Sito cambiato

[cralasa]

Buonasera. Mi sono accorto oggi che chi visita il mio sito ne visualizza uno diverso, che sembra sempre in hosting su Altervista, in pratica nella home page appare la versione testuale di questo frequencyplansatellites.altervista.org
L'ultima modifica al sito l'ho fatta il 19/08/2026 (ho verificato da phpmyadmin). Ho provato a dare un'occhiata al file htaccess ma non mi sembra ci sia nulla di strano.
Ho trovato delle cartelle create il 21/08/2026 e sembra facciano riferimento a wordpress, ma io uso spip e non ho fatto modifiche alla struttura di recente.
Nel frattempo ho attivato l'autenticazione a 2 fattori e cambiato password, ma anche essere stato hackerato mi torna strano, è il sito di un circolo aziendale, non vendiamo nulla, non conservo dati di nessun genere, non ho attivato le pubblicità e accedo al db tranquillamente.
Cosa potrebbe essere successo?

[alemoppo]

Più che sito hackerato, mi pare un problema di HTTPS: visitando il sito in "http", appare come te lo ricordavi tu?



Purtroppo non conosco SPIP, volendo posso informarmi, ma ha una pagina di amministrazione? Funziona?
Forse dovresti solo configurare di usare tutti gli URL con HTTPS: vedo ad esempio l'immagine del satellite inclusa in HTTP:

<div class="widget"><img class="align-center img-" title="" src="http://frequencyplansatellites.altervista.org/alterpages/measatf-ipstar.png#gallery" alt="" /></div>

Una cosa che però mi confonde è che dal codice, pare tu abbia dei tag del vecchio AlterPages:

<link href="https://it.altervista.org/css/alterpages/layout.css" rel="stylesheet" type="text/css" media="screen" />
...
<script type="text/javascript" src="https://it.altervista.org/alterpages/common.php"></script>
...
<script src="https://it.altervista.org/alterpages/common.php"></script>

Non mi è chiarissimo quindi quale configurazione hai attualmente.

Ciao!

[cralasa]

Anche andando in http semplice appare il sito con il satellite, il mio avrebbe questo aspetto (l'ho recuparato da Internet Archive):


La pagina di amministrazione Spip ce l'ha, ma se provo a raggiungerla (https://cralasa.altervista.org/ecrire/) ricevo HTTP ERROR 500.

Ho fatto caso adesso che il file index.php non è quello che genera Spip ma fa proprio riferimento al sito con il satellite che hai postato sopra, non ho idea di cosa possa essere successo.
Ho visto che ci sarebbe a disposizione il backup dello spazio web al 21/07, potrebbe valere la pena ripristinarlo e vedere cosa succede?

[alemoppo]

Sì assolutamente, ripristina il backup e vediamo se torna il tuo sito.

Poi vediamo il da farsi.

Se fosse stato un hacker, oltre a cambiare password + autenticazione a 2 fattori, controlla sul sito che non ci sia un file .php sospetto che un malintenzionato possa usare per continuare a modificare il tuo sito.

Ciao!

[GraphOGLRisorse]

Salve,
non penso sia stato un hacker, infatti i vari link nella home (quella con il satellite) fanno riferimento al sito di frequencyplansatellites.altervista.org. Motivo per cui le risorse CSS non vengono caricate accedendo in cralasa.altervista.org.

In pratica viene caricato il sito nel dominio frequencyplansatellites.altervista.org anche nel dominio cralasa.altervista.org (e non è un redirect).

Penso che sia più un disguido lato AltrVista. Altrimenti si dovrebbe pensar mele dell'utente frequencyplansatellites (che senso avrebbe che un hacker faccia caricare il sito di un utente nel dominio di un altro, per giunta, entrambi ospitati su altervista?).

Cordiali saluti.

[alemoppo]

Ma per caso, frequencyplansatellites.altervista.org è tuo ?
Non vorrei tu avessi caricato l'index da quel sito al tuo, involontariamente.

Ciao!

[cralasa]

Ho appena provato e ricevo l'errore "Errore scompattazione backup", sia cercando di ripristinare il solo spazio web che entrambi (spazio e db). Che faccio?

[cralasa]

Salve,
non penso sia stato un hacker, infatti i vari link nella home (quella con il satellite) fanno riferimento al sito di frequencyplansatellites.altervista.org. Motivo per cui le risorse CSS non vengono caricate accedendo in cralasa.altervista.org.

In pratica viene caricato il sito nel dominio frequencyplansatellites.altervista.org anche nel dominio cralasa.altervista.org (e non è un redirect).

Penso che sia più un disguido lato AltrVista. Altrimenti si dovrebbe pensar mele dell'utente frequencyplansatellites (che senso avrebbe che un hacker faccia caricare il sito di un utente nel dominio di un altro, per giunta, entrambi ospitati su altervista?).

Cordiali saluti.

No infatti, l'hacker è un'ipotesi azzardata a cui sinceramente non credo. A parte che non avrebbe senso, poi nessuno lo ha rivendicato, direi più un problema tecnico di qualche genere

[cralasa]

Ma per caso, frequencyplansatellites.altervista.org è tuo ?
Non vorrei tu avessi caricato l'index da quel sito al tuo, involontariamente.

Ciao!

No, cralasa.altervista.org è l'unico che ho.

[alemoppo]

I tecnici mi hanno comunicato che il sito è compromesso: La compromissione è avvenuta il 21 agosto con lo sfruttamento di due CVE del sui framework: CVE-2024-7954, CVE-2023-27372.

Devi quindi ripristinare il backup, cambiare le credenziali e poi aggiornare immediatamente spip, altrimenti il problema si ripeterà.

Ciao!

[cralasa]

I tecnici mi hanno comunicato che il sito è compromesso: La compromissione è avvenuta il 21 agosto con lo sfruttamento di due CVE del sui framework: CVE-2024-7954, CVE-2023-27372.

Devi quindi ripristinare il backup, cambiare le credenziali e poi aggiornare immediatamente spip, altrimenti il problema si ripeterà.

Ciao!

Niente, non riesco a ripristinare il backup ne dello spazio ne del db, continua a dare errore scompattazione, a parte mettere un cartello di sito down non so che fare...

Grazie mill