Sicurezza · 25 ottobre 2026
La Commissione per la Protezione delle Informazioni Personali avverte del rischio di fughe di dati a causa di una vulnerabilità di PHP
La Commissione per la Protezione delle Informazioni Personali ha sollecitato enti pubblici e imprese private a implementare misure di sicurezza urgenti a causa della vulnerabilità di sicurezza PHP2Shell, recentemente scoperta in PHP.
La vulnerabilità PHP2Shell, resa nota il 21, permette a un utente malintenzionato di eseguire comandi dannosi su un server web senza necessità di procedure di autenticazione o login. Poiché PHP è un software ampiamente utilizzato per lo sviluppo di servizi online e siti web, l'attacco a server vulnerabili potrebbe causare interruzioni del servizio e il furto di informazioni personali.
L'autorità ha espresso preoccupazione per il fatto che l'attacco possa andare oltre la compromissione del server web, portando a fughe di dati su larga scala dai database collegati. È stata segnalata una particolare attenzione per gli ambienti in cui strumenti di gestione dei database basati su PHP, come phpMyAdmin, sono esposti a internet o dove gli account dei servizi web possiedono permessi di accesso eccessivi al database.
Le raccomandazioni includono la verifica delle versioni dei sistemi che utilizzano PHP, l'applicazione delle ultime patch di sicurezza e l'eliminazione dei servizi web non utilizzati. È stato inoltre suggerito di limitare l'accesso diretto da internet a strumenti come phpMyAdmin, aggiornarli all'ultima versione e assegnare agli account dei servizi web solo i permessi minimi necessari per l'operatività.
Per prevenire perdite massive di dati, è stato sottolineato l'importanza di monitorare i registri di accesso per rilevare tentativi anomali di esportazione di informazioni. La verifica della presenza di versioni vulnerabili di PHP deve estendersi anche a sistemi gestiti da terzi, fornitori di hosting e aziende incaricate del trattamento dei dati. Anche il Ministero della Scienza, delle Tecnologie dell'Informazione e delle Comunicazioni e la KISA stanno raccomandando aggiornamenti di sicurezza.