PHP è sicuro? Il linguaggio e la versione che usi

WindowsMacAggiornato 2026-10-23

Il progetto PHP dà a ogni versione di PHP quattro anni di supporto, e dopo smette di correggerne i problemi di sicurezza. Quindi, se PHP è sicuro per il tuo sito dipende meno dal linguaggio e più dalla versione su cui gira il sito, e dal fatto che sia aggiornata. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

PHP è sicuro da usare quando il tuo sito gira su una versione ancora supportata dal progetto PHP, aggiornata all'ultima release. Al 23 ottobre 2026 significa PHP 8.2, 8.3, 8.4 o 8.5, almeno alla 8.2.35, 8.3.36, 8.4.27 o 8.5.12. Le versioni a fine vita non ricevono più le correzioni di sicurezza del progetto. Per una vulnerabilità collegata e molto più limitata, che ritiene improbabile nella pratica, il progetto PHP suggerisce in un avviso informativo del 23 ottobre di impostare session.upload_progress.enabled=0 in attesa del prossimo rilascio correttivo, come spiega la guida alla vulnerabilità PHP.

PHP di per sé è sicuro?

Il manuale di PHP (in inglese) è franco su questo. Il capitolo sulla sicurezza dice che PHP può accedere ai file, eseguire comandi e aprire connessioni di rete su un server, e che queste caratteristiche rendono insicuro per definizione tutto ciò che gira su un server web. Aggiunge che, con le giuste opzioni di configurazione e buone pratiche di programmazione, PHP può offrire la combinazione di libertà e sicurezza di cui hai bisogno.

Il linguaggio quindi è uno strumento, e la sicurezza di un sito dipende da come è configurato e da quanto è aggiornato. Il manuale dice che la sicurezza di un ambiente PHP dipende in gran parte dallo sviluppatore. Per un sito personale questo lavoro di solito si divide tra te, il tuo hosting e chi produce il software del sito, come WordPress. Se non ti è chiaro cosa faccia PHP sul tuo sito, la guida cos'è PHP parte dall'inizio.

Che differenza c'è tra il linguaggio e la versione che uso?

PHP è diviso in rami, come 8.3 o 8.4, e ogni ramo riceve piccole versioni numerate con le correzioni, come la 8.3.36. Quando ci si chiede se PHP sia sicuro, la domanda utile è se il tuo ramo è ancora supportato e se hai la sua ultima versione.

La pagina delle versioni supportate di PHP dice che ogni ramo ha due anni di supporto completo dalla prima versione stabile, poi altri due anni di correzioni solo per i problemi di sicurezza critici. Dopo questi quattro anni il ramo arriva a fine vita. Al 23 ottobre 2026 la pagina indica come supportati i rami 8.2, 8.3, 8.4 e 8.5, con il supporto di sicurezza della 8.2 che finisce il 31 dicembre 2026. La tabella completa è sulla pagina delle versioni supportate di php.net.

Se il tuo sito usa un ramo più vecchio, la guida PHP 8.1 o precedente: le opzioni spiega cosa puoi fare.

Perché gli aggiornamenti di sicurezza contano così tanto?

Perché una falla trovata e corretta resta aperta su ogni server che non ha installato la correzione. La pagina delle versioni supportate di PHP dice che chi usa una versione a fine vita dovrebbe aggiornare il prima possibile, perché potrebbe essere esposto a vulnerabilità di sicurezza non corrette.

La Polizia Postale dice lo stesso dei dispositivi: uno non aggiornato può avere vulnerabilità che malintenzionati potrebbero sfruttare per accedere ai tuoi dati o ai tuoi account, e il sistema operativo e le app vanno aggiornati appena possibile. Il NCSC britannico, nei consigli per i privati, scrive che installare subito gli aggiornamenti di sicurezza aiuta a proteggere dispositivi e account dai criminali informatici, e la chiama una delle cose più importanti, e più rapide, che puoi fare. Nelle indicazioni per le organizzazioni, la regola è applicare gli aggiornamenti il prima possibile, e se si può in automatico.

Per un sito, l'aggiornamento di solito riguarda PHP sul server, che può gestire l'hosting, e anche il software del sito e i plugin che girano sopra. Tenere aggiornato l'uno non copre l'altro.

Cosa mostra PHP2Shell su tutto questo?

Il 21 ottobre 2026 il progetto PHP ha corretto due vulnerabilità critiche, note secondo l'agenzia statunitense CISA come «php2shell», con nuove versioni solo per i quattro rami supportati. L'avviso dice che PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto, quindi chi li usa deve contare su una correzione retroportata del proprio fornitore o passare a un ramo supportato. L'alert del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, elenca come vulnerabili le versioni 8.5.x, 8.4.x, 8.3.x e 8.2.x precedenti alle correzioni. La guida alla vulnerabilità PHP spiega le falle per intero.

Come so se il mio sito usa una versione supportata e aggiornata?

Trova la versione esatta di PHP su cui gira il sito, poi confrontala con i rami supportati e con l'ultima versione corretta del suo ramo. Se non riesci a trovare il numero da solo, te lo dice l'hosting.

La guida per verificare la versione di PHP del sito mostra dove guardare in WordPress e nel pannello dell'hosting, con le domande da fare all'hosting. Se scopri che devi cambiare versione, la guida come aggiornare PHP su WordPress ti accompagna, partendo da un backup.

Altre domande

PHP è ancora sicuro da usare nel 2026?

Sì, su una versione supportata e aggiornata. Al 23 ottobre 2026 la pagina delle versioni supportate di PHP indica come supportati i rami 8.2, 8.3, 8.4 e 8.5. I rami più vecchi della 8.2 sono a fine vita, e la pagina avverte che chi li usa potrebbe essere esposto a vulnerabilità non corrette.

PHP 8.2 è sicuro?

Secondo la pagina delle versioni supportate di PHP, il supporto di sicurezza della 8.2 finisce il 31 dicembre 2026. La guida PHP 8.1 o precedente: le opzioni parla anche della 8.2 e di cosa pianificare.

Visitare un sito in PHP mette a rischio il mio computer?

PHP gira sul server web, non sul tuo dispositivo, e l'avviso su PHP2Shell parla di installazioni che rispondono a richieste web. Correggerle spetta a chi gestisce il sito. La guida visitare un sito hackerato è pericoloso? spiega il punto di vista di chi visita.

Se PHP è aggiornato, il mio sito è sicuro?

Non solo per questo. Il manuale di PHP dice che la sicurezza di un ambiente PHP dipende anche dalla configurazione e da come è scritto il codice. Il software del sito, i temi e i plugin hanno bisogno dei loro aggiornamenti, e il server intorno è responsabilità dell'hosting.

Chi aggiorna PHP su un sito in hosting?

Spesso l'hosting, a volte tu dal pannello. Il NCSC chiede alle organizzazioni di seguire gli aggiornamenti dei fornitori i cui prodotti e servizi includono PHP. Se non sai chi se ne occupa nel tuo caso, chiedi all'hosting quale versione usa il sito e se ha la versione corretta.