PHP 8.1 è a fine vita: il tuo sito potrebbe usare una versione non protetta senza che tu lo sappia

Pochi titolari di PMI sanno quale versione di PHP fa funzionare il proprio sito. È normale, non è il loro mestiere, e finché il sito funziona la domanda non si pone mai. Il problema è che PHP segue un ciclo di vita rigoroso, con date di fine supporto precise, e una versione giunta a fine vita smette del tutto di ricevere patch di sicurezza, anche se dopo quella data viene scoperta una falla critica. PHP 8.1, ancora molto diffuso, ha raggiunto quella fine vita il 31 dicembre 2025.

Cosa significa concretamente una fine vita PHP

Ogni versione principale di PHP attraversa due fasi dopo il rilascio: prima circa due anni di supporto attivo, con correzioni di bug e di sicurezza, poi altri due anni circa di supporto solo per la sicurezza, in cui vengono corrette unicamente le falle critiche. Una volta trascorse entrambe le fasi, la versione non riceve più alcuna manutenzione. Nessuna falla scoperta dopo quella data verrà mai corretta, qualunque sia la sua gravità. Un sito che continua a funzionare con quella versione resta esposto indefinitamente a qualsiasi vulnerabilità individuata in seguito.

A che punto è oggi ciascuna versione

Al momento della stesura di questo articolo, PHP 8.1 è a fine vita dal 31 dicembre 2025 e non riceve più alcun aggiornamento. PHP 8.2 è ancora mantenuto, ma solo in modalità di supporto per la sicurezza, e raggiungerà la propria fine vita il 31 dicembre 2026, tra pochi mesi. PHP 8.3 si trova anch'essa in fase di sola sicurezza, con fine vita prevista per la fine del 2027. Le versioni più recenti, PHP 8.4 e 8.5, godono di supporto attivo completo. Queste scadenze cambiano da una versione all'altra, quindi conviene controllare regolarmente il calendario ufficiale piuttosto che affidarsi a una data memorizzata una volta per tutte.

Perché tanti siti restano su una versione obsoleta

La causa più frequente non è la negligenza, ma l'hosting condiviso. Molti hosting provider mantengono a lungo una versione predefinita datata, perché cambiare la versione PHP di un server condiviso può rompere i siti dei clienti che dipendono da comportamenti specifici di quella versione. Un sito WordPress installato da diversi anni, con plugin altrettanto datati, può così ritrovarsi bloccato su PHP 8.1 o una versione precedente senza che alcun avviso arrivi mai al proprietario del sito.

I rischi reali, al di là del discorso allarmistico

Una versione di PHP a fine vita non è pericolosa il giorno dopo la fine del supporto, ma il rischio cresce con il passare del tempo. Ogni mese successivo alla fine vita porta potenzialmente nuove vulnerabilità scoperte nel linguaggio stesso, mai corrette per mancanza di un manutentore attivo su quel ramo. A questo si aggiunge un problema indiretto altrettanto importante: numerosi plugin WordPress, librerie PHP e strumenti di sicurezza smettono progressivamente di garantire la compatibilità con versioni troppo datate, il che può creare conflitti o falle inattese man mano che questi componenti di terze parti si aggiornano.

Come verificare la propria versione

Per un sito WordPress, l'informazione è visibile nella bacheca di amministrazione, in Strumenti poi Salute del sito, nella sezione informazioni sul server. Per uno sviluppo PHP su misura, la funzione phpversion() richiamata in uno script temporaneo dà subito la risposta. La maggior parte dei pannelli di hosting, come cPanel o Plesk, mostra anche la versione attiva nelle proprie impostazioni PHP, spesso con la possibilità di modificarla direttamente dall'interfaccia.

Come migrare senza rompere il sito

Un aggiornamento di versione PHP non è mai del tutto privo di rischi, poiché ogni versione principale rimuove alcune funzioni deprecate e talvolta modifica comportamenti predefiniti. La buona pratica consiste nel testare la migrazione su un ambiente di preproduzione identico al sito in produzione, con gli stessi plugin e lo stesso tema, prima di passare all'ambiente reale. Su WordPress, aggiornare il core, il tema e tutti i plugin alle loro ultime versioni prima della migrazione riduce fortemente il rischio di incompatibilità, poiché gli sviluppatori seri adattano progressivamente il proprio codice alle nuove versioni di PHP.

Punti da verificare prima della pubblicazione: confermare le date esatte di fine vita di PHP 8.1, 8.2, 8.3, 8.4 e 8.5 sul calendario ufficiale di PHP.net al momento della pubblicazione, poiché queste scadenze possono essere modificate, e verificare che la procedura descritta per controllare la versione PHP in WordPress corrisponda ancora all'interfaccia attuale della bacheca.