Come Uso TuxCare Extended Lifecycle Support per PHP in Plesk Obsidian: Patch di Sicurezza per PHP 7.4, 8.0 e 8.1 e Migrazione Graduale verso PHP 8.4 nel 2026

Se gestisci server Plesk con più siti WordPress — come faccio io quotidianamente — sai bene che non tutti i clienti aggiornano PHP con la stessa velocità. Ancora nel marzo 2026, circa il 22% dei siti WordPress gira su PHP 7.4, una versione dichiarata End-of-Life da oltre tre anni. A questi si aggiungono i siti su PHP 8.0 (EOL da novembre 2023) e PHP 8.1 (EOL da dicembre 2025): in totale, quasi la metà dei siti WordPress nel mondo usa una versione PHP senza più patch di sicurezza ufficiali.

Sul mio server Debian con Plesk Obsidian ho affrontato esattamente questo scenario: alcuni siti legacy con plugin incompatibili con PHP 8.2+ che non potevo aggiornare dall’oggi al domani, ma che dovevo comunque proteggere dalle vulnerabilità. La soluzione? TuxCare Extended Lifecycle Support (ELS) per PHP, un’estensione Plesk ufficiale che fornisce patch di sicurezza continue per le versioni PHP obsolete, dandoti il tempo di pianificare una migrazione ordinata.

In questo articolo vi mostro come ho configurato TuxCare ELS sul mio server Plesk, come funziona il sistema di patching, e la strategia che sto usando per migrare gradualmente tutti i siti verso PHP 8.4 — la versione attualmente in supporto attivo con novità importanti come i Property Hooks e la Asymmetric Visibility.

Perché le Versioni PHP Legacy Sono un Rischio Concreto nel 2026

PHP segue un ciclo di vita ben definito: 2 anni di supporto attivo (bug fix + security fix) seguiti da 2 anni di sole patch di sicurezza. Dopo questa finestra, la versione è abbandonata. Ecco la situazione aggiornata a marzo 2026:

• PHP 7.4 — EOL dal 28 novembre 2022. Nessuna patch ufficiale da oltre 3 anni
• PHP 8.0 — EOL dal 26 novembre 2023. Oltre 2 anni senza aggiornamenti
• PHP 8.1 — EOL dal 31 dicembre 2025. Appena uscito dal supporto
• PHP 8.2 — Solo security fix fino a dicembre 2026
• PHP 8.3 — Solo security fix fino a dicembre 2027
• PHP 8.4 — Supporto attivo fino a dicembre 2026, security fino a dicembre 2028

Il problema non è solo teorico. Ogni CVE che viene scoperta nelle versioni EOL non riceve fix ufficiali, lasciando il tuo server esposto. Come ho scritto nell’articolo su come proteggere Plesk dalla CVE-2025-66431, una singola vulnerabilità non patchata può compromettere l’intero server.

Cos’è TuxCare Extended Lifecycle Support per PHP

TuxCare, divisione di CloudLinux, offre un servizio chiamato Endless Lifecycle Support (originariamente “Extended”, rinominato per riflettere la durata illimitata) che fornisce backport di patch di sicurezza per versioni PHP non più supportate ufficialmente.

Cosa include concretamente:

• Patch CVE critiche backportate dalle versioni PHP supportate
• Copertura per PHP 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0 e 8.1
• Distribuzione tramite pacchetti alt-php* aggiornabili via Plesk System Updates
• Nessuna modifica al codice dell’applicazione — le patch sono trasparenti
• Supporto per Debian 10-13, RHEL/AlmaLinux 8-10, Ubuntu 18.04-24.04

Il punto chiave è che non si tratta di nuove feature o bug fix, ma esclusivamente di patch di sicurezza. La tua applicazione continua a funzionare identicamente, ma le vulnerabilità note vengono corrette. Come ho analizzato nel CloudLinux Industry Report 2026, il 43% degli hoster considera la sicurezza una priorità — TuxCare ELS è uno strumento pratico per affrontarla.

Come Installo TuxCare ELS per PHP su Plesk Obsidian

L’installazione è sorprendentemente semplice grazie all’integrazione nativa con Plesk. Ecco i passaggi che ho seguito:

Prerequisiti

• Plesk Obsidian versione 18.0.72 o superiore
• Accesso amministratore al pannello Plesk
• Licenza TuxCare ELS (acquistabile direttamente dall’estensione Plesk a €10/mese per server)

Installazione via Interfaccia Web

1. Accedi a Plesk e vai su Extensions > Extensions Catalog
2. Cerca “TuxCare Extended Lifecycle Support for PHP”
3. Clicca Install — l’estensione si installa in pochi secondi
4. Apri l’estensione e inserisci la tua license key TuxCare
5. La dashboard mostrerà tutte le versioni PHP EOL rilevate e i siti che le utilizzano
6. Per ogni versione che vuoi proteggere, clicca [Install] — il sistema scarica e configura i pacchetti alt-php patchati
7. Clicca [Switch] per migrare in blocco tutti i siti su quella versione alla variante protetta, oppure migra i singoli siti dalle impostazioni PHP del dominio

Installazione via CLI

Per chi preferisce la riga di comando, Plesk offre un’interfaccia CLI dedicata:

# Visualizza le versioni PHP EOL presenti sul server
plesk ext tuxcare-php --list

# Installa e configura ELS per PHP 7.4
plesk ext tuxcare-php --install-configure -version 7.4

# Migra tutti i siti PHP 7.4 alla versione protetta
plesk ext tuxcare-php --switch -version 7.4

# Stessa procedura per PHP 8.0 e 8.1
plesk ext tuxcare-php --install-configure -version 8.0
plesk ext tuxcare-php --switch -version 8.0
plesk ext tuxcare-php --install-configure -version 8.1
plesk ext tuxcare-php --switch -version 8.1

Come Funziona Dopo l’Installazione

Una volta configurato, le versioni PHP protette appaiono come opzioni separate nel dropdown dei PHP handler di Plesk — ad esempio “PHP 7.4 (secured)” accanto a “PHP 7.4”. La configurazione PHP esistente (estensioni, php.ini, handler FPM/CGI) viene preservata integralmente.

Gli aggiornamenti di sicurezza arrivano automaticamente tramite Plesk System Updates. Vi consiglio di abilitare gli aggiornamenti automatici per i pacchetti TuxCare, così ogni nuova CVE viene patchata senza intervento manuale.

Se qualcosa va storto, potete fare rollback con il pulsante [Rollback] nella dashboard dell’estensione o via CLI. La licenza in scadenza non disabilita le versioni già installate, ma blocca le future patch.

Strategia di Migrazione Graduale verso PHP 8.4

TuxCare ELS non è una scusa per restare su PHP 7.4 per sempre — è una rete di sicurezza che vi dà il tempo di migrare ordinatamente. Ecco la strategia in 4 fasi che sto applicando sui siti che gestisco.

Fase 1: Inventario e Classificazione (Settimana 1)

Per prima cosa, ho catalogato tutti i siti sul server per versione PHP:

# Lista siti con la versione PHP in uso
plesk bin site --list --with-hosting | while read domain; do
  php_ver=$(plesk bin site --info "$domain" | grep "PHP version" | awk '{print $NF}')
  echo "$domain: PHP $php_ver"
done

Ho classificato ogni sito in tre categorie:

• Migrazione immediata — siti con plugin/temi tutti compatibili con PHP 8.4
• Migrazione con test — siti che richiedono verifica di compatibilità
• Migrazione posticipata — siti con dipendenze legacy che necessitano interventi sul codice

Fase 2: Attivazione TuxCare sui Siti Legacy (Settimana 1-2)

Tutti i siti nelle categorie “con test” e “posticipata” vengono spostati sulla versione PHP protetta da TuxCare. Questo garantisce protezione immediata mentre lavoro alla migrazione.

Fase 3: Test di Compatibilità PHP 8.4 (Settimane 2-6)

Per ogni sito, creo un ambiente di staging e testo con PHP 8.4. I punti critici da verificare:

• Deprecation warnings — PHP 8.4 depreca i tipi parametro implicitamente nullable e il passaggio di E_USER_ERROR a trigger_error()
• Estensioni rimosse — IMAP, OCI8, pspell sono state spostate su PECL
• Cambio comportamento JIT — se usavate opcache.jit_buffer_size senza opcache.jit esplicito, dovete aggiungere opcache.jit=tracing
• Compatibilità plugin WordPress — verificate che tutti i plugin attivi supportino PHP 8.4

Come ho spiegato nell’articolo su come affrontare i breaking changes di WordPress 7.0, testare in staging prima di applicare in produzione è sempre la procedura corretta.

Fase 4: Migrazione Progressiva (Settimane 4-8)

Migro un sito alla volta, partendo dai meno critici:

# Cambia la versione PHP di un singolo dominio
plesk bin site --update example.com -php_handler_id plesk-php84-fpm

# Verifica che il sito funzioni
curl -sI https://example.com | head -5

Dopo la migrazione, monitoro i log PHP per 48 ore cercando errori o deprecation warnings. Solo quando il sito è stabile passo al successivo.

Le Novità di PHP 8.4 che Giustificano la Migrazione

PHP 8.4, rilasciato a novembre 2024, introduce feature che migliorano significativamente la qualità del codice. Ecco le più rilevanti:

Property Hooks

Permettono di definire getter e setter direttamente nella dichiarazione della proprietà, eliminando la necessità di metodi boilerplate:

class User {
    public string $name {
        set (string $value) {
            $this->name = ucfirst($value);
        }
    }
    public string $fullName {
        get => $this->firstName . ' ' . $this->lastName;
    }
}

Asymmetric Visibility

Permette di separare i permessi di lettura e scrittura sulle proprietà:

class Config {
    public private(set) string $version = '8.4';
    // Leggibile da tutti, scrivibile solo dall'interno della classe
}

Nuove Funzioni Array

Finalmente funzioni native per operazioni comuni: array_find(), array_find_key(), array_any() e array_all(). Addio a cicli foreach per cercare un elemento che soddisfa una condizione.

Nuovo Motore JIT Basato su IR Framework

Il JIT è stato riscritto internamente con un framework basato su Intermediate Representation. In alcuni scenari risulta più veloce e usa meno memoria rispetto alla versione precedente — un vantaggio concreto per applicazioni ad alto traffico.

Quanto Costa e Quando Conviene TuxCare ELS

Il costo è di €10/mese per server tramite il marketplace Plesk. Include tutte le versioni PHP EOL presenti sul server — non si paga per versione singola.

Conviene quando:

• Gestisci siti di clienti che non possono aggiornare PHP immediatamente
• Hai applicazioni legacy con dipendenze non compatibili con PHP 8.2+
• Vuoi essere conforme ai requisiti di sicurezza senza forzare migrazioni affrettate
• Gestisci server con molti siti su versioni PHP miste

Non conviene se hai un singolo sito e puoi semplicemente aggiornare PHP — in quel caso, la migrazione diretta è la scelta migliore.

Per chi gestisce infrastrutture complesse, ho approfondito le best practice di sicurezza server nell’articolo su come configurare un server Plesk Obsidian per hosting WordPress ad alte prestazioni.

Best Practice per la Gestione PHP su Plesk nel 2026

Nella mia esperienza, ecco le regole che seguo per mantenere PHP sotto controllo:

1. Monitora le versioni PHP attive — controlla mensilmente quali siti usano versioni EOL
2. Attiva TuxCare ELS come rete di sicurezza — €10/mese è un investimento trascurabile rispetto al rischio
3. Pianifica migrazioni trimestrali — non aspettare l’ultimo giorno di supporto
4. Testa sempre in staging — mai aggiornare PHP in produzione senza test preventivi
5. Documenta le dipendenze legacy — sapere quale plugin blocca la migrazione è metà del lavoro
6. Automatizza i backup — prima di ogni cambio PHP, un backup completo. Ho scritto una guida dedicata ai backup automatici su Plesk con destinazione S3-compatible

FAQ

TuxCare ELS modifica il codice delle mie applicazioni PHP?

No. TuxCare ELS sostituisce i binari PHP con versioni che includono le patch di sicurezza backportate. Il codice della tua applicazione non viene toccato e non servono modifiche. Le estensioni PHP, le configurazioni php.ini e i handler FPM/CGI rimangono invariati.

Posso usare TuxCare ELS su Debian con Plesk Obsidian?

Sì. TuxCare supporta ufficialmente Debian 10, 11, 12 e 13 su architettura x86-64. L’estensione Plesk si installa dal catalogo estensioni e richiede Plesk versione 18.0.72 o superiore.

Quanto costa TuxCare ELS per PHP e cosa include?

Il costo è di €10/mese per server, acquistabile direttamente dal marketplace Plesk. La licenza copre tutte le versioni PHP EOL presenti sul server (da PHP 5.6 a PHP 8.1), senza limiti sul numero di siti o domini.

Cosa succede se la licenza TuxCare scade?

Le versioni PHP già installate e patchate continuano a funzionare normalmente. Tuttavia, non riceverai più nuove patch di sicurezza. I siti non si bloccano, ma restano esposti a future vulnerabilità fino al rinnovo della licenza.

È meglio usare TuxCare ELS o migrare direttamente a PHP 8.4?

La risposta ideale è entrambe le cose. TuxCare ELS ti protegge nell’immediato mentre pianifichi la migrazione a PHP 8.4. Se puoi aggiornare subito, fallo: PHP 8.4 offre prestazioni migliori, feature moderne e supporto attivo fino a dicembre 2028. Usa TuxCare ELS come rete di sicurezza per i siti che non possono essere migrati immediatamente.

Conclusione

TuxCare Extended Lifecycle Support per PHP è uno strumento che considero essenziale per chi gestisce server Plesk con siti su versioni PHP legacy. Non è la soluzione definitiva — la migrazione a PHP 8.4 resta l’obiettivo — ma è la rete di sicurezza che ti permette di arrivarci senza esporre i tuoi siti a vulnerabilità non patchate.

Con quasi il 50% dei siti WordPress ancora su versioni PHP non supportate nel 2026, il problema è diffuso e concreto. La combinazione di TuxCare ELS per la protezione immediata e una strategia di migrazione graduale verso PHP 8.4 è l’approccio che consiglio a qualsiasi sysadmin che gestisce hosting WordPress su Plesk.

Se vuoi approfondire la sicurezza del tuo server, ti consiglio anche l’articolo su come proteggere WordPress dalle vulnerabilità plugin con Patchstack e WAF applicativo. Hai domande o esperienze con TuxCare ELS? Lascia un commento qui sotto.