Il tuo sito usa PHP 8.1 o una versione precedente? Le opzioni dopo PHP2Shell

WindowsMacAggiornato 2026-10-23

Secondo l'elenco dei rami non più supportati del progetto PHP, PHP 8.1 ha raggiunto la fine del supporto il 31 dicembre 2025, e la sua ultima versione è stata la 8.1.34. Quando il 21 ottobre 2026 il progetto ha corretto due vulnerabilità critiche, non ha pubblicato nessuna nuova versione per la 8.1 o per quelle precedenti. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Al 23 ottobre 2026 ricevono correzioni di sicurezza solo PHP 8.2, 8.3, 8.4 e 8.5, e per la 8.2 finiscono il 31 dicembre 2026. Se il tuo sito usa la 8.1 o una versione precedente, chiedi all'hosting se ha applicato una correzione retroportata, aggiorna il CMS e i plugin, poi passa a una versione supportata.

Quali versioni di PHP ricevono ancora correzioni di sicurezza?

La pagina delle versioni supportate di PHP elenca quattro rami. Ognuno ha due anni di supporto completo dalla prima versione stabile, poi altri due anni di correzioni solo per i problemi di sicurezza critici. Dopo, dice la pagina, il ramo raggiunge la fine del supporto e non è più supportato.

Ramo	Supporto completo fino al	Correzioni di sicurezza fino al
8.2	31 dic 2024	31 dic 2026
8.3	31 dic 2025	31 dic 2027
8.4	31 dic 2026	31 dic 2028
8.5	31 dic 2027	31 dic 2029

Quando hanno raggiunto la fine del supporto PHP 8.1, 8.0 e 7.4?

La pagina dei rami non supportati del progetto PHP dà queste date e queste ultime versioni:

PHP 8.1: 31 dicembre 2025, ultima versione 8.1.34
PHP 8.0: 26 novembre 2023, ultima versione 8.0.30
PHP 7.4: 28 novembre 2022, ultima versione 7.4.33

La stessa pagina delle versioni supportate dice che chi usa una versione a fine vita dovrebbe aggiornare il prima possibile, perché potrebbe essere esposto a vulnerabilità di sicurezza non corrette.

Cosa dicono gli avvisi del 21 ottobre sulle versioni vecchie?

L'avviso del progetto PHP dice: «PHP 8.1 and older no longer receive updates from the PHP project», cioè PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto. Aggiunge che alcune distribuzioni e alcuni fornitori con supporto a lungo termine (LTS) offrono correzioni retroportate, e invita a contattare il proprio fornitore o a passare a una versione supportata. Una correzione retroportata è la riparazione di sicurezza copiata su una versione più vecchia.

L'avviso dice anche che, data la gravità delle vulnerabilità, il team di sicurezza di PHP ha pubblicato correzioni minime del codice sorgente per PHP 7.4, 8.0 e 8.1, pensate per chi compila PHP da sé o non ha accesso a un fornitore LTS. Non elenca nessuna nuova versione 7.4, 8.0 o 8.1.

L'alert del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), lo dice così: per tutte le versioni di PHP 8.1 e precedenti il produttore non rilascerà alcun workaround o patch, considerata la fine del supporto. Raccomanda poi, se non si possono applicare subito gli aggiornamenti, di valutare di mettere offline i siti e i servizi web che usano versioni vulnerabili di PHP, fino all'aggiornamento.

L'agenzia statunitense CISA è più netta. Scrive che le organizzazioni che non possono aggiornare subito, o che usano ancora PHP 8.1 o versioni precedenti non supportate, dovrebbero mettere offline i sistemi basati su PHP finché non vengono corretti o aggiornati.

Le versioni corrette dei rami supportati sono nella guida per verificare la versione di PHP del sito, con il modo per trovare la tua.

PHP 8.2 è sicuro, e quando finisce?

PHP 8.2.35 è la versione corretta del ramo 8.2. Il suo annuncio su php.net aggiunge un avviso: PHP 8.2 raggiungerà la fine del supporto il 31 dicembre 2026 e da quella data non riceverà più correzioni di sicurezza, quindi conviene pianificare il passaggio a una versione supportata.

Un sito su 8.2.35 ha quindi la correzione per le due vulnerabilità del 21 ottobre, ma ha davanti circa dieci settimane di correzioni di sicurezza dal progetto. Se stai lasciando la 8.1 adesso, passare direttamente alla 8.3 o a una più recente ti evita di farlo due volte. WordPress.org raccomanda PHP 8.3 o superiore.

Quali opzioni ho se il mio sito usa una versione vecchia?

Per un blog, il sito di un'associazione o un piccolo negozio online, il lavoro di solito si divide tra te e il tuo hosting.

Fai due domande all'hosting. Quale versione di PHP usa il mio sito? E, se è la 8.1 o precedente, è stata applicata una correzione retroportata per CVE-2026-109618 e CVE-2026-109619? L'avviso PHP rimanda al proprio fornitore per questo. Su un sito in hosting, il fornitore è l'hosting.
Prepara il sito al passaggio. Prima di cambiare PHP, WordPress.org consiglia di fare un backup, poi di aggiornare WordPress, temi e plugin dalla pagina degli aggiornamenti della Bacheca, e di controllare che il sito funzioni. Scrive che WordPress funziona a partire da PHP 7.4, ma che non può sapere se i tuoi temi o plugin funzioneranno sulle versioni più recenti. La guida come aggiornare PHP su WordPress segue questi passi in ordine. Se usi un altro CMS, controlla nella sua documentazione quali versioni di PHP supporta.
Passa a una versione supportata. Quando il sito è aggiornato, chiedi all'hosting di cambiare versione, o cambiala tu se il pannello lo consente. Il NCSC britannico scrive che le organizzazioni che usano versioni più vecchie di PHP sono fortemente incoraggiate ad aggiornare a una versione pienamente supportata.

Se niente di tutto questo si può fare in fretta, il CSIRT Italia e la CISA, come visto sopra, indicano di mettere offline il sito fino all'aggiornamento.

Cosa dice il NCSC sul software non più supportato?

La guida del NCSC britannico sui prodotti obsoleti (in inglese) parte da un punto semplice: prima o poi tutto il software diventa obsoleto, compresi i sistemi operativi dei dispositivi. Spiega che, quando gli sviluppatori smettono di fornire aggiornamenti di sicurezza, aumenta la probabilità che gli attaccanti conoscano vulnerabilità sfruttabili, e che col tempo queste possono essere sfruttate anche da attaccanti poco esperti.

Sul da farsi è chiara: «The only fully effective way to mitigate this risk is to stop using the obsolete product», cioè l'unico modo pienamente efficace di ridurre il rischio è smettere di usare il prodotto obsoleto. Riconosce che non sempre è possibile subito, e raccomanda di aggiornare invece di continuare a correre il rischio. Se per un breve periodo vai avanti lo stesso, dice di rivedere la decisione con regolarità. Per un sito su PHP 8.1 o precedente, porta alla stessa risposta del progetto PHP: una versione supportata.

Altre domande

PHP 7.4 è coinvolto in PHP2Shell?

Il NCSC scrive che le organizzazioni che usano qualsiasi versione di PHP sono coinvolte, e il team di sicurezza di PHP ha pubblicato una correzione minima del codice sorgente per la 7.4 proprio per la gravità delle vulnerabilità. Non c'è una nuova versione ufficiale 7.4. Chiedi all'hosting se ha applicato una correzione retroportata, e pianifica il passaggio a una versione supportata.

L'hosting dice di aver retroportato la correzione su PHP 8.1. Basta?

L'avviso PHP dice che alcune distribuzioni e fornitori LTS offrono correzioni retroportate e che bisogna verificare con loro, quindi è l'hosting a doverlo confermare. Il ramo resta però a fine vita, e la guida del NCSC sui prodotti obsoleti raccomanda di aggiornare invece di continuare a correre il rischio.

Passare a una versione più recente di PHP rompe il mio sito?

Può succedere, ed è per questo che l'ordine conta. WordPress.org scrive che aggiornare PHP non dovrebbe essere un problema, ma che non può garantirlo, e chiede di fare prima un backup e di aggiornare temi e plugin. Aggiunge che, per ripristinare un backup, l'hosting deve prima riportare PHP alla versione che usi adesso.

Cosa succede a PHP 8.2 dopo il 31 dicembre 2026?

Il progetto PHP dice che la 8.2 non riceverà più correzioni di sicurezza da quella data e chiede di pianificare il passaggio a una versione supportata. Un sito su 8.2 diventa allora non supportato, come la 8.1 e le precedenti.