tua versione legacy è stata corretta. Un messaggio pronto è nella guida alla patch PHP2Shell. Ignora email “da IONOS” che chiedono di accedere tramite un link.

E se il mio sito su IONOS usa un PHP vecchio?

Su IONOS le versioni non più supportate dalla comunità PHP (dalla 4.0 alla 8.1) restano utilizzabili con il servizio a pagamento IONOS PHP Extended Support. IONOS dice che i suoi esperti chiudono le vulnerabilità di queste versioni, ma la pagina non parla di PHP2Shell, e IONOS non cambia la versione in automatico. Al 22 ottobre 2026 non abbiamo trovato una conferma che le versioni legacy di IONOS includano la correzione. Chiedilo e pianifica il passaggio a un ramo supportato (dalla 8.2 alla 8.5): vedi PHP end of life. Se temi un attacco avvenuto prima dell’aggiornamento, segui come capire se il sito è stato violato.