Cosa è successo
Il 21 ottobre 2026, PHP ha pubblicato correzioni per CVE-2026-109618 e CVE-2026-109619, note collettivamente come PHP2Shell. Queste falle possono consentire a un aggressore di eseguire codice su un server web interessato senza autenticarsi. L’avviso ufficiale di PHP descrive le installazioni interessate e gli aggiornamenti. La NSA ha consigliato ai gestori di installare subito le patch e di valutare la disconnessione dei sistemi interessati se non fosse possibile metterli in sicurezza. Una chiusura precauzionale non è, da sola, prova di una violazione. I gestori devono consultare le indicazioni aggiornate dei fornitori, inclusi gli avvisi successivi, senza usare questo articolo come elenco operativo per l’installazione delle patch.
Cosa significa per i tuoi dati
Il rischio immediato riguarda i servizi che usano installazioni PHP vulnerabili e le informazioni a cui tali servizi hanno accesso. Non dimostra che tutta l’archiviazione online sia insicura o che i tuoi file siano stati esposti. Come visitatore non puoi correggere i server di un fornitore. Puoi limitare ciò che carichi, mantenere aggiornato il tuo software e consultare gli avvisi ufficiali di sicurezza del fornitore. Se il tuo account è coinvolto, segui le istruzioni verificate. Evita i link per reimpostare la password nei messaggi inattesi: apri direttamente il servizio. Conserva una copia di backup separata dei file che non puoi permetterti di perdere.
Dove la crittografia aiuta e quali sono i suoi limiti
Cifrare i file sul dispositivo prima di caricarli, mantenendo le chiavi fuori dal server, aiuta a proteggerne il contenuto se vengono rubate le copie archiviate. Non rende innocua ogni compromissione del server: gli aggressori possono ancora vedere metadati, eliminare file o modificare il codice che un’applicazione web invia al browser. Quel codice potrebbe rubare le chiavi durante l’uso dell’applicazione, un rischio descritto nel modello di sicurezza di Proton. Una crittografia robusta richiede anche dispositivi sicuri e software affidabile. I file che restano solo sul tuo dispositivo non vengono esposti da una violazione di un servizio su cui non sono mai stati caricati.
Scegli cosa resta sul tuo dispositivo
Non puoi prevenire ogni falla del software, ma puoi scegliere dove conservare i tuoi file privati. Sealby cifra il contenuto delle casseforti sul tuo dispositivo. Mantieni una cassaforte solo in locale se non vuoi caricarne il contenuto; la sincronizzazione iCloud cifrata è facoltativa e si attiva separatamente per ogni cassaforte nelle Impostazioni. Se attivi la sincronizzazione o crei un backup cifrato, possono esistere copie fuori dal dispositivo. La loro protezione dipende comunque dalla sicurezza delle credenziali di sblocco e della frase di recupero. La crittografia non protegge una cassaforte già sbloccata da chi controlla il dispositivo e non elimina gli originali lasciati in altre applicazioni o servizi cloud.