7 min read
“Nessun modello è semplicemente in grado di scovare ‘tutti i bug’ con istruzioni semplici.” La frase è di Calif, la società di sicurezza che ha trovato le due falle web che tutti hanno passato la settimana scorsa a correggere, ed è un promemoria utile: l’IA ha aiutato a trasformare una vecchia scoperta in un attacco funzionante, ma la soluzione dipende ancora da persone normali che fanno manutenzione normale. Se il sito della tua attività gira su WordPress, questa settimana quella persona normale sei tu.
Ecco una checklist tranquilla, passo dopo passo, per chi lavora in proprio e non è uno sviluppatore. Ritagliati circa 30 minuti e fatti aiutare da un assistente IA nelle parti che sembrano tecniche.
Che cos’è PHP2Shell, in parole semplici
PHP è il linguaggio di programmazione su cui è costruito WordPress, insieme a una fetta enorme del web. Secondo l’articolo di TechCrunch sulle falle, circa il 70% di internet esposto al web si basa su PHP. Il 21 ottobre 2026 la PHP Foundation ha reso note due falle critiche, catalogate come CVE-2026-109618 e CVE-2026-109619 (un CVE è semplicemente un numero identificativo pubblico per una vulnerabilità nota), e ha rilasciato le patch lo stesso giorno (le note ufficiali sono nell’archivio notizie di PHP). L’agenzia statunitense per la cybersicurezza, CISA, ha diffuso un’allerta in contemporanea.
Perché questa conta: le falle permettono l’esecuzione di codice da remoto senza password, cioè uno sconosciuto su internet potrebbe eseguire i propri comandi sul tuo server senza accedere e senza che tu clicchi nulla. Amazon ha individuato attacchi circa una settimana prima delle patch, quindi a chi si occupa di difesa è stato chiesto di cercare problemi a partire dal 17 ottobre.
La buona notizia è che WordPress in sé non richiede un aggiornamento speciale di plugin. La correzione sta un livello più in basso, nel software PHP gestito dal tuo hosting. Il tuo compito è confermare che quel livello sia stato aggiornato, poi controllare che nulla sia entrato prima.
Passo 1: Capisci chi è responsabile del tuo PHP
Questa sola domanda decide quanta parte del lavoro tocca a te.
- Hosting WordPress gestito (quello in cui non vedi mai un server, solo un pannello): l’hosting aggiorna PHP per te. Il tuo compito è confermare che l’abbia fatto.
- Hosting condiviso con pannello di controllo come cPanel: di solito l’hosting applica le patch, ma potresti scegliere tu la versione di PHP in una schermata “Select PHP Version” o “MultiPHP”.
- Un server tuo o una VPS (un server privato virtuale configurato da te o da un freelance): nessuno lo sta aggiornando, a meno che qualcuno non lanci gli aggiornamenti. Consideralo urgente.
Non sai quale hai? Guarda l’ultima fattura dell’hosting. Se c’è scritto “managed WordPress”, sei nel primo gruppo.
Passo 2: Leggi la tua versione di PHP senza toccare codice
Nella bacheca di WordPress vai su Strumenti, poi Salute del sito, poi la scheda Info, poi Server. Troverai una riga chiamata “Versione PHP”. Copia quel numero da qualche parte. Non serve interpretarlo: lo passerai all’hosting nel prossimo passo.
Passo 3: Fai una domanda diretta al tuo hosting (lascia che l’IA scriva l’email)
La maggior parte degli hosting ha pubblicato un avviso la settimana scorsa, quindi controlla prima la loro pagina di stato o il blog. Se non trovi una risposta chiara, invia un breve messaggio all’assistenza. Ecco un prompt da incollare in ChatGPT, Claude o Gemini:
“Scrivi un ticket di assistenza breve e cortese per il mio hosting. Il mio sito WordPress è [dominio]. Salute del sito mostra la versione PHP [numero]. Chiedi di confermare per iscritto se il mio server ha le patch della PHP Foundation rilasciate il 21 ottobre 2026 per CVE-2026-109618 e CVE-2026-109619, e se hanno notato segni di sfruttamento sul mio account dal 17 ottobre.”
Chiedi un sì o un no per iscritto. “Prendiamo la sicurezza molto sul serio” non è una risposta. Conserva la loro replica con i documenti della tua attività.
Se gestisci un server tuo, il prompt cambia: chiedi all’IA di spiegarti, per la tua configurazione esatta (per esempio Ubuntu con una specifica versione di PHP), come installare gli ultimi aggiornamenti di sicurezza di PHP e riavviare il server web. Poi confronta le istruzioni con la documentazione del tuo provider prima di eseguire qualsiasi cosa. Gli assistenti IA possono inventare comandi, e lo fanno: per questo la nostra guida per principianti alle allucinazioni dell’IA consiglia di verificare tutto ciò su cui stai per agire.
Passo 4: Cerca qualsiasi cosa sia entrata dal 17 ottobre
La patch chiude la porta. Non ti dice se qualcuno è entrato prima. Dedica dieci minuti a questi controlli:
- Utenti: apri Utenti, poi Tutti gli utenti, e ordina per ruolo. Un amministratore che non riconosci è un campanello d’allarme.
- Plugin: cerca plugin che non hai mai installato, soprattutto con nomi vaghi o senza descrizione.
- Modifiche recenti: se l’hosting offre un file manager, cerca file modificati di recente nella cartella principale, dal 17 ottobre in poi, che non hai toccato tu.
- Una scansione gratuita: un plugin di sicurezza come Wordfence o lo scanner gratuito di Sucuri può confrontare i file principali con copie pulite e segnalare le differenze.
- Il tuo sito in una finestra privata: visita la home e la pagina contatti senza aver effettuato l’accesso. Reindirizzamenti inattesi o pop-up strani sono un classico segnale di manomissione.
Se qualcosa non ti convince, fermati e contatta l’hosting prima di cancellare qualsiasi cosa. Molti hosting ripristinano gratis un backup pulito precedente al 17 ottobre durante eventi come questo.
Passo 5: Usa l’IA per leggere le parti che fanno paura, con attenzione
I risultati delle scansioni di sicurezza e i log del server sono scritti per ingegneri. Qui un assistente aiuta davvero. Incolla il riepilogo di una scansione nel tuo chatbot e chiedi: “Spiega ogni avviso in parole semplici, ordinali per urgenza e dimmi quali dovrei segnalare al mio hosting.”
Due regole rendono tutto sicuro:
- Togli i dati segreti prima di incollare. Elimina password, nomi di database, chiavi API e indirizzi email dei clienti da tutto ciò che condividi.
- Tratta la risposta come una traduzione, non come un verdetto. L’IA può dirti cosa significa un avviso. Solo l’hosting o un professionista della sicurezza può confermare se il sito è davvero compromesso.
Passo 6: Cambia le chiavi, anche se tutto sembra pulito
Visto che gli attacchi sono iniziati prima che qualcuno conoscesse le falle, conviene cambiare le credenziali per precauzione:
- La password di amministratore di WordPress, e quella di chiunque altro abbia un account.
- Le password per le applicazioni (in Utenti, poi Profilo), che strumenti e automazioni usano per pubblicare sul sito. Revoca quelle che non usi più.
- La password dell’account di hosting e, se ce l’hai, quella FTP o SFTP.
- Tutte le chiavi API salvate nei plugin, come pagamenti, email marketing o plugin di scrittura con IA.
Già che ci sei, attiva l’accesso in due passaggi sull’account di hosting. Ci vogliono cinque minuti e blocca l’attacco successivo più comune.
Passo 7: Fai in modo che la prossima volta sia una noia
PHP2Shell non sarà l’ultima grande falla del web, e l’IA sta rendendo più veloce per gli attaccanti trasformare falle note in attacchi funzionanti. Poche abitudini trasformano la prossima emergenza in un non evento:
- Backup giornalieri automatici conservati fuori dal tuo server, con almeno due settimane di storico.
- Aggiornamenti minori automatici per il core di WordPress e i plugin affidabili.
- Una sezione sicurezza di una riga nella tua policy sull’IA, che dica cosa si può e non si può incollare nei chatbot. I nostri consigli rapidi per una policy IA di una pagina mostrano come scriverla in un pomeriggio.
- Un prompt salvato che trasformi qualsiasi notizia sulla sicurezza in “cosa significa per il mio sito e cosa chiedo al mio hosting?”.
Il tuo sito è la tua vetrina, e sempre più spesso è anche ciò che gli assistenti IA leggono quando i clienti chiedono un consiglio. Un sito violato può sparire in silenzio da quelle risposte. Un motivo in più per tenerlo in salute, come abbiamo spiegato in come un’attività individuale viene consigliata dall’IA.
Il tuo riepilogo in 30 minuti
Controlla la versione di PHP in Salute del sito. Ottieni un sì scritto dall’hosting sulle patch del 21 ottobre. Cerca nuovi amministratori, plugin sconosciuti e reindirizzamenti strani dal 17 ottobre. Cambia password e password per le applicazioni. Attiva backup e accesso in due passaggi. Fatto.
Il tuo hosting ti ha già risposto? Raccontaci nei commenti quanto ci ha messo e cosa ha detto. Aiuterà altri imprenditori individuali a capire com’è una buona risposta.
