Bonifica di un sito Joomla 3 compromesso: analisi di un caso
- Joomla
- 1 luglio 2026
Indice dei contenuti
In un intervento descritto su questo blog, il provider aveva rilevato numerosi file PHP malevoli su un sito Joomla 3 e limitato alcune funzioni dell’hosting. Il caso aiuta a capire perché la bonifica debba andare oltre la prima segnalazione, senza trasformare i nomi dei file in criteri universali di diagnosi.
Per le priorità iniziali consulta la guida su sito hackerato: cosa fare subito e quali errori evitare. Qui distinguiamo i riscontri del caso dai criteri generali per pianificare un recupero.
Quali elementi erano stati riscontrati sul sito Joomla
Il resoconto riportava il blocco dell’invio di email tramite PHP e delle connessioni in uscita verso servizi esterni. L’analisi aveva individuato webshell camuffate con nomi plausibili, tra cui cache.php, in percorsi insoliti e duplicati.
Una webshell può permettere operazioni sul server attraverso richieste web. Nel caso descritto, la valutazione riguardava i file analizzati: un file chiamato cache.php o una directory duplicata non sono, da soli, una prova di malware.
Lo stesso vale per codice offuscato o per funzioni come base64_decode: occorre esaminarne uso, provenienza e contesto. La lettura del codice sospetto va svolta senza eseguirlo.
Come definire il perimetro prima della bonifica
Una lista di file fornita dall’hosting è un punto di partenza. Vanno verificati anche core, estensioni, template, override, dati e account privilegiati. Se esistono altri siti nello stesso account, il provider deve aiutare a valutare il perimetro condiviso.
Il resoconto disponibile non documenta una causa iniziale accertata, tempi di recupero o risultati delle singole verifiche. Non è quindi corretto attribuire l’incidente a una specifica estensione o presentare una sequenza standard come cronologia completa dell’intervento.
La guida su Joomla 3 compromesso: segnali, contenimento e recupero approfondisce il metodo di indagine e la distinzione tra evidenze e ipotesi.
Quali criteri usare per il recupero di Joomla compromesso
La tabella seguente è una traccia di valutazione, non il verbale delle operazioni eseguite nel caso.
| Fase | Criterio da verificare |
|---|---|
| Contenimento | Limitare le funzioni coinvolte coordinandosi con il provider. |
| Conservazione | Separare la copia compromessa dai backup destinati al ripristino. |
| Analisi dei file | Identificare modifiche malevole senza cancellazioni basate solo sui nomi. |
| Ripristino | Usare pacchetti attendibili e controllare anche i file aggiunti. |
| Estensioni e dati | Verificare compatibilità, contenuti da recuperare e personalizzazioni. |
| Accessi | Revocare utenti e credenziali compromessi, coordinando la rotazione dei segreti. |
| Riapertura | Provare le funzioni e gestire le segnalazioni esterne dopo la bonifica. |
Sovrascrivere i file noti non elimina necessariamente quelli aggiunti dall’attaccante. Anche una scansione senza rilevamenti non dimostra da sola l’assenza di accessi nascosti. Il recupero deve considerare come potrebbe essere riprodotta la compromissione.
Perché Joomla 3 richiede anche un piano di migrazione
Joomla 3 è una piattaforma fuori supporto. Ripulire l’installazione non riattiva la manutenzione del progetto e non equivale a metterla su una versione supportata.
Il recupero dell’incidente e la migrazione sono attività collegate, ma richiedono valutazioni distinte. Non sovrapporre i file di una nuova versione principale a quella esistente: database, estensioni, template e personalizzazioni richiedono una procedura compatibile.
Occorre decidere quale base attendibile recuperare, quali dati recenti conservare e come verificare il sistema di destinazione. Il piano deve registrare le limitazioni che impediscono di accertare la causa o l’integrità di alcuni elementi.
Quali verifiche concordare con il provider prima di riattivare i servizi
I blocchi dell’hosting possono riguardare funzioni diverse. Prima di chiederne la rimozione, verifica le pagine inizialmente segnalate, gli accessi amministrativi e le funzioni di invio o integrazione interessate. Concorda quali evidenze servono al provider e chi segue il monitoraggio successivo.
Se il tuo hosting ha limitato un sito Joomla per presenza di malware, posso valutare la bonifica e il percorso di recupero Joomla partendo dai file segnalati, dai log e dai backup effettivamente disponibili.
