Controllo di sicurezza del sito
Controllo di sicurezza del sito
Controlla solo siti di tua proprietà o che sei autorizzato a testare. Questo strumento legge solo ciò che una normale visita del browser già vede; non invia mai payload di exploit.
Preoccupato per l’allarme di sicurezza PHP di cui parlano tutti? A ottobre 2026 sono state divulgate due gravi falle in PHP stesso, soprannominate PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Poiché risiedono nel motore PHP, ogni sito costruito con PHP è coinvolto: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla e altri, anche se il tuo codice è impeccabile. Questo strumento ti dà una lettura rapida e chiara della parte del problema visibile dall’esterno, cioè se il tuo sito mostra ancora una vecchia versione di PHP, oltre allo stato generale di sicurezza.
Quanto preoccuparsi? Le falle hanno un punteggio alto (9,2 su 10) e nel peggiore dei casi potrebbero permettere a un aggressore di eseguire codice sul server senza accedere. Ma la società di sicurezza per l’e-commerce Sansec ha precisato il 22 ottobre: gli attacchi di massa automatizzati sono meno probabili del temuto, gli exploit pubblici non funzionano contro un’installazione PHP normale e non devi mettere il negozio offline. Su una cosa sono tutti d’accordo: aggiorna PHP. Questo problema non si risolve dal codice del negozio, dal tema o dai plugin, ma aggiornando PHP sul server o chiedendolo al tuo provider di hosting.
Cosa ti dice questo strumento sul tuo sito. Fa una richiesta normale, come un browser, e trasforma il risultato in un breve report a colori: se la tua versione PHP è visibile e se è obsoleta o a fine vita; se il traffico è cifrato con un certificato HTTPS valido; se i visitatori restano sulla versione sicura; se sono impostati i consueti header di protezione; e se c’è un firewall o una CDN come Cloudflare davanti. Ogni controllo è passivo: nessun attacco, solo la lettura di ciò che ogni visitatore già vede. Una versione letta dall’esterno è un segnale, non un verdetto finale: confermala sul server con php -v. Le versioni PHP corrette attuali sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12; PHP 8.1 e precedenti sono a fine vita e richiedono un aggiornamento o un pacchetto retroportato dal tuo hosting.
- La falla PHP di ottobre 2026, in parole semplici: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) è un difetto di PHP stesso, quindi ogni sito PHP è coinvolto, inclusi Magento, Shopware, WooCommerce e WordPress, per quanto pulito sia il tuo codice.
- Niente panico, ma aggiorna: gli attacchi di massa sono meno probabili del temuto e non devi chiudere il negozio, ma la soluzione è aggiornare PHP sul server (corrette 8.2.35, 8.3.36, 8.4.27, 8.5.12). Non si corregge dal codice del negozio.
- Lo stato del tuo PHP a colpo d’occhio: lo strumento mostra se la tua versione PHP è pubblica e se sembra obsoleta, non corretta o a fine vita, la prima cosa che guarda un aggressore.
- HTTPS e certificato: conferma che il traffico è cifrato e che il certificato è valido, attendibile e non prossimo alla scadenza.
- Header e firewall: verifica HSTS, Content-Security-Policy, la protezione da clickjacking e MIME-sniffing, e se un WAF/CDN come Cloudflare, Sucuri, Akamai, Fastly o CloudFront ti protegge.
- Passivo e privato: una richiesta normale, nessun exploit, non viene salvato nulla, e puoi scaricare il risultato in PDF.
Come uso il controllo di sicurezza del sito?
Digita l’indirizzo del tuo sito (ad esempio example.com) nel campo e premi Controlla. In pochi secondi ottieni un report chiaro con un verdetto a colori e un elenco di punti. Con il pulsante Scarica PDF puoi salvarlo.
Mi dice se sono esposto alla falla PHP di ottobre 2026 (PHP2Shell)?
Ti dà un primo segnale forte: se il tuo server rivela ancora la versione PHP, lo strumento verifica se quella versione è obsoleta, non corretta o a fine vita per la correzione di ottobre 2026. Non può confermare la sfruttabilità, che dipende dalla tua configurazione. Il controllo definitivo è sul server: php -v e il changelog del pacchetto (corrette 8.2.35, 8.3.36, 8.4.27, 8.5.12). Se la versione è nascosta o dietro un firewall, lo strumento non può leggerla, quindi controlla sul server.
Il mio PHP è obsoleto, cosa faccio?
Aggiorna PHP a una versione supportata e corretta (8.2.35, 8.3.36, 8.4.27 o 8.5.12). Se usi PHP 8.1 o precedente, passa a un ramo supportato o chiedi all’hosting un pacchetto retroportato, poi riavvia PHP-FPM o Apache. Se il provider gestisce PHP, chiedigli di applicare l’aggiornamento di ottobre 2026. È la misura più efficace.
Domande Frequenti
È uno scanner di vulnerabilità?
No. Non invia mai exploit e non tenta mai di attivare una vulnerabilità. Legge solo gli header di risposta HTTP e il certificato TLS che ogni browser già riceve, e li spiega. Per una verifica definitiva di una falla specifica come PHP2Shell, segui l’advisory ufficiale e testa sul server.
Devo mettere il negozio offline per PHP2Shell?
Secondo l’aggiornamento di Sansec del 22 ottobre, no. Lo sfruttamento di massa è meno probabile del temuto e gli exploit pubblici non funzionano contro un’installazione PHP normale. La cosa giusta è aggiornare PHP a una versione corretta, non chiudere il negozio.
Lo strumento non legge la mia versione PHP, è un male?
Di solito è il contrario. Molti server nascondono la versione con expose_php=Off o stanno dietro un firewall che blocca le richieste automatizzate, entrambe cose positive per la sicurezza. Se la versione non è leggibile dall’esterno, confermala sul server con php -v.
Il mio PHP risulta a fine vita, e ora?
PHP 8.1 e precedenti non ricevono più aggiornamenti di sicurezza ufficiali (al 2026) e non c’è una correzione ufficiale della falla di ottobre 2026 per quei rami. Passa a un ramo supportato (8.2 o successivo) o chiedi all’hosting un pacchetto retroportato. Usare una versione a fine vita lascia aperte falle note, è la cosa più importante.
Controllo di sicurezza del sito
Controlla solo siti di tua proprietà o che sei autorizzato a testare. Questo strumento legge solo ciò che una normale visita del browser già vede; non invia mai payload di exploit.
Preoccupato per l’allarme di sicurezza PHP di cui parlano tutti? A ottobre 2026 sono state divulgate due gravi falle in PHP stesso, soprannominate PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Poiché risiedono nel motore PHP, ogni sito costruito con PHP è coinvolto: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla e altri, anche se il tuo codice è impeccabile. Questo strumento ti dà una lettura rapida e chiara della parte del problema visibile dall’esterno, cioè se il tuo sito mostra ancora una vecchia versione di PHP, oltre allo stato generale di sicurezza.
Quanto preoccuparsi? Le falle hanno un punteggio alto (9,2 su 10) e nel peggiore dei casi potrebbero permettere a un aggressore di eseguire codice sul server senza accedere. Ma la società di sicurezza per l’e-commerce Sansec ha precisato il 22 ottobre: gli attacchi di massa automatizzati sono meno probabili del temuto, gli exploit pubblici non funzionano contro un’installazione PHP normale e non devi mettere il negozio offline. Su una cosa sono tutti d’accordo: aggiorna PHP. Questo problema non si risolve dal codice del negozio, dal tema o dai plugin, ma aggiornando PHP sul server o chiedendolo al tuo provider di hosting.
Cosa ti dice questo strumento sul tuo sito. Fa una richiesta normale, come un browser, e trasforma il risultato in un breve report a colori: se la tua versione PHP è visibile e se è obsoleta o a fine vita; se il traffico è cifrato con un certificato HTTPS valido; se i visitatori restano sulla versione sicura; se sono impostati i consueti header di protezione; e se c’è un firewall o una CDN come Cloudflare davanti. Ogni controllo è passivo: nessun attacco, solo la lettura di ciò che ogni visitatore già vede. Una versione letta dall’esterno è un segnale, non un verdetto finale: confermala sul server con php -v. Le versioni PHP corrette attuali sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12; PHP 8.1 e precedenti sono a fine vita e richiedono un aggiornamento o un pacchetto retroportato dal tuo hosting.
- La falla PHP di ottobre 2026, in parole semplici: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) è un difetto di PHP stesso, quindi ogni sito PHP è coinvolto, inclusi Magento, Shopware, WooCommerce e WordPress, per quanto pulito sia il tuo codice.
- Niente panico, ma aggiorna: gli attacchi di massa sono meno probabili del temuto e non devi chiudere il negozio, ma la soluzione è aggiornare PHP sul server (corrette 8.2.35, 8.3.36, 8.4.27, 8.5.12). Non si corregge dal codice del negozio.
- Lo stato del tuo PHP a colpo d’occhio: lo strumento mostra se la tua versione PHP è pubblica e se sembra obsoleta, non corretta o a fine vita, la prima cosa che guarda un aggressore.
- HTTPS e certificato: conferma che il traffico è cifrato e che il certificato è valido, attendibile e non prossimo alla scadenza.
- Header e firewall: verifica HSTS, Content-Security-Policy, la protezione da clickjacking e MIME-sniffing, e se un WAF/CDN come Cloudflare, Sucuri, Akamai, Fastly o CloudFront ti protegge.
- Passivo e privato: una richiesta normale, nessun exploit, non viene salvato nulla, e puoi scaricare il risultato in PDF.
Come uso il controllo di sicurezza del sito?
Digita l’indirizzo del tuo sito (ad esempio example.com) nel campo e premi Controlla. In pochi secondi ottieni un report chiaro con un verdetto a colori e un elenco di punti. Con il pulsante Scarica PDF puoi salvarlo.
Mi dice se sono esposto alla falla PHP di ottobre 2026 (PHP2Shell)?
Ti dà un primo segnale forte: se il tuo server rivela ancora la versione PHP, lo strumento verifica se quella versione è obsoleta, non corretta o a fine vita per la correzione di ottobre 2026. Non può confermare la sfruttabilità, che dipende dalla tua configurazione. Il controllo definitivo è sul server: php -v e il changelog del pacchetto (corrette 8.2.35, 8.3.36, 8.4.27, 8.5.12). Se la versione è nascosta o dietro un firewall, lo strumento non può leggerla, quindi controlla sul server.
Il mio PHP è obsoleto, cosa faccio?
Aggiorna PHP a una versione supportata e corretta (8.2.35, 8.3.36, 8.4.27 o 8.5.12). Se usi PHP 8.1 o precedente, passa a un ramo supportato o chiedi all’hosting un pacchetto retroportato, poi riavvia PHP-FPM o Apache. Se il provider gestisce PHP, chiedigli di applicare l’aggiornamento di ottobre 2026. È la misura più efficace.
Domande Frequenti
È uno scanner di vulnerabilità?
No. Non invia mai exploit e non tenta mai di attivare una vulnerabilità. Legge solo gli header di risposta HTTP e il certificato TLS che ogni browser già riceve, e li spiega. Per una verifica definitiva di una falla specifica come PHP2Shell, segui l’advisory ufficiale e testa sul server.
Devo mettere il negozio offline per PHP2Shell?
Secondo l’aggiornamento di Sansec del 22 ottobre, no. Lo sfruttamento di massa è meno probabile del temuto e gli exploit pubblici non funzionano contro un’installazione PHP normale. La cosa giusta è aggiornare PHP a una versione corretta, non chiudere il negozio.
Lo strumento non legge la mia versione PHP, è un male?
Di solito è il contrario. Molti server nascondono la versione con expose_php=Off o stanno dietro un firewall che blocca le richieste automatizzate, entrambe cose positive per la sicurezza. Se la versione non è leggibile dall’esterno, confermala sul server con php -v.
Il mio PHP risulta a fine vita, e ora?
PHP 8.1 e precedenti non ricevono più aggiornamenti di sicurezza ufficiali (al 2026) e non c’è una correzione ufficiale della falla di ottobre 2026 per quei rami. Passa a un ramo supportato (8.2 o successivo) o chiedi all’hosting un pacchetto retroportato. Usare una versione a fine vita lascia aperte falle note, è la cosa più importante.