Falla PHP: Monaco ha spento i siti

La sera di mercoledì 21 ottobre 2026, chi provava ad aprire il sito del Governo Principesco, quello del Palazzo, quello dell'Agence Monégasque de Sécurité Numérique (AMSN) o quello della Mairie de Monaco trovava una pagina di manutenzione. Nessuno era stato violato, almeno per quanto è stato dichiarato. La Direction des Systèmes d'Information et des Infrastructures (DISI), d'intesa con l'AMSN, aveva deciso di interrompere volontariamente l'accesso dall'esterno, perché erano appena state rese pubbliche due falle critiche in PHP, il linguaggio su cui gira una quota enorme dei siti web nel mondo.

Se il sito della vostra azienda si basa su WordPress, WooCommerce, PrestaShop, Magento, Drupal, Laravel o codice PHP su misura, questa storia riguarda voi quanto il Principato. In questo articolo spieghiamo cosa è successo, cosa sono queste falle in parole semplici e le poche cose da fare prima della fine della settimana.

Cosa è successo a Monaco

La sospensione è stata preventiva. Il Governo ha dichiarato che i suoi siti sarebbero rimasti irraggiungibili dall'esterno fino al completamento delle verifiche di sicurezza e degli aggiornamenti, pur restando consultabili dalle postazioni interne dell'amministrazione. La Mairie ha confermato lo stesso giorno lo spegnimento dei propri siti, che ha reso indisponibili anche quelli del Jardin Exotique, dell'Académie Rainier III, dell'Espace Léo Ferré e del magazine online Monaco Vivre Ma Ville. Ha rassicurato i residenti: gli appuntamenti già fissati allo Stato Civile restavano validi e le richieste di documenti inviate prima dell'interruzione erano regolarmente registrate.

Monaco non è stato un caso isolato. Il Ministero dell'Interno francese ha messo in manutenzione preventiva i siti delle prefetture, l'aeroporto Nice Côte d'Azur e il comune di Antibes hanno chiuso i servizi online, e anche Paesi Bassi, Finlandia e Germania hanno staccato siti pubblici. Il CERT-FR francese ha pubblicato l'allerta CERTFR-2026-ALE-014 il 21 ottobre e l'ha aggiornata il giorno dopo segnalando di essere a conoscenza di proof-of-concept funzionanti.

Il 24 ottobre, al momento della nostra verifica, i principali siti del Governo e della Mairie si caricavano di nuovo, ma non abbiamo trovato alcun comunicato che confermi il ripristino completo. Consideratelo un segnale incoraggiante, non la fine della vicenda.

Cos'è davvero PHP2Shell

Le due falle sono identificate come CVE-2026-109618 e CVE-2026-109619 e sono state soprannominate « PHP2Shell ». Entrambe hanno un punteggio di 9,2 su 10 nella scala CVSS 4.0 ed entrambe consentono l'esecuzione di codice da remoto senza autenticazione. In pratica, chi riesce a inviare richieste web a un server vulnerabile potrebbe eseguirvi codice proprio, leggerne i contenuti e usarlo come testa di ponte.

Tre dettagli contano per un imprenditore:

• Il difetto è in PHP stesso, non in un plugin o in un tema. Aggiornare WordPress, un plugin o un tema non serve a nulla se il PHP sottostante resta vecchio. Risultano interessate tutte le versioni fino a PHP 5.4.
• Le correzioni esistono, ma solo per i rami supportati. PHP ha pubblicato il 21 ottobre le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP 8.1 e precedenti non ricevono più aggiornamenti ufficiali: i siti su quelle versioni dipendono da un backport del fornitore o devono migrare a un ramo attuale.
• La falla è già sfruttata. La società Patchstack ha segnalato incidenti di sfruttamento attivo riportati dagli hosting partner già il giorno della divulgazione, e la rete di honeypot di Amazon ha registrato un tentativo quattro giorni prima dell'annuncio pubblico. Non è teoria.

Le falle sono state scoperte con l'aiuto di strumenti di ricerca assistiti dall'IA, uno dei motivi per cui la divulgazione è arrivata con così poco preavviso. PHP ha poi segnalato un ulteriore problema, di gravità minore, ancora privo di correzione al momento in cui scriviamo: aspettatevi altri aggiornamenti nelle prossime settimane.

Perché la questione va ben oltre il Governo

Le piattaforme hosted come Shopify, Squarespace e Wix aggiornano la propria infrastruttura, e i loro clienti non devono installare nulla. Quasi tutto il resto è diverso. Il sito vetrina WordPress di uno studio legale monegasco, un negozio WooCommerce nel Carré d'Or, uno store PrestaShop, il portale annunci di un'agenzia immobiliare, il motore di prenotazione di un hotel, un intranet, un minisito dimenticato di un evento del 2022, una copia di staging rimasta online: tutti fanno girare PHP da qualche parte, e ognuno è un'installazione separata da controllare.

La parte scomoda è che molti titolari non sanno quale versione di PHP usi il loro sito, né chi debba aggiornarla. In hosting condiviso di norma è il provider a gestire PHP. Su un VPS, un server dedicato o un container tocca a voi o al vostro sviluppatore. Nell'hosting WordPress gestito dipende dal contratto. Se non riuscite a rispondere in una frase, è la prima cosa da sistemare.

Cinque cose da fare questa settimana

1. Scoprite la vostra versione di PHP. In WordPress: Strumenti, poi Salute del sito, scheda Informazioni, sezione Server. Altrove, chiedete per iscritto al vostro hosting o allo sviluppatore. Qualsiasi versione inferiore a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 è esposta.
2. Aggiornate, poi riavviate. Passate alla release corretta del vostro ramo e riavviate PHP-FPM o il server web, così che la nuova versione sia davvero in uso. Prima il backup, dopo il test.
3. Se oggi non potete aggiornare, riducete l'esposizione. Il CERT-FR indica due misure provvisorie: disattivare la funzione upload-progress in php.ini (session.upload_progress.enabled = Off), che mitiga solo una delle due falle, e bloccare o monitorare da vicino le richieste multipart sul firewall. Oppure fate come Monaco: mettete il sito in manutenzione fino alla patch.
4. Abbandonate PHP 8.1 e precedenti. Se il vostro hosting non offre un backport, passare a un ramo supportato è l'unica strada affidabile. Per un vecchio WordPress o PrestaShop può significare prima una verifica di compatibilità.
5. Date per scontato che qualcuno possa essere già entrato. La patch non espelle chi è entrato prima. Esaminate i log di accesso, cercate file o utenti amministratori sconosciuti e cambiate password, chiavi API e token custoditi sul server.

Un buon contratto di manutenzione del sito avrebbe dovuto occuparsi dei punti uno e due per voi il 21 o il 22 ottobre, senza che lo chiedeste. Se non è successo, chiedete perché.

Cosa insegna alle PMI la scelta di Monaco

Spegnere volontariamente il proprio sito sembra una sconfitta. Non lo è. Il Governo ha messo a confronto il costo di qualche giorno di indisponibilità con quello di una compromissione di sistemi che contengono dati dei residenti, e ha scelto la pagina di manutenzione. Un'azienda monegasca che conserva fascicoli clienti, dati di pagamento o corrispondenza riservata dietro un'applicazione PHP deve essere pronta a prendere la stessa decisione, in fretta, e sapere chi è autorizzato a prenderla.

Servono tre cose pronte prima dell'emergenza: un inventario di tutti i siti e le applicazioni che gestite; una pagina di manutenzione e un messaggio di un paragrafo che spieghi ai clienti come raggiungervi per telefono o e-mail nel frattempo; e una persona designata, interna o esterna, con l'autorità e gli accessi per staccare tutto e rimettere tutto in funzione.

Non dimenticate il profilo della protezione dei dati. In base alla legge monegasca n. 1.565, una violazione di dati personali può comportare una notifica all'APDP, che di recente ha ricordato come le notifiche tardive siano in aumento. Se i log fanno pensare a un'intrusione, parlate lo stesso giorno con il vostro consulente per la conformità APDP invece di aspettare la certezza.

La lezione di fondo

PHP2Shell prima o poi sarà corretto ovunque, e poi arriverà la falla successiva. Le aziende che attraversano queste settimane con calma sono quelle che trattano il sito come infrastruttura e non come un progetto concluso il giorno del lancio: un ramo PHP supportato, aggiornamenti di sicurezza automatici dove possibile, un hosting che comunica, un codice moderno costruito da un team che risponde ancora al telefono. Se il vostro sito è stato realizzato anni fa e nessuno ha più toccato il server, è il momento giusto per parlare di hardening WordPress o di una nuova base di sviluppo web.

Se non sapete su cosa gira il vostro sito, o se qualcuno lo ha aggiornato da mercoledì, contattateci: lo verificheremo insieme a voi.