SiteGround versione PHP: come controllarla e lo stato di PHP2Shell

Il mio sito su SiteGround è a rischio per PHP2Shell?

Un sito su SiteGround è esposto a PHP2Shell se usa una build PHP precedente alla versione corretta del suo ramo. PHP2Shell indica due vulnerabilità critiche di PHP stesso, CVE-2026-109618 e CVE-2026-109619: riguardano qualsiasi sito PHP, WordPress compreso, e non un provider in particolare. Su SiteGround è SiteGround a installare ed eseguire PHP, quindi la correzione arriva da SiteGround. Il tuo compito è controllare quale versione usa davvero il sito e confrontarla con queste versioni corrette:

Il verificatore PHP2Shell spiega come leggere il risultato.

SiteGround ha corretto PHP per PHP2Shell?

SiteGround dice che i suoi server erano protetti prima che PHP pubblicasse la correzione, e che le build PHP corrette vengono distribuite a gruppi. Al 22 ottobre 2026 non abbiamo trovato conferma che il rilascio sia completato.

• Prima della release (21 ottobre 2026): l’articolo del blog di SiteGround SiteGround moves early to protect customers ahead of critical PHP security release (ultimo aggiornamento 11:30 UTC, le 13:30 in Italia) dice che il team di sicurezza ha applicato regole di mitigazione a livello di server su tutti i server e disattivato la funzionalità interessata su tutte le versioni PHP supportate. Dice ai clienti che non devono aggiornare nulla né cambiare versione PHP.
• Lo stesso giorno su X: l’account ufficiale di SiteGround ha pubblicato lo stesso aggiornamento alle 12:37 UTC.
• Dopo la release: verso le 16:00 UTC (le 18:00 in Italia), SiteGround ha risposto ai clienti su X che gli aggiornamenti erano in corso, che 8.3.36 era disponibile sulla maggior parte dei suoi server e che gli aggiornamenti dei pacchetti vengono distribuiti in finestre di manutenzione a gruppi (risposta di SiteGround su X).

Il 22 ottobre l’articolo del blog risultava ancora fermo all’aggiornamento delle 11:30 UTC, senza articoli successivi sul blog internazionale né su quello italiano. SiteGround non ha detto pubblicamente quali altri rami sono pronti. Le regole di mitigazione riducono l’esposizione mentre le build vengono distribuite, ma PHP precisa che solo l’aggiornamento è una soluzione completa.

Come controllo la versione PHP su SiteGround?

La controlli in Site Tools. Secondo l’articolo di supporto di SiteGround What Is Managed PHP Service and How to Enable It?:

1. Accedi al tuo account SiteGround e apri la scheda Websites.
2. Scegli il sito e fai clic su Site Tools.
3. Vai su Devs → PHP Manager.
4. Leggi l’impostazione attuale in PHP Manager → PHP Version.

L’articolo di SiteGround usa i nomi inglesi dei menu; con l’interfaccia in italiano potrebbero comparire tradotti, e non abbiamo potuto verificare le etichette italiane. Per vedere la build esatta, e non solo il ramo, guarda cosa riporta il sito stesso: in WordPress è Strumenti → Salute del sito → Info → Server. Il PHP version checker spiega cosa significa il numero.

Come passo a una versione PHP corretta su SiteGround?

Su SiteGround non installi tu una build corretta: SiteGround aggiorna le build sui suoi server e tu scegli quale versione usa il sito. Per cambiarla apri Devs → PHP Manager, fai clic sull’icona a matita accanto a “Change PHP version”, scegli un’opzione e fai clic su Confirm (supporto SiteGround).

SiteGround offre due modalità. Con Managed PHP è SiteGround a scegliere la versione e ad aggiornarla nel tempo. Con la scelta manuale il sito resta sulla versione che hai scelto finché non la cambi. Per PHP2Shell conta più essere su un ramo supportato (dalla 8.2 alla 8.5) ricompilato da SiteGround che il ramo preciso. Fai un backup e prova in staging prima di passare a un altro ramo.

E i siti WordPress su SiteGround?

Un sito WordPress su SiteGround riceve la correzione di PHP2Shell solo tramite PHP. Aggiornare WordPress, temi o plugin non la risolve. Dopo il rilascio di SiteGround, apri Strumenti → Salute del sito → Info → Server su ogni sito e confronta la versione PHP con la tabella sopra. I siti di uno stesso account possono usare versioni PHP diverse, quindi controllali uno per uno. Approfondimento: PHP2Shell e WordPress.

Cosa chiedo al supporto SiteGround?

Scrivi al supporto SiteGround solo se il sito mostra ancora una versione inferiore alla versione corretta quando il rilascio a gruppi avrebbe dovuto raggiungere il tuo server. Chiedi:

1. Quale build PHP esatta usa il tuo sito.
2. Se include la correzione per CVE-2026-109618 e CVE-2026-109619.
3. Se i worker PHP sono stati riavviati dopo l’aggiornamento.
4. Se non ancora, quando è prevista la finestra di manutenzione del tuo server.

Un messaggio pronto è nella guida alla patch PHP2Shell. Apri i ticket solo dall’interno del tuo account SiteGround e ignora le email “da SiteGround” che ti chiedono di accedere tramite un link.

E se il mio sito su SiteGround usa un PHP vecchio?

Un PHP vecchio è il caso più difficile su qualsiasi hosting. PHP non pubblica nuove release per 8.1 e precedenti, solo patch minime del sorgente per 7.4, 8.0 e 8.1. L’articolo di SiteGround parla di mitigazioni su “tutte le versioni PHP supportate” senza elencarle. Al 22 ottobre 2026 non abbiamo potuto confermare se SiteGround distribuisca build corrette per i rami vecchi. Un numero come 7.4.33 non lo dimostra né lo esclude: chiedilo al supporto e pianifica il passaggio a un ramo supportato. Vedi PHP end of life.