Cosa succede
Con richieste web preparate si può eseguire codice estraneo sul server senza autenticazione. Un attaccante può così modificare il vostro sito, leggere dati o inviare e-mail.
Falla PHP critica PHP2Shell · 21.10.2026
Quale versione PHP usa il vostro sito?
Dal 21 ottobre 2026 è nota la falla critica di PHP chiamata PHP2Shell. Il test mostra in pochi secondi quale versione PHP il vostro sito rivela pubblicamente, se riceve ancora aggiornamenti e cosa fare adesso.
- Gratuito e senza registrazione
- Solo pagine pubbliche, nessun attacco
- Dice onestamente anche ciò che dall’esterno non si vede
- PHP
- X-Powered-By
- WordPress
- Plugins
- PHP2Shell
Verificate ora il vostro sito
Inserite il dominio o l’indirizzo del vostro sito. Il risultato appare subito qui.
Protezione dei dati: consultiamo solo pagine pubbliche del vostro sito e non conserviamo in modo duraturo né il dominio né il risultato. Il vostro indirizzo IP serve brevemente come somma di controllo contro gli abusi.
Il test legge solo ciò che il vostro server mostra spontaneamente. Non sostituisce l’informazione del vostro hosting.
Risultato secondo l’identificativo visibile pubblicamente. Hosting e distribuzioni Linux installano spesso correzioni senza cambiare il numero di versione. Fa fede solo l’informazione del vostro hosting.
Cosa abbiamo trovato
Buono a sapersi
E le vostre e-mail?
Un server web compromesso invia phishing a vostro nome. Verificate subito se il vostro dominio è protetto contro mittenti falsificati.
Indirizzi consultati
Verificare la versione da soli
Questi metodi mostrano la versione PHP che il vostro sito usa davvero.
Verificare la versione da soliPHP2Shell
Cosa è successo il 21 ottobre 2026
Il progetto PHP ha chiuso due falle critiche nel nucleo di PHP: CVE-2026-109618 e CVE-2026-109619, gravità CVSS 9.2 su 10. Aziende di sicurezza segnalano già attacchi.
Chi è interessato
Ogni installazione PHP che risponde a richieste web: WordPress, Joomla, negozi online, moduli di contatto e applicazioni PHP proprie.
Cosa fare adesso
Aggiornare PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 e far riavviare PHP. Con PHP 8.1 o precedente, passare a un ramo supportato.
Fonte: php.net, avviso di sicurezza del 21.10.2026
Trasparenza
Cosa verifica il test e cosa no
Verifichiamo solo ciò che qualsiasi visitatore del vostro sito può vedere e consultiamo al massimo 14 indirizzi.
Cosa verifichiamo
- Intestazioni della pagina iniziale«X-Powered-By» e «Server» indicano spesso la versione PHP, ad esempio PHP/8.3.12.
- Pagine senza cacheSe una cache nasconde l’intestazione, verifichiamo la pagina iniziale con un parametro casuale, una pagina inesistente (404) e l’indirizzo www.
- WordPress e altri sistemiRiconosciamo WordPress, Drupal, Joomla, TYPO3, negozi e altri sistemi PHP da tracce tipiche. Per WordPress anche pagina di accesso, interfaccia e feed.
- Versione minima dai pluginPlugin e temi collegati dalla vostra pagina iniziale indicano «Requires PHP». Ne deriva un minimo, ad es. «almeno PHP 7.4».
- Supporto e PHP2ShellConfrontiamo il numero con il ciclo di vita pubblicato da php.net e con le correzioni del 21.10.2026.
Cosa non facciamo di proposito
- Nessun accesso, nessun modulo, nessuna password
- Nessun attacco e nessun errore provocato di proposito
- Nessun tentativo di indovinare percorsi come phpinfo.php o pagine di amministrazione
- Nessun dato di terzi o di motori di ricerca
- Il vostro robots.txt viene rispettato
Perché il risultato non è vincolante
Il test vede solo ciò che il vostro server rivela spontaneamente. I server ben configurati nascondono la versione PHP. In tal caso mostriamo «non visibile», anche se PHP è attivo.
Un numero visibile può ingannare: può provenire da un proxy, essere volutamente falso o venire da una distribuzione Linux come Ubuntu o Debian, che installa correzioni senza nuovo numero.
Fa fede solo ciò che indica il pannello del vostro hosting o WordPress in «Salute del sito». Usate il test come indizio, non come prova.
Versioni PHP e loro supporto
Stato al 21.10.2026. Dopo la fine vita non ci sono più aggiornamenti di sicurezza.
| Ramo | Stato | Supporto attivo fino al | Aggiornamenti di sicurezza fino al | PHP2Shell corretto da |
|---|---|---|---|---|
| PHP 8.5 | Attivo | 31.12.2027 | 31.12.2029 | 8.5.12 |
| PHP 8.4 | Attivo | 31.12.2026 | 31.12.2028 | 8.4.27 |
| PHP 8.3 | Solo sicurezza | 31.12.2025 | 31.12.2027 | 8.3.36 |
| PHP 8.2 | Solo sicurezza | 31.12.2024 | 31.12.2026 | 8.2.35 |
| PHP 8.1 | Fine vita | 25.11.2023 | 31.12.2025 | nessun aggiornamento ufficiale |
| PHP 8.0 | Fine vita | 26.11.2022 | 26.11.2023 | nessun aggiornamento ufficiale |
| PHP 7.4 | Fine vita | 28.11.2021 | 28.11.2022 | nessun aggiornamento ufficiale |
Fonte: php.net (Supported Versions, Unsupported Branches, avviso di sicurezza del 21.10.2026)
Saperlo con certezza
Verificare la versione da soli
Questi metodi mostrano la versione PHP che il vostro sito usa davvero.
WordPress
Strumenti → Salute del sito → Informazioni → Server. Lì trovate la versione PHP e le estensioni.
Pannello di hosting
Nel pannello del vostro hosting (ad es. cPanel o Plesk) controllate la versione PHP proprio di questo sito, non solo l’impostazione predefinita del server.
Chiedere all’hosting
Chiedete concretamente: «La correzione PHP del 21.10.2026 (CVE-2026-109618 e -109619) è installata sul nostro sito?»
Nascondere la versione
Con expose_php = Off il numero scompare dalle intestazioni. Non chiude alcuna falla, ma rende più difficili gli attacchi mirati.
Passo 2: protezione e-mail
I server web compromessi inviano phishing a vostro nome
Chi prende il controllo del vostro server web può inviare e-mail con il vostro dominio come mittente. DMARC, SPF e DKIM fanno respingere queste falsificazioni. Verificate gratis il vostro dominio.
Controllo del dominio gratuito
Il vostro indirizzo aziendale è protetto?
Inserite il vostro dominio o il vostro indirizzo e-mail. Il risultato appare subito qui, con semaforo e voto da A a F.
Avete aperto un link a un risultato. Il controllo parte solo con il vostro clic, sempre con lo stato attuale.
Protezione dei dati: se inserite un indirizzo e-mail, trasmettiamo solo il dominio; la parte prima della @ non lascia il vostro browser. Usiamo il dominio solo per questo controllo di record DNS pubblici e non lo salviamo in chiaro; il risultato non lo salviamo. Salviamo il vostro indirizzo IP solo come impronta e al massimo un giorno, per frenare gli abusi.
Il controllo rapido si basa sui dati DNS pubblici al momento della richiesta e non sostituisce un controllo completo; nessuna garanzia.
Tenere sotto controllo in modo continuo invece di verificare una volta:
Prenotare un colloquio gratuitoSorvegliare il dominio, 14 giorni gratisPreferite un aiuto? Richiedere la configurazione da parte nostra- Senza impegno
- Senza carta di credito
- Termina da solo dopo 14 giorni
Richiesta senza impegno per e-mail · prezzo su richiesta
Come si procede
- Il vostro programma di posta apre una richiesta preparata con il vostro dominio. Aggiungete il vostro nome e inviatela.
- Vi ricontattiamo e discutiamo con voi o con il vostro partner IT quali voci (SPF, DKIM, DMARC) servono e quanto costa la configurazione.
- Per la configurazione serve l’accesso alla gestione DNS del vostro dominio. Concordiamo con voi la consegna – per favore non inviateci mai password per e-mail.
- Se lo desiderate, DomainRadar sorveglia poi il vostro dominio in modo continuo e vi avvisa quando qualcosa cambia.
Non si apre nessun programma di posta? Scriveteci indicando il vostro dominio a info@domainradar.ch.
Buono a sapersi: la protezione impedisce che qualcuno falsifichi proprio il vostro dominio. Contro indirizzi simili aiuta confermare sempre per telefono le modifiche di pagamento.
Tutti i controlli
Controllo rapido dai record DNS pubblici. Il monitoraggio continuo verifica inoltre certificati, liste di blocco e i vostri report DMARC.
Il vostro risultato in PDF
Come rapporto da archiviare o da inoltrare al vostro reparto IT.
Gratis e senza account: confermate l’indirizzo per e-mail, poi potete disiscrivervi in qualsiasi momento.
Domande sul test PHP
Il test PHP è davvero gratuito?
Sì, senza registrazione e senza carta di credito. Consultiamo solo pagine pubbliche del vostro sito, come un normale visitatore.
Perché il test mostra «versione non visibile»?
Molti hosting nascondono la versione PHP, ed è giusto così. Il test mostra allora se PHP è attivo e, per WordPress, quale versione minima serve. La versione esatta la trovate nel pannello di hosting.
Il mio sito è sicuro se il test indica «correzione inclusa»?
Non necessariamente. Il test valuta solo la versione PHP visibile. Plugin, temi, password e altri software possono avere falle proprie.
Che cos’è PHP2Shell?
Due falle critiche nel nucleo di PHP (CVE-2026-109618 e CVE-2026-109619), corrette il 21.10.2026 in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli attaccanti possono eseguire codice sul server web senza autenticazione.
Posso verificare siti di altri?
Verificate solo siti di vostra proprietà o di cui siete responsabili. Il test consulta solo pagine pubbliche, rispetta il robots.txt ed è limitato contro le richieste di massa.
Cosa c’entra PHP con la sicurezza delle e-mail?
Un server web compromesso viene spesso usato per il phishing, con il vostro dominio come mittente. DMARC, SPF e DKIM impediscono che queste e-mail arrivino ai vostri clienti. È proprio ciò che sorveglia DomainRadar.
Ora 14 giorni gratis
Proteggete il vostro dominio
Scriveteci – vi mostriamo DomainRadar con dati di esempio e valutiamo insieme quale abbonamento fa per voi.
Oppure direttamente per e-mail: info@domainradar.ch
- Senza impegno
- Senza carta di credito
- Termina da solo dopo 14 giorni