Voglio CrescereCristoforo Frasca by Helpwebnet
650 siti della Pubblica Amministrazione con PHP scoperto. Il tuo chi l'ha controllato?
Se le falle critiche del 21 ottobre hanno lasciato scoperto il 3,2% dei siti censiti della PA — enti che hanno un CED e dei fornitori sotto contratto — la domanda per il tuo studio, la tua azienda o il tuo condominio è una sola: chi ha guardato, quando, e cosa ha risposto per iscritto. Qui trovi la mail già pronta da mandare oggi.
- La mail pronta da copiare: cinque domande a chi ti gestisce il sito, risposta scritta entro 48 ore
- La differenza che fa risparmiare mesi: una rassicurazione («è tutto aggiornato») non è un esito («PHP 8.3.36, aggiornato il 24/10, servizio riavviato»)
- Le versioni correttive da pretendere: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 — se sei sotto, sei scoperto
- Perché «ma il sito si aggiorna da solo» non basta: gli aggiornamenti automatici toccano plugin e temi, non il motore PHP
- Il controllo del CERT-AGID guardava solo la versione dichiarata negli header: non copre sottodomini, gestionali e pannelli interni. I tuoi vanno chiesti a mano
- Il registro degli strumenti e dei fornitori: una riga per sistema, chi lo aggiorna, ogni quanto. Dieci minuti, e ogni avviso di sicurezza diventa una mail da inoltrare
**Il 21 ottobre il CERT-AGID ha pubblicato due vulnerabilità critiche del motore PHP** (CVE-2026-109618 e CVE-2026-109619, CVSS 9.2): in certe configurazioni basta una richiesta HTTP costruita bene per far eseguire codice sul server.
**Il 25 ottobre è arrivato il numero che rende la cosa concreta.** Il CERT-AGID ha fatto una prima ricognizione sugli indirizzi web censiti nell'Indice delle Pubbliche Amministrazioni: **650 URL dichiaravano una versione PHP potenzialmente vulnerabile, il 3,2% di quelli raggiungibili.**
Fermati un attimo su chi sono quei 650: enti pubblici, con un ufficio informatico e fornitori sotto contratto. Quattro giorni dopo l'avviso erano ancora lì.
Ora la domanda vera: il sito del tuo studio, il gestionale che apri la mattina, il portale del condominio, il pannello del NAS — chi li ha guardati? E soprattutto: **te l'ha scritto, o te l'ha detto al telefono?**
Il CERT-AGID lo dice anche alle amministrazioni che *non* hanno ricevuto la segnalazione: la verifica va fatta lo stesso, e deve comprendere «sottodomini, applicazioni e servizi non inclusi nell'elenco esaminato». La scansione guardava solo la versione dichiarata negli header HTTP: non vede quello che hai dietro il login.
Non devi diventare un sistemista e non devi lanciare tu nessuno scanner (uno dei due strumenti segnalati fa test attivi: solo su sistemi tuoi e autorizzati). Devi fare una cosa sola: **mandare oggi cinque domande a chi ti gestisce il sito e pretendere una risposta scritta.**
Se non sai nemmeno a chi mandarle, il problema non è PHP: è che non hai l'elenco di cosa gira in azienda e di chi lo tiene aggiornato.
Qui sotto scarichi gratis la checklist con la mail già scritta e la tabella da riempire in dieci minuti. È la stessa tabella del volume «AI in azienda senza rischi» (1,99 €): nata per l'articolo 4 dell'AI Act, funziona identica per il sito, il gestionale e il centralino.
*Cristoforo Frasca by Helpwebnet*
Checklist e mail pronta: gratis. Il volume completo «AI in azienda senza rischi» resta a 1,99 € una volta sola, aggiornamenti e volumi futuri della collana inclusi per sempre. · pagamento sicuro · fattura inclusa
Domande frequenti
Io non ho un sito in PHP, ho WordPress.
WordPress è scritto in PHP: gira su quel motore. Lo stesso vale per la maggior parte dei gestionali web, dei portali di condominio e di molte interfacce di amministrazione. La domanda da fare non è «che CMS ho», è «che versione di PHP gira sotto il mio sito».
Il mio fornitore mi ha già detto che siamo a posto.
Benissimo: chiediglielo per iscritto, con versione e data. «È tutto aggiornato» è una rassicurazione, «PHP 8.3.36, aggiornato il 24/10, servizio riavviato» è un esito. Il secondo lo puoi archiviare, il primo no.
Posso controllare da solo con gli strumenti di cui parla il CERT-AGID?
Uno dei due fa test passivi, l'altro test attivi: vanno usati solo su sistemi di cui sei titolare e in finestra di manutenzione. Per un titolare d'azienda la strada giusta resta chiedere l'esito al fornitore, non scansionare.
Cosa c'entra l'intelligenza artificiale con una falla PHP?
Il problema è lo stesso: non sapere cosa gira in azienda e chi ne risponde. Il registro degli strumenti nasce per l'AI Act, ma è la stessa tabella che oggi ti direbbe in dieci secondi chi aggiorna il tuo sito.
«La prima ricognizione del CERT-AGID sugli indirizzi web censiti nell'Indice delle Pubbliche Amministrazioni (IPA) ha individuato 650 URL che dichiaravano una versione PHP potenzialmente vulnerabile a PHP2Shell, pari al 3,2% degli indirizzi raggiungibili» — CERT-AGID, 25/10/2026. E il 21/10: «due vulnerabilità critiche nel motore PHP [...] CVSS v4.0 pari a 9.2 [...] l'aggiornamento del solo CMS o dei relativi plugin non corregge le vulnerabilità dell'interprete PHP» (cert-agid.gov.it/news).
Consulente IT per piccole imprese, studi professionali e condomini: sicurezza, backup, WordPress, centralini, assistenza. Scrivo quello che faccio ogni giorno con i miei clienti.
Cristoforo Frasca by Helpwebnet · Area riservata
Voglio Crescere è un marchio di Helpwebnet Srls · Via Mazzini 19 · 80059 Torre del Greco (NA) · P.IVA IT09793841215 · tel. 081 1818 7885 · vogliocrescere@helpwebnet.com
Privacy Policy · Cookie Policy · Termini e condizioni · Dichiarazione di accessibilità