Come aggiornare PHP su WordPress dopo PHP2Shell

WindowsMacAggiornato

PHP non si aggiorna dall'interno di WordPress. PHP è installato sul server dell'hosting, quindi lo cambi nelle impostazioni dell'hosting oppure chiedi al fornitore di farlo per te. Dopo l'avviso di sicurezza PHP del 21 ottobre 2026 serve una versione corretta, e il progetto PHP dice che l'aggiornamento è l'unica soluzione completa. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Fai un backup del sito, poi aggiorna WordPress, temi e plugin da Bacheca > Aggiornamenti. Cambia la versione di PHP nel pannello dell'hosting; in cPanel lo strumento si chiama MultiPHP Manager. Poi verifica che il sito funzioni e controlla la nuova versione in Strumenti > Salute del sito > Informazioni > Server. Se non puoi cambiarla da solo, chiedi all'hosting.

Perché PHP va aggiornato adesso?

Il 21 ottobre 2026 il progetto PHP ha pubblicato le correzioni per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, note come «php2shell» secondo l'agenzia statunitense CISA. L'avviso PHP dice che possono permettere l'esecuzione di codice da remoto senza autenticazione e che riguardano tutte le installazioni di PHP che rispondono a richieste web. WordPress funziona con PHP, quindi un sito WordPress è coinvolto qualunque sia la sua versione di WordPress.

L'elenco delle versioni corrette è nella guida per verificare la versione di PHP del tuo sito, e la guida alla vulnerabilità PHP spiega il problema.

Come faccio il backup di WordPress prima di cambiare PHP?

La pagina italiana di WordPress.org sull'aggiornamento di PHP lo mette al primo posto: un backup ti consente di riportare il sito allo stato attuale se qualcosa va storto. Il manuale di amministrazione di WordPress spiega che il sito ha due parti. Il database contiene articoli e commenti. I file contengono tutto il resto: WordPress stesso, temi, plugin, caricamenti e wp-config.php. Il backup dei file non include il database, quindi servono entrambi.

  1. Controlla se il tuo hosting offre uno strumento di backup.
  2. Altrimenti usa un plugin di backup: WordPress.org ricorda che ce ne sono molti gratuiti.
  3. Conserva più copie in posti diversi. WordPress suggerisce di tenere almeno da 3 a 5 backup recenti, in luoghi diversi, per esempio sul server, in un cloud e sul tuo computer.

Come aggiorno prima WordPress, temi e plugin?

WordPress.org consiglia di aggiornare tutto prima di cambiare PHP, poi di verificare che il sito funzioni come previsto.

  1. Nella tua Bacheca di WordPress vai in Bacheca > Aggiornamenti.
  2. Se è disponibile una nuova versione di WordPress, fai clic sul pulsante Aggiorna alla versione, seguito dal numero.
  3. Aggiorna i plugin e i temi che hanno aggiornamenti in attesa.
  4. Visita il sito e apri le pagine che contano di più, come il negozio o il modulo di contatto.

Per sapere se temi e plugin sono pronti per una versione più recente di PHP, WordPress.org suggerisce il plugin PHP Compatibility Checker. Precisa però che il plugin non è perfetto e può tralasciare alcuni elementi o segnalare falsi positivi. Se emerge un problema, il consiglio è contattare gli sviluppatori del tema o del plugin, oppure scegliere un'alternativa con funzioni simili su WordPress.org.

Come cambio la versione di PHP in cPanel?

La documentazione di cPanel (in inglese) descrive MultiPHP Manager, che permette di impostare la versione di PHP per ogni dominio dell'account. Lo colloca nella sezione Software. I nomi che vedi sullo schermo possono essere tradotti, a seconda della lingua del pannello.

  1. Accedi a cPanel e apri MultiPHP Manager.
  2. Seleziona la casella accanto al dominio da modificare.
  3. Scegli una versione dal menu PHP Version.
  4. Fai clic su Apply.

cPanel spiega che il menu elenca solo le versioni installate sul server e disponibili per il tuo account, e che a installarle è l'amministratore del server. Quindi la versione precisa che ottieni dentro un ramo, per esempio 8.3.36, dipende da cosa ha installato l'hosting. Per questo il controllo successivo è importante.

Alcuni hosting usano un altro pannello, o uno strumento PHP con un nome diverso. WordPress.org pubblica un elenco di hosting con le loro istruzioni e, se il tuo non c'è, suggerisce di scrivergli usando un modello di messaggio.

Come controllo il sito dopo l'aggiornamento di PHP?

Prima conferma la versione, poi controlla il sito.

  1. In WordPress vai in Strumenti > Salute del sito, seleziona la scheda Informazioni ed espandi Server.
  2. Scorri fino a Versione di PHP e verifica che corrisponda a una versione corretta, secondo l'elenco della guida per verificare la versione di PHP.
  3. Visita le pagine principali del sito, ed esci e rientra nella Bacheca.
  4. Torna in Strumenti > Salute del sito e guarda la scheda Stato per eventuali nuovi problemi.

Se qualcosa si rompe, WordPress.org dice che puoi tornare alla versione precedente di PHP da solo, oppure rivolgerti all'hosting o a uno sviluppatore web. Se devi ripristinare il backup, chiedi prima all'hosting di ripristinare la versione di PHP che usavi, poi ripristina il backup.

Quando devo chiedere all'hosting?

Chiedi all'hosting se ti trovi in uno di questi casi:

  1. In MultiPHP Manager il dominio risulta Inherited. Secondo cPanel significa che usa la versione predefinita del sistema, che solo l'amministratore del server può impostare.
  2. La versione che ti serve non è nel menu. cPanel dice che le versioni compaiono solo se l'amministratore le ha installate.
  3. Non trovi nessuna impostazione per PHP, oppure il tuo piano di hosting è gestito.
  4. Il sito usa PHP 8.1 o precedente. Il progetto PHP scrive che queste versioni non ricevono più aggiornamenti e che alcuni fornitori offrono correzioni retroportate. Chiedi all'hosting se ne ha applicata una, o passa a una versione supportata.

Il CSIRT Italia raccomanda, se non è possibile aggiornare subito, di valutare di mettere offline i siti e i servizi che usano versioni vulnerabili fino all'aggiornamento. L'avviso PHP precisa che le misure temporanee non rendono sicura un'installazione. Su un hosting condiviso, quello da chiedere è l'aggiornamento.

Altre domande

Posso aggiornare PHP dalla Bacheca di WordPress?

No. WordPress.org spiega che l'aggiornamento si fa nelle impostazioni dell'hosting o chiedendo al fornitore. La Bacheca mostra la versione in Strumenti > Salute del sito > Informazioni > Server, ma il cambio avviene sul server.

Quale versione di PHP deve usare WordPress?

WordPress.org raccomanda PHP 8.3 o superiore. La pagina delle versioni supportate di PHP indica che 8.2 riceve correzioni di sicurezza solo fino al 31 dicembre 2026.

Aggiornare PHP può rompere il mio sito WordPress?

Può succedere, se un tema o un plugin non è pronto per la nuova versione. Per questo WordPress.org consiglia backup, aggiornamenti e il PHP Compatibility Checker. Se qualcosa si rompe, puoi tornare indietro o chiedere all'hosting mentre risolvi.

Basta aggiornare WordPress per risolvere PHP2Shell?

No. Le vulnerabilità sono in PHP, non in WordPress. Aggiornare WordPress, temi e plugin fa parte dei passi consigliati prima di cambiare PHP, ma secondo l'avviso PHP solo un aggiornamento di PHP è una soluzione completa.

E se il sito fosse già stato manomesso?

Il CSIRT Italia raccomanda di analizzare i log per cercare segni di sfruttamento o di compromissione, anche dopo l'aggiornamento. La guida sito hackerato, cosa fare indica i primi passi.

Fonti