Una versione di PHP a fine vita continua a funzionare, ed è proprio questo il problema: nulla segnala che non riceve più correzioni di sicurezza. Il 21 ottobre 2026 PHP ha pubblicato in via d'urgenza correzioni per due falle critiche di esecuzione di codice da remoto, e i rami a fine vita non le hanno ricevute ufficialmente. Ecco il calendario da conoscere, cosa cambia concretamente per un sito WordPress e un metodo di migrazione senza rotture.
Il calendario ufficiale
Il progetto PHP mantiene ogni ramo per quattro anni: due anni di supporto attivo (correzioni di bug e di sicurezza), poi due anni di sole correzioni di sicurezza, pubblicate quando servono. Le date di fine cadono ormai tutte il 31 dicembre.
| Ramo | Rilascio | Fine del supporto attivo | Fine delle correzioni di sicurezza | Stato al 27 ottobre 2026 |
|---|---|---|---|---|
| PHP 7.4 | 28 novembre 2019 | 28 novembre 2021 | 28 novembre 2022 | Fine vita (ultima versione 7.4.33) |
| PHP 8.0 | 26 novembre 2020 | 26 novembre 2022 | 26 novembre 2023 | Fine vita (ultima versione 8.0.30) |
| PHP 8.1 | 25 novembre 2021 | 25 novembre 2023 | 31 dicembre 2025 | Fine vita (ultima versione 8.1.34) |
| PHP 8.2 | 8 dicembre 2022 | 31 dicembre 2024 | 31 dicembre 2026 | Solo sicurezza, ancora due mesi |
| PHP 8.3 | 23 novembre 2023 | 31 dicembre 2025 | 31 dicembre 2027 | Solo sicurezza |
| PHP 8.4 | 21 novembre 2024 | 31 dicembre 2026 | 31 dicembre 2028 | Supporto attivo |
| PHP 8.5 | 20 novembre 2025 | 31 dicembre 2027 | 31 dicembre 2029 | Supporto attivo |
Cosa cambia concretamente con il «fine vita»
L'esempio di ottobre 2026
Il 21 ottobre 2026 il team di PHP ha pubblicato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere CVE-2026-109618 e CVE-2026-109619, due falle valutate 9,2 (CVSS 4.0) che consentono l'esecuzione di codice da remoto senza autenticazione. L'avviso di PHP precisa che sono coinvolte tutte le installazioni che servono pagine web (PHP-FPM, modulo Apache, CGI, LiteSpeed…), con un rischio massimo per il modulo Apache. Secondo BleepingComputer, Cloudflare osservava già attacchi prima della pubblicazione delle correzioni.
Per i rami a fine vita l'avviso è netto: PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto. Il team ha pubblicato in via eccezionale backport minimi sotto forma di codice sorgente per 7.4, 8.0 e 8.1, destinati a chi compila PHP da sé. Un sito su un hosting condiviso con PHP 7.4 dipende quindi interamente dal suo hosting, che deve aver applicato questa correzione a mano o tramite un fornitore di supporto esteso.
L'accumulo silenzioso delle falle
Anche senza crisi, il divario cresce in fretta. Dall'ultima versione di PHP 8.1 (8.1.34, pubblicata il 18 dicembre 2025), il ramo 8.2 ha ricevuto nel 2026 quattro versioni di sicurezza prima di quella di ottobre (8.2.31 a maggio, 8.2.32 e 8.2.33 a luglio, 8.2.34 a settembre), che insieme correggono più di venti identificativi CVE secondo il changelog di PHP. Nessuna esiste per 8.1.
| Rischio | Spiegazione | Chi lo subisce |
|---|---|---|
| Falle note non corrette | Le correzioni non vengono più pubblicate per il ramo | Tutti i siti del ramo |
| Sfruttamento facilitato | Le correzioni dei rami mantenuti mostrano dove si trovano le falle | I siti visibili su Internet |
| Plugin che abbandonano la versione | Gli sviluppatori smettono di testare e supportare il ramo | Siti che aggiornano i propri plugin |
| Aggiornamenti di WordPress bloccati | WordPress 7.0 richiede almeno PHP 7.4 | Siti ancora su PHP 7.2 o 7.3 |
| Fine dell'offerta presso l'hosting | Versione rimossa o fatturata come supporto esteso | Siti non migrati |
A che punto sono i siti WordPress
Secondo le statistiche pubbliche di wordpress.org, circa il 33,6% dei siti WordPress che contattano wordpress.org gira su una versione di PHP già a fine vita (8.1 o precedente), di cui il 15,1% su PHP 7.4. Se nulla cambia, PHP 8.2 (23,2%) li raggiungerà il 31 dicembre 2026: più di un sito su due sarebbe allora su una versione senza correzioni ufficiali.
Sul fronte WordPress, la pagina dei requisiti raccomanda PHP 8.3 o successivo, pur indicando che WordPress funziona ancora con PHP 7.4, versione che definisce a fine vita. Le versioni 7.0 e 7.1 di WordPress supportano da PHP 7.4 a 8.5.
Migrare senza rotture
- Verifica la versione attuale: Strumenti, Salute del sito, scheda Informazioni, sezione Server. La Bacheca mostra anche un avviso quando la versione è considerata troppo vecchia.
- Scegli la destinazione: almeno PHP 8.3 (sicurezza fino a fine 2027), oppure 8.4 se il tuo hosting la offre e i tuoi plugin la supportano, per guadagnare due anni di margine.
- Aggiorna tutto prima di cambiare PHP: WordPress, tema e plugin. Le versioni recenti dei plugin sono quelle adattate alle nuove versioni di PHP.
- Prova su una copia (staging): cambia la versione di PHP, attiva
WP_DEBUG_LOGe percorri il sito, l'amministrazione, i moduli, il negozio e le attività pianificate. Leggi il file di log per individuare errori fatali e avvisi di deprecazione. - Sostituisci ciò che blocca: un plugin che provoca un errore fatale su PHP 8.3 e non viene aggiornato da molto tempo è probabilmente abbandonato.
- Passa la produzione dal pannello dell'hosting (selettore della versione PHP), subito dopo un backup completo, poi svuota le cache.
- Tieni d'occhio il log degli errori per qualche giorno, poi disattiva la visualizzazione e la registrazione degli errori di debug in produzione.
Se il tuo hosting non offre una versione mantenuta, è un segnale forte per cambiare hosting.
Con WP Masquerade
WP Masquerade richiede almeno PHP 7.4, come WordPress, e ovviamente non può correggere PHP. Può però limitare ciò che il tuo sito dichiara: la versione Pro gestisce le intestazioni di sicurezza, e gli avvisi via email ti informano degli eventi di sicurezza. Per la versione di PHP in sé, ricorda anche expose_php = Off, che rimuove l'intestazione X-Powered-By che indica la versione esatta. La pagina compatibilità con hosting e cache descrive gli ambienti testati.
Leggi anche: Capire gli errori di WordPress e fare il debug del sito.
Da ricordare
- PHP 8.1 e precedenti sono a fine vita; PHP 8.2 lo sarà il 31 dicembre 2026.
- A ottobre 2026 due falle critiche sono state corrette solo nei rami da 8.2 a 8.5.
- Circa un terzo dei siti WordPress gira già su una versione di PHP a fine vita.
- Destinazione consigliata: PHP 8.3 o 8.4, testata prima su una copia del sito.
- Aggiorna plugin e tema prima di cambiare versione di PHP.
Fonti
- PHP: Supported Versions (si apre in una nuova scheda)
- PHP: Unsupported Branches (fine vita) (si apre in una nuova scheda)
- WordPress.org: Requirements (si apre in una nuova scheda)
- Make WordPress Core: PHP Compatibility and WordPress Versions (si apre in una nuova scheda)
Altre fonti consultate: documentazione ufficiale e articoli della stampa specializzata.
