Aggiornare PHP: cosa è successo e cosa devi fare
Aggiornare PHP del sito è la cosa da fare questa settimana. Il 21 ottobre 2026 PHP ha corretto d'urgenza due falle critiche che, secondo l'agenzia americana per la sicurezza informatica (CISA), gli attaccanti stanno già usando; e il ramo PHP 8.2 smette di ricevere correzioni il 31 dicembre 2026 (php.net, catalogo CISA). Se hai un sito WordPress o un negozio online su un hosting condiviso, non tocchi codice: controlli su che versione gira il sito e, se serve, la cambi dal pannello o la chiedi all'hosting.
Aggiornato al 7 novembre 2026, con i fatti del 21, 23 e 26 ottobre 2026.
PHP, se non lo sai, è il linguaggio che gira sul server e costruisce le pagine del sito ogni volta che qualcuno le apre: WordPress ne ha bisogno per funzionare (requisiti ufficiali). In pratica: leggi il numero completo della versione, scegli un ramo ancora seguito (il ramo sono i primi due numeri: 8.3, 8.4 o 8.5) e, se il numero è più basso di quello corretto, scrivi all'hosting.
Cosa è successo a PHP a ottobre 2026
Il 21 ottobre il gruppo che sviluppa PHP ha pubblicato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, con un avviso che chiede di aggiornare subito (archivio delle notizie di php.net). Le falle sono due, CVE-2026-109618 e CVE-2026-109619 (il CVE è il codice con cui ogni falla viene registrata nell'elenco pubblico): permettono di far eseguire comandi sul server da lontano, anche senza password, e il rischio più alto è con mod_php, cioè quando PHP gira dentro il server web Apache. Rimedi completi non ce ne sono: per php.net, «updating is the only safe choice», aggiornare è l'unica scelta sicura.
Il 26 ottobre la CISA le ha messe nel suo catalogo delle vulnerabilità già sfruttate. Secondo BleepingComputer, nel fine settimana del 24 e 25 ottobre un ricercatore ha registrato attacchi riusciti sui suoi server esca (server lasciati apposta come trappola) con PHP 8.4.26: il ramo giusto, ma senza l'ultima correzione. «PHP2Shell» è il nome con cui si indicano le due falle insieme.
Il 23 ottobre php.net ha segnalato una terza falla, CVE-2026-115560, che giudica improbabile: serve una configurazione insolita, e se ne occupa chi amministra il server.
Perché aggiornare PHP riguarda anche il tuo sito
Perché PHP è dappertutto: lo usa il 69,1% dei siti di cui si conosce il linguaggio del server (W3Techs, dato di novembre 2026). Il bar di Catania con WordPress, il negozio di ceramiche con WooCommerce: sotto c'è PHP. WordPress consiglia PHP 8.3 o successivo e avverte che le versioni vecchie possono esporre il sito a falle (requisiti di WordPress, verificato a novembre 2026).
Due cose che confondono molti. La prima: aggiornare WordPress, il tema o i plugin non aggiorna PHP. Da WordPress la versione la vedi soltanto, e per le impostazioni del server la documentazione di WordPress rimanda all'hosting. La seconda: la differenza fra ramo e correzione. Nel numero 8.4.27, «8.4» è il ramo e «27» la correzione. Su un hosting condiviso tu scegli il ramo dal pannello, la correzione la installa l'hosting. Con un server tuo (un VPS) aggiorni tu o il tuo tecnico.
Un PHP vecchio è uno degli errori che affossano un sito meno visibili: il sito sembra andare bene finché qualcuno non entra dalla porta lasciata aperta. E non succede solo ai siti: leggi cosa è successo con l'attacco hacker ai frigoriferi.
Come vedere la versione PHP del tuo sito
Da WordPress
Nella bacheca apri Strumenti, poi Salute del sito (in inglese Site Health). Nella scheda Stato WordPress ti avvisa se la versione di PHP è vecchia; nella scheda Informazioni apri la sezione Server e cerca la riga Versione di PHP. I nomi sono quelli della traduzione italiana ufficiale di WordPress (verificato a novembre 2026).
Dal pannello dell'hosting
Su Aruba la versione si gestisce in Gestione PHP, lo stesso strumento che serve a cambiarla: da lì apri anche phpinfo(), la pagina con tutti i dati di PHP, compresa la versione in uso (guida Aruba, verificato a novembre 2026). Su Register, con il vecchio Hosting Linux: Area Clienti, clic sul dominio, icona Hosting Linux, Gestisci versione PHP/Perl; la versione in uso è sulla destra (guida Register, verificato a novembre 2026). Con cPanel (il pannello usato da molti hosting) la trovi in Select PHP Version o MultiPHP Manager.
Come leggere il numero
La proprietaria di un B&B di Siracusa apre il pannello e legge 8.4.26. Il ramo 8.4 è ancora seguito, ma la correzione 26 è quella prima del 21 ottobre. Ecco il numero minimo con le correzioni di ottobre (php.net, verificato a novembre 2026):
| Ramo (lo scegli tu) | Correzione minima (la installa l'hosting) | Se il tuo numero è più basso |
|---|---|---|
| 8.5 | 8.5.12 | Scrivi all'hosting |
| 8.4 | 8.4.27 | Scrivi all'hosting |
| 8.3 | 8.3.36 | Scrivi all'hosting |
| 8.2 | 8.2.35 | Scrivi all'hosting e passa a un ramo più nuovo prima del 31/12/2026 |
| 8.1 o più vecchio | Nessuna | Cambia ramo: non riceve più correzioni |
Per i rami 8.1 e precedenti php.net non pubblica versioni corrette: la 8.1 è a fine vita dal 31 dicembre 2025 (php.net, versioni a fine vita). Non è un caso raro: fra i siti in PHP, il 26,0% gira ancora su PHP 7 (W3Techs, dato di novembre 2026), senza correzioni da anni.
Quale versione PHP scegliere e fino a quando dura
Ogni ramo riceve due anni di supporto completo e altri due di sole correzioni di sicurezza, poi basta (php.net, versioni supportate, verificato a novembre 2026):
| Ramo | Correzioni di sicurezza fino al | A novembre 2026 |
|---|---|---|
| 8.2 | 31/12/2026 | Solo sicurezza, meno di due mesi |
| 8.3 | 31/12/2027 | Solo sicurezza |
| 8.4 | 31/12/2028 | Supporto completo |
| 8.5 | 31/12/2029 | Supporto completo |
La scelta pratica: almeno 8.3, che è il minimo consigliato da WordPress; meglio 8.4 se tema e plugin la reggono, perché ti dà un anno di correzioni in più. La 8.5, la più nuova, va bene se chi ha fatto il sito conferma che funziona. La 8.6 è ancora in prova, con l'uscita prevista per il 19 novembre 2026 (php.net): fino ad allora non sceglierla per un sito vero.
Come aggiornare PHP su Aruba, Register, Netsons e SiteGround
Passi presi dalle guide ufficiali di ogni hosting. Prima di cliccare fai il backup (sezione dopo).
Aruba (Hosting Linux, WordPress, servizi gestiti e Hyper)
- 1. Entra nel pannello di controllo di Aruba.
- 2. Nel menu a sinistra scegli il servizio, per esempio Hosting Linux, poi Strumenti e impostazioni.
- 3. Clicca Gestisci accanto a Gestione PHP.
- 4. Scegli la versione e clicca Salva.
La modifica ha effetto subito e non tocca file e dati; se il sito dà problemi, dallo stesso punto rimetti la versione di prima (guida Aruba, verificato a novembre 2026).
Register.it (hosting con cPanel)
- 1. Entra in cPanel e clicca l'icona Select PHP Version.
- 2. Scegli la versione dal menu in alto a sinistra.
- 3. Clicca Set as current, poi Save in basso a sinistra.
La versione vale per tutti i siti dell'hosting (guida Register, verificato a novembre 2026; l'esempio della pagina usa la vecchia PHP 7.0, tu scegli 8.3 o più nuova). Attenzione al servizio aggiuntivo PHP Full Versions: serve a continuare a usare versioni di PHP non più supportate (pagina del servizio). Quindi non è la soluzione: se lo attivi, stai tenendo apposta un PHP che non riceve più correzioni.
Netsons
Due strade, tutte e due dentro cPanel (guida Netsons, verificato a novembre 2026). Si parte sempre da Area Clienti, Hosting, Gestione hosting, Accedi a cPanel.
- Per un solo dominio: MultiPHP Manager, seleziona il dominio, scegli la versione nella colonna di destra e clicca Applica (Apply).
- Per tutto l'account: PHP Selector Expert, scegli PHP Selector Expert e Conferma scelta, poi Vai a PHP Selector Expert; accanto a Current PHP Version scegli la versione e clicca Set as current.
Per tornare indietro ripeti gli stessi passi.
SiteGround
La pagina ufficiale è in inglese e qui uso i suoi nomi: nel pannello in italiano possono essere tradotti (guida SiteGround, verificato a novembre 2026).
- 1. Scheda Websites, poi Site Tools del sito.
- 2. Devs, poi PHP Manager.
- 3. Icona a matita accanto a Change PHP version, scegli Managed PHP oppure Change PHP Version Manually, poi Confirm.
Con Managed PHP, attivo di partenza sugli account nuovi, SiteGround aggiorna la versione da sé. Se la scegli a mano, non la aggiorna più: il controllo del numero tocca a te.
Se il tuo hosting non è qui
Nel pannello cerca una voce come Versione PHP, Gestione PHP, PHP Manager o Select PHP Version. Se non la trovi, manda il messaggio più sotto.
Prima e dopo: come non rompere il sito
Un ramo nuovo può bloccare un tema o un plugin vecchio. Prima del cambio, come consiglia Register (pagina vecchia, ma i consigli valgono):
- Backup dei file, scaricandoli via FTP o dal gestore dei file del pannello, e del database, esportandolo da phpMyAdmin, lo strumento del pannello che gestisce il database.
- Una prova su una copia del sito, se l'hosting te la offre.
- Tema e plugin compatibili con la versione che scegli: lo chiede anche Netsons.
Subito dopo, la parrucchiera di Bologna apre la home, una pagina interna e il modulo dei contatti, prova a prenotare ed entra nella bacheca di WordPress. Se hai un e-commerce, fai un ordine di prova fino al pagamento.
Se qualcosa si rompe, torna al ramo di prima, come prevedono Aruba e Netsons. Ma è un ponte: chiedi a chi ha fatto il sito di sistemare il tema o il plugin, perché restare su 8.2 dopo il 31 dicembre vuol dire restare senza correzioni. Se il sito l'hai fatto da solo con l'aiuto dell'IA, segna la versione PHP fra i controlli della guida per creare il sito con l'IA.
Se devi mettere il sito offline: usa il codice 503
Se per aggiornare devi spegnere il sito per qualche ora, John Mueller di Google, il 21 ottobre su Bluesky, ha consigliato di rispondere con il codice 503 (servizio non disponibile per ora) invece di lasciare pagine che non rispondono o errori 404 (pagina non trovata) e 500 (errore del server), come riporta Search Engine Roundtable.
La pagina di Google sulle chiusure temporanee aggiunge che il 503 va bene per poco, al massimo qualche giorno, e non va messo anche sul file robots.txt (quello che dice a Google cosa può leggere); niente 404, 410 o noindex, che tolgono le pagine dalla Ricerca. Per un negozio online è meglio spegnere il carrello che chiudere tutto. Il 503 di solito lo imposta l'hosting o il tecnico: chiedi «una pagina di manutenzione con codice 503».
Quando il sito torna su, controlla che Google veda di nuovo le pagine con la ricerca site: che trovi in come farsi trovare su Google partendo da zero.
Se non sai farlo: il messaggio da mandare all'hosting
Se non vuoi toccare il pannello, scrivi all'assistenza dell'hosting o a chi ti gestisce il sito. Copia questo testo e cambia il dominio:
Non dare per scontato che l'hosting l'abbia già fatto: fatti dire il numero.
Domande frequenti su come aggiornare PHP
Come vedo la versione PHP del mio sito WordPress?
Nella bacheca di WordPress apri Strumenti, poi Salute del sito: nella scheda Informazioni, sezione Server, c'è la riga Versione di PHP. In alternativa guarda nel pannello dell'hosting. Leggi il numero completo, come 8.4.27, non solo il ramo 8.4.
Come si aggiorna PHP su WordPress?
Non da WordPress: aggiornare WordPress, il tema o i plugin non cambia la versione di PHP. Si cambia dal pannello dell'hosting, scegliendo il ramo (8.3, 8.4 o 8.5), oppure chiedendolo all'assistenza, dopo un backup di file e database.
Come aggiornare PHP su Aruba?
Nel pannello di controllo di Aruba scegli il servizio, per esempio Hosting Linux, poi Strumenti e impostazioni; clicca Gestisci accanto a Gestione PHP, scegli la versione e clicca Salva. Secondo la guida ufficiale di Aruba la modifica ha effetto subito e, se il sito dà problemi, puoi rimettere la versione precedente (verificato a novembre 2026).
Come aggiornare PHP su Register o Netsons?
Su Register con cPanel: icona Select PHP Version, scegli la versione, poi Set as current e Save; vale per tutto l'hosting. Su Netsons, da cPanel: MultiPHP Manager per un solo dominio, PHP Selector Expert per tutto l'account (verificato a novembre 2026).
Qual è l'ultima versione di PHP?
A novembre 2026 il ramo più nuovo è PHP 8.5, aggiornato alla 8.5.12 il 21 ottobre 2026. La 8.6 è ancora in prova, con l'uscita prevista per il 19 novembre 2026. Per un sito WordPress la versione consigliata è almeno la 8.3.
Cos'è la versione PHP di un sito?
È la versione del linguaggio che gira sul server dell'hosting e fa funzionare il sito. Il ramo (per esempio 8.4) lo scegli tu dal pannello, la correzione (per esempio .27) la installa l'hosting. Ogni ramo riceve correzioni per circa quattro anni: PHP 8.2 si ferma il 31 dicembre 2026.
Cosa fare oggi
Apri Salute del sito o la gestione PHP del pannello, annota il numero completo e confrontalo con la tabella. Se è più basso della correzione del tuo ramo, o se sei su 8.2 o prima, manda oggi il messaggio all'hosting.
Io i siti li scrivo a mano in PHP, senza WordPress: le demo sono nei progetti. Se ti blocchi su un passo, scrivimi.