Come aggiornare PHP sui siti WordPress dei clienti senza romperli

La release di sicurezza di PHP di ottobre 2026 è stata un promemoria utile: alcune correzioni non arrivano da un aggiornamento di WordPress. Quando la falla è in PHP stesso, la correzione è una versione più recente di PHP sul server, e i siti su un ramo che non riceve più correzioni di sicurezza non ne ricevono affatto. Questa guida è una routine che puoi applicare a ogni sito cliente per portarlo a una versione di PHP supportata senza sorprese.

Perché la versione di PHP conta più di quanto sembri

Ogni ramo di PHP riceve correzioni di sicurezza per un tempo limitato. Quando smette di riceverle, ogni nuova falla resta aperta, per quanto tu aggiorni con cura WordPress, plugin e temi. PHP 8.1 e precedenti non ricevono più correzioni di sicurezza ufficiali. Controlla php.net/supported-versions per le date attuali di ogni ramo.

C’è un secondo motivo. Gli autori di plugin e temi abbandonano col tempo il supporto alle vecchie versioni di PHP. Un sito che resta su un ramo vecchio perde a poco a poco l’accesso agli aggiornamenti dei plugin e, con essi, alle correzioni di sicurezza dei plugin stessi.

Passo 1: annota la versione di PHP di ogni sito

In WordPress la trovi in Strumenti → Salute del sito → Informazioni → Server. Anche il pannello di hosting la mostra. Per ogni sito annota la versione di PHP, la versione di WordPress, il tema, il page builder, se usa WooCommerce e se c’è codice personalizzato in un tema child o in un plugin must-use.

Poi ordina la lista. Parti dalle versioni di PHP più vecchie e, tra queste, dai siti che generano fatturato o contatti: negozi, siti di prenotazione e siti con moduli importanti.

Passo 2: trova cosa bloccherà il passaggio

La maggior parte degli aggiornamenti di PHP si blocca su un vecchio plugin, un tema abbandonato o un pezzo di codice personalizzato. Cercali prima di passare:

• Plugin e temi non aggiornati da due anni o più. Controlla le righe “Requires PHP” e “Tested up to” sulla loro pagina del plugin.
• Vecchie versioni di page builder e plugin premium con licenza scaduta, per cui il sito non ha mai ricevuto le versioni che supportano un PHP più recente.
• Codice personalizzato in functions.php o nei plugin must-use. Funzioni come each() e create_function() sono state rimosse in PHP 8.0, e PHP 8.2 avvisa sulle proprietà dinamiche.
• Gli scanner di compatibilità possono aiutare, ma segnalano falsi positivi. Considera il loro risultato una lista di partenza, non un verdetto.

Aggiorna prima WordPress, plugin e temi, mentre il sito gira ancora sulla versione di PHP attuale. Le versioni più recenti dei plugin di solito supportano un PHP più recente. Fai gli aggiornamenti e il cambio di PHP in giorni diversi, così sai quale modifica ha causato un problema.

Passo 3: prova prima su una copia

Crea una copia di staging del sito e impostala sulla versione di PHP di destinazione. La maggior parte degli hosting permette di scegliere la versione di PHP per sito. Attiva WP_DEBUG_LOG sulla copia, così gli errori finiscono in un file di log invece che sullo schermo.

Poi controlla ciò che conta per questo cliente:

• La homepage e le due o tre pagine più visitate, su desktop e mobile.
• Ogni modulo importante: invialo e controlla che l’email arrivi.
• In un negozio: aggiunta al carrello, checkout con un ordine di prova, la pagina dell’account.
• Nell’amministrazione: l’editor e il page builder si aprono, il caricamento dei media funziona, le pagine delle impostazioni si caricano.

Poi leggi wp-content/debug.log. Gli errori fatali vanno corretti prima di andare online. Gli avvisi di deprecazione sono segnali per il prossimo aggiornamento; annotali, possono aspettare. Confrontare screenshot delle pagine principali prima e dopo rivela i problemi che non generano errori, come uno slider o un menu che non si vede più.

Passo 4: cambia il sito live in un momento tranquillo

Scegli un momento con poco traffico. Fai un backup fresco di file e database subito prima del cambio e annota la versione di PHP attuale. Cambia PHP nel pannello di hosting, svuota la cache delle pagine ed eventuale cache degli oggetti, e ripeti gli stessi controlli fatti sulla copia. Lascia attivo il log degli errori su file per un giorno o due, così intercetti la pagina che nessuno ha visitato durante il controllo.

Spiega al cliente in una o due frasi cosa hai fatto e perché. Un aggiornamento di PHP è invisibile quando va bene, ed è un buon lavoro di manutenzione che merita di conoscere.

Passo 5: conosci la strada per tornare indietro

Tornare indietro dopo un aggiornamento di PHP di solito è semplice: reimposta la versione nel pannello di hosting. Per questo hai annotato la vecchia versione. Se il problema si rivela un plugin, hai tre opzioni: aggiornarlo, sostituirlo o restare per poco tempo sul ramo supportato precedente mentre lo risolvi. Non restare mai più del necessario su un ramo non supportato.

Quando è urgente: una release di sicurezza di PHP stesso

Quando viene pubblicata una falla in PHP, un aggiornamento di WordPress non la corregge. Chiedi al tuo hosting se la release di patch per il tuo ramo è stata applicata. Una patch nello stesso ramo, ad esempio da una release 8.3 alla successiva, raramente rompe qualcosa. Il passo rischioso è il salto a un nuovo ramo, ed è esattamente ciò a cui ti prepara questa guida. I siti su un ramo senza correzioni di sicurezza sono quelli da pianificare per primi.

Aggiornamento del 23 ottobre 2026: un secondo problema di PHP a rischio più basso. Due giorni dopo la release critica, PHP ha pubblicato un avviso informativo sulla CVE-2026-115560 in session upload progress (php.net). PHP ritiene improbabile lo sfruttamento: servono diverse impostazioni e un codice specifici allo stesso tempo. Non c’è ancora una correzione; arriverà con la prossima release regolare di PHP. Fino ad allora, completa prima gli aggiornamenti del 21 ottobre, poi chiedi al tuo hosting di impostare session.upload_progress.enabled su off in php.ini o nel pool PHP-FPM e di riavviare PHP. Impostarlo da WordPress o da un file .user.ini può arrivare troppo tardi con PHP-FPM.

Come Verploy gestisce gli aggiornamenti di PHP

Sui siti con una vecchia versione di PHP, il controllo di aggiornamento PHP di Verploy mostra cosa blocca il passaggio e in quale ordine risolverlo. Ogni aggiornamento viene controllato, e quelli rischiosi vengono prima provati su una copia. Scopri come si inserisce in una routine di manutenzione completa in manutenzione WordPress per agenzie.