CERT-AGID: 650 URL della PA con versione PHP potenzialmente vulnerabile
Le amministrazioni con un sito nell’Indice delle Pubbliche Amministrazioni (IPA) devono controllare quale versione di PHP è in esecuzione e se gli aggiornamenti di sicurezza sono stati applicati. Nella prima ricognizione pubblicata dal CERT-AGID il 25 ottobre, 650 URL dichiaravano una versione PHP potenzialmente vulnerabile a PHP2Shell. Sono il 3,2% degli indirizzi raggiungibili.
Chi deve verificare e con chi
Il CERT-AGID ha avvisato le amministrazioni associate agli indirizzi potenzialmente vulnerabili. Le ha invitate a verificare la versione PHP effettivamente in esecuzione e l’applicazione delle correzioni di sicurezza.
La verifica è raccomandata anche a chi non ha ricevuto alcuna segnalazione. Deve comprendere sottodomini, applicazioni e servizi che non erano nell’elenco esaminato. Il CERT-AGID chiede di coinvolgere gli amministratori di sistema e i fornitori.
Per i dettagli tecnici e le indicazioni di aggiornamento, il CERT-AGID rimanda alla sua comunicazione precedente sulle vulnerabilità PHP2Shell.
Cosa ha trovato la scansione del 22 ottobre
I dati descrivono la situazione della prima scansione, avviata il 22 ottobre 2026. Lo stato attuale dei servizi potrebbe essere diverso, anche per gli aggiornamenti già fatti da amministrazioni e fornitori.
Come è stato fatto il controllo e perché i numeri vanno letti con cautela
Il CERT-AGID parla di valutazione preliminare e dichiara questi limiti:
- La rilevazione usa solo controlli HTTP passivi sulle informazioni rese disponibili dai server. Non sono stati inviati payload di sfruttamento né eseguiti tentativi di compromissione.
- La versione dichiarata negli header HTTP non permette di verificare i pacchetti installati né le correzioni applicate con backport. «Potenzialmente vulnerabile» non conferma che il servizio sia sfruttabile.
- Il perimetro comprende solo le URL dell’elenco IPA usato per la scansione. Non sono stati cercati altri sottodomini, applicazioni o servizi, quindi il risultato non è un censimento completo dell’esposizione web della PA.
- Alcuni server non espongono la versione PHP, altri potrebbero non usare PHP: in entrambi i casi il controllo può risultare inconcludente. Se la versione non è rilevabile, questo non dimostra che le vulnerabilità non ci siano.
Nascondere la versione PHP
Il CERT-AGID ricorda che non esporre pubblicamente la versione PHP è una buona pratica di configurazione. Riduce le informazioni a disposizione di un potenziale attaccante ed è prevista anche dalla documentazione ufficiale di PHP.
