Attacchi WordPress e falla PHP2Shell: ciò che HiveProtect ha bloccato sui nostri siti

Il 21 ottobre 2026 sono state rese pubbliche due falle critiche di PHP, note con il nome di PHP2Shell. Su un server vulnerabile possono consentire di prendere il controllo del motore che fa funzionare WordPress. I robot non hanno aspettato l’annuncio ufficiale: fin dal 18 ottobre i nostri stessi siti ricevevano attacchi WordPress ricalcati sul modello di questa combinazione. HiveProtect li ha fermati tutti.

Proteggiamo i nostri stessi siti WordPress con HiveProtect. Abbiamo quindi aperto i nostri log e fatto il conto: ecco la tipologia degli attacchi WordPress che abbiamo ricevuto, ciò che HiveProtect ha bloccato, e come. Perché le nostre regole restino efficaci, non ne pubblichiamo né le soglie né le firme.

Attacchi WordPress: oltre 448.000 richieste bloccate in 3 giorni

Dal 20 al 23 ottobre, mentre PHP2Shell era al centro dell’attualità, i nostri siti protetti da HiveProtect hanno bloccato più di 448.000 richieste. Più di 425.000 sono state scartate prima ancora di raggiungere i nostri server, da regole di filtraggio poste a monte per alleggerirli. Il resto è arrivato fino ai nostri server, dove HiveProtect ha preso il testimone.

Su una settimana intera, dal 16 al 23 ottobre, HiveProtect ha fermato sui nostri server 46.325 richieste, ossia più di 6.600 al giorno. Non si tratta di visitatori capitati per sbaglio: 36.293 provenivano da attaccanti già bannati da HiveProtect, quasi tutte respinte dal server web stesso, prima ancora che PHP si avviasse; 8.928 provenivano da indirizzi segnalati dall’elenco condiviso HiveShield; e 1.104 erano attacchi rilevati nella richiesta stessa dal firewall.

Questa è solo la parte visibile. In un mese i nostri siti hanno anche risposto «pagina non trovata» più di 7.800 volte a visitatori esterni, provenienti da più di 3.000 indirizzi IP: veri lettori finiti su un link obsoleto, ma anche robot che provano le pagine una per una per individuare un sito poco protetto.

Le sette famiglie di attacchi fermati da HiveProtect

In 72 ore, dal 19 al 22 ottobre, HiveProtect ha smascherato e segnalato più di 350 indirizzi attaccanti sui nostri siti. Lo schema qui sotto classifica per tipo le loro 403 segnalazioni; dietro queste segnalazioni distinguiamo sette famiglie di attacchi.

1. Gli esploratori: fare l’inventario del sito

La maggior parte degli attacchi WordPress inizia con un’esplorazione, quella che gli specialisti chiamano ricognizione. Il robot richiede decine di pagine che non esistono, o file specifici di questo o quel plugin, per sapere che cosa è installato e in quale versione.

Come lo ferma HiveProtect: un visitatore umano non richiede un’intera serie di pagine inesistenti. A ottobre abbiamo aggiunto a HiveProtect una regola dedicata a questa scansione. Testata su un mese di traffico reale prima della messa in servizio, avrebbe escluso 48 indirizzi IP, di cui 29 che nessun’altra regola aveva ancora individuato, senza colpire né un visitatore, né un cliente, né il robot di un motore di ricerca.

2. La caccia ai file segreti

È la famiglia che ha fatto scattare il maggior numero di allerte: backup dimenticati, file di configurazione, cartelle di strumenti di sviluppo, accessi di amministrazione. Un solo file di questo tipo lasciato nel posto sbagliato può consegnare le chiavi del database.

Come lo ferma HiveProtect: nessun visitatore legittimo ha motivo di richiedere questi file su un sito WordPress. Nel periodo nessuno è stato servito, e gli indirizzi che li richiedevano sono stati bannati non appena la loro intenzione è stata accertata.

3. Il censimento degli account utente

Prima di tentare di indovinare una password, bisogna conoscere un nome utente. In 72 ore abbiamo rilevato 777 richieste destinate a elencare gli account dei nostri siti. Una delle campagne era particolarmente organizzata: sedici ondate successive, da due a quattro indirizzi IP alla volta, situati in paesi diversi e camuffati da browser recenti.

Come lo ferma HiveProtect: in questa campagna ogni indirizzo è stato respinto e bannato fin dalla sua prima richiesta rivolta agli account; le sue richieste successive si sono scontrate con il server web stesso. Risultato: nessun nome di account ottenuto, e i cinquanta indirizzi della campagna sono stati condivisi con i nostri altri siti.

4. La ricerca di backdoor

Alcuni robot cercano la traccia di un’intrusione precedente, per esempio un file dannoso depositato da un altro attaccante e rimasto al suo posto. Su un sito già compromesso, questo file dà loro accesso diretto ai comandi.

Come lo ferma HiveProtect: su un sito sano questi file non esistono; richiederli tradisce l’intenzione, e l’indirizzo viene escluso prima che possa andare oltre.

5. I tentativi di uscire dalla cartella del sito

È la famiglia legata all’attualità. Una falla di WordPress permetteva di costringere un sito a caricare un file situato altrove sul server; combinata con PHP2Shell, poteva servire a eseguire codice. Da metà settembre abbiamo contato 4.220 richieste di questo tipo sui nostri siti, inviate da 47 indirizzi. Nessuna è stata servita.

Come lo ferma HiveProtect: un indirizzo web non deve uscire dalla cartella del sito per andare a cercare altri file sul server. Il 18 ottobre HiveProtect ha fermato l’attacco ricalcato sul modello di PHP2Shell fin dal primo tentativo, poi ne ha bannato l’autore.

6. Gli impostori

Molti robot mentono sulla propria identità: si presentano come un browser, come un grande motore di ricerca o come un servizio di intelligenza artificiale. Altri provengono da server noleggiati a ore in data center, un profilo raro tra i veri lettori.

Come lo ferma HiveProtect: non si fida di ciò che il visitatore dichiara. Verifica i robot che affermano di appartenere a un grande motore di ricerca e tiene conto dell’origine reale della connessione. Nel periodo sei di questi server sono stati esclusi fin dalla prima richiesta.

7. Gli assalti coordinati

Alcune campagne sono orchestrate: più indirizzi colpiscono un sito nello stesso momento, poi l’operazione passa al sito successivo, qualche minuto o qualche ora più tardi, per passare inosservata.

Come lo ferma HiveProtect: è il compito di HiveShield, l’elenco condiviso di HiveProtect. Un indirizzo colto in flagrante su un sito viene segnalato, poi respinto sugli altri siti protetti: in 7 giorni questo elenco ha bloccato da solo 8.928 richieste sui nostri server.

E i tentativi di indovinare le password?

Una famiglia è rimasta discreta: i tentativi di indovinare le password. Le due raffiche individuate il 17 ottobre sono state respinte senza che alcun accesso andasse a buon fine.

PHP2Shell: come HiveProtect ha interrotto l’attacco

Da sola, la falla PHP2Shell è difficile da sfruttare. Il metodo più semplice consiste nel combinarla con una falla di inclusione di file, come quella di WordPress citata sopra. I nostri siti hanno ricevuto proprio un attacco di questo tipo, e HiveProtect lo ha interrotto su tre livelli:

• Fin dal primo tentativo: la richiesta di inclusione viene respinta dal firewall HiveProtect, prima che WordPress la elabori.
• Al livello più vicino al server: l’attaccante viene bannato subito. Le sue richieste successive vengono respinte dal server web stesso e non raggiungono nemmeno più PHP: l’attacco non può più andare a buon fine.
• Su tutti i siti: il suo indirizzo viene segnalato a HiveShield, che lo condivide con gli altri siti protetti.

Risultato: nessuno di questi tentativi è andato a buon fine sui nostri siti. È tutta la forza di una difesa in profondità: più barriere, ciascuna in grado di fermare l’attaccante.

Non è la prima volta che PHP viene preso di mira: avevamo già raccontato come HiveProtect ha bloccato l’attacco CVE-2024-4577.

Perché questi attacchi sono falliti: cosa fa HiveProtect

• Respinge presto: più presto viene fermata una richiesta ostile, meno possibilità ha di raggiungere una falla, già nota o non ancora.
• Banna in modo duraturo: un indirizzo che ha mostrato la propria intenzione non ha diritto a una seconda possibilità, e il ban si applica il più vicino possibile al server.
• Condivide l’informazione: grazie a HiveShield, ciò che un sito apprende giova rapidamente a tutti gli altri.
• Smaschera gli impostori: robot falsi e connessioni sospette vengono riconosciuti, qualunque cosa dichiarino.

Tutte queste protezioni sono descritte nel dettaglio nelle funzionalità di HiveProtect, e il nostro articolo «Gli attacchi di WordPress non dormono mai» mostra come queste campagne si susseguono ogni giorno.

Cosa puoi fare fin da oggi

• Installa un firewall WordPress che banni gli attaccanti invece di limitarsi a rallentarli, e che condivida ciò che apprende.
• Mantieni aggiornati PHP, WordPress, il tuo tema e i tuoi plugin, ed elimina i plugin che non usi più.
• Non lasciare alcun backup né alcun file di configurazione in una cartella accessibile dal web.
• Usa un indirizzo di accesso personalizzato e password uniche.

Per installare e configurare HiveProtect, la documentazione e il centro assistenza descrivono ogni passaggio.

In sintesi

Mentre PHP2Shell era al centro dell’attualità, i nostri siti protetti da HiveProtect hanno bloccato più di 448.000 richieste in 3 giorni, e HiveProtect ne ha fermate più di 46.000 sui nostri server in una settimana, suddivise in sette famiglie di attacchi. Di fronte a PHP2Shell come a tutto il resto, la sua logica non cambia: respingere presto, bannare definitivamente e condividere l’informazione.

Il tuo sito riceve gli stessi attacchi WordPress, che tu li veda o no. Scopri le formule HiveProtect e proteggilo fin da oggi.