# CloudLinux e alt-php: cosa devono sapere i clienti dell'hosting

> CloudLinux alt-php e PHP2Shell: quale versione di PHP usa il Suo account, chi aggiorna i pacchetti alt-php e quali domande porre ora al Suo hoster.

Fonte: https://phpsos.de/it/blog/cloudlinux-alt-php/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** sui server con CloudLinux i siti girano spesso non con il PHP standard, ma con alt-php, pacchetti propri per ogni versione di PHP che i clienti scelgono tramite il PHP Selector. Contro PHP2Shell il gestore del server deve aggiornare singolarmente ogni versione alt-php installata e riavviare tutti i processi PHP. Come cliente dell'hosting, chiarisca quale versione usa il Suo account e si faccia confermare per iscritto lo stato della patch.

## Perché CloudLinux è una questione a sé con PHP2Shell

Molti fornitori di hosting condiviso usano CloudLinux, un sistema operativo Linux che separa l'uno dall'altro migliaia di account clienti su un server. Per i gestori dei siti è di solito invisibile. Diventa visibile solo quando compare una vulnerabilità nell'interprete PHP stesso, come con PHP2Shell con CVE-2026-109618 e CVE-2026-109619.

Il motivo: su questi server ci sono spesso più fonti PHP affiancate. Accanto al PHP del sistema operativo e, con cPanel, ai pacchetti ea-php, ci sono i pacchetti alt-php di CloudLinux. Ogni fonte ha il proprio stato dei pacchetti. Che una sia aggiornata non dice nulla sulle altre.

Per agenzie e aziende con più account presso lo stesso hoster si aggiunge un secondo punto: ogni sito può usare una versione diversa, perché qualcuno anni fa l'ha cambiata nell'area clienti. Una sola domanda su «il PHP» dell'hoster è quindi troppo poco. Ha senso un elenco di tutti i domini con la rispettiva versione scelta.

## Cosa sono alt-php e il PHP Selector

Secondo la documentazione di CloudLinux, il PHP Selector mette a disposizione versioni alternative di PHP, i pacchetti alt-php. Si trovano in `/opt/alt/phpXX/`, ad esempio `/opt/alt/php83/` per PHP 8.3, ciascuno con un proprio `php.ini`. La documentazione elenca versioni dalla 5.1 alla 8.5, a seconda della versione di CloudLinux del server.

I clienti scelgono da soli la versione, in cPanel di solito tramite «Select PHP Version». Tecnicamente ciò presuppone CageFS, una sorta di file system isolato per ogni account. Secondo la documentazione il Selector funziona con suPHP, mod_fcgid, CGI e LiteSpeed; Apache con mod_php non supporta CageFS.

| Termine | Significato per Lei |
|---|---|
| CloudLinux | Sistema operativo dell'hoster, separa gli account dei clienti |
| CageFS | File system proprio e isolato per ogni account |
| alt-php | Pacchetti PHP di CloudLinux, uno per versione |
| PHP Selector | Scelta della versione alt-php e di singole opzioni nell'area clienti |

## CloudLinux alt-php e PHP2Shell: cosa è documentato e cosa resta aperto

È documentato: le versioni PHP corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per PHP 8.1 e precedenti il progetto PHP non fornisce più aggiornamenti ufficiali, solo backport minimi del sorgente per 7.4, 8.0 e 8.1. Secondo la stampa specializzata sono interessate quasi tutte le versioni fino a PHP 5.4.

Resta aperto, nelle fonti di cui disponiamo, per quali versioni alt-php CloudLinux distribuisca già pacchetti aggiornati. Soprattutto per i rami vecchi come 5.6 o 7.4, che il Selector continua a offrire, conta quindi solo la dichiarazione del fornitore. I backport possono essere stati installati senza che il numero di versione visualizzato cambi.

Una particolarità riguarda i server cPanel con supporto commerciale a lungo termine: secondo la documentazione di cPanel, TuxCare, un marchio di CloudLinux, distribuisce come alt-php pacchetti aggiornati per versioni di PHP giunte a fine vita. Chi lì è stato passato da ea-php74 ad alt-php74 dipende da questa via. Di più nell'articolo [Supporto a lungo termine per le vecchie versioni di PHP](https://phpsos.de/it/blog/langzeitsupport-alte-php-versionen/).

## Queste domande dovrebbe porle ora al Suo hoster

Come cliente non può aggiornare alt-php da solo. Può però porre le domande giuste e documentare le risposte. Un modello pronto è offerto dalla guida [Chiedere all'hoster lo stato della patch](https://phpsos.de/it/ratgeber/hoster-patch-status-erfragen/).

1. Il mio account gira con alt-php, ea-php o il PHP del sistema operativo, e con quale versione esattamente?
2. Esattamente questo pacchetto è aggiornato contro CVE-2026-109618 e CVE-2026-109619, e da quando?
3. Dopo di ciò sono stati riavviati tutti i processi PHP, anche i processi lsphp e php-cgi?
4. I valori transitori di php.net sono impostati a livello centrale, in particolare `session.upload_progress.enabled=0`?
5. Quali versioni alt-php non vengono più aggiornate e entro quando devo cambiare?

Verifichi in parallelo quale versione usi davvero il Suo account. Se ha accesso SSH, `php -v` mostra la versione della riga di comando, che può però differire da quella del sito. Più affidabile è l'indicazione nel PHP Selector per il dominio interessato.

Se l'hoster risponde che la versione da Lei scelta non viene più aggiornata, il passaggio a un ramo supportato è la via corretta. Verifichi prima nei requisiti di sistema del Suo CMS o shop quali versioni di PHP il produttore abilita e provi il cambio possibilmente su una copia del sito. Un cambio nel Selector si fa in fretta, un errore nello shop il lunedì mattina no.

## Opzioni PHP nel Selector: attenzione ai valori transitori

Il PHP Selector consente ai clienti di modificare da soli singoli valori di php.ini, tra cui spesso `memory_limit`. Quali valori siano abilitati lo stabilisce, secondo la documentazione, il gestore, nel file `/etc/cl.selector/php.conf`. I valori globali per tutte le versioni alt-php sono in `/etc/cl.selector/global_php.ini`.

Per PHP2Shell è importante. php.net raccomanda come transitorio di impostare `memory_limit=-1` in modo che le applicazioni non possano sovrascrivere il valore, e di non impostare `session.upload_progress.enabled=0` tramite `ini_set()` o `.user.ini`. Un valore che ogni account può modificare liberamente non soddisfa questa condizione. Il contesto è in [Misure immediate senza patch](https://phpsos.de/it/php2shell/sofortmassnahmen-ohne-patch/).

Per i gestori dei server ne deriva una breve lista di controllo. I comandi sono di sola lettura:

```bash
# Quali versioni di PHP offre il Selector, quale è quella predefinita?
selectorctl --summary

# Pacchetti alt-php installati e loro stato
rpm -qa 'alt-php*' | sort

# I numeri CVE compaiono nel changelog di un pacchetto? (nome del pacchetto come esempio)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"

# Processi PHP in esecuzione con ora di avvio, per documentare il riavvio
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
```

Secondo la documentazione di CloudLinux si aggiorna con `yum groupupdate alt-php`. Dopo, tutti i processi PHP devono riavviarsi, altrimenti il vecchio codice continua a girare in memoria. I valori transitori che non devono essere sovrascritti vanno nella configurazione globale e non nell'elenco delle opzioni dei clienti. Come ea-php e alt-php si comportino l'uno rispetto all'altro sui server cPanel lo descrive [cPanel e WHM: mettere in sicurezza PHP](https://phpsos.de/it/server/cpanel/).

> **Importante:**
> Una patch non rimuove il software dannoso inserito in precedenza. Se il Suo account tra il 17 e il 21 ottobre girava con una versione vulnerabile, vale la pena dare un'occhiata ai nuovi file PHP e ai log di accesso a partire dal 20 ottobre.

## Come aiuta concretamente PHP SOS?

- **Chiarire lo stato:** rileviamo con quale fonte PHP e quale versione gira ciascuno dei Suoi siti e formuliamo la richiesta all'hoster.
- **Valutare la risposta:** verifichiamo la conferma dell'hoster alla ricerca di lacune, come indicazioni mancanti sul riavvio o sui vecchi rami alt-php.
- **Accompagnare il cambio:** se un sito gira su una versione senza patch, pianifichiamo il passaggio e lo testiamo in anticipo.
- **Per i gestori:** con il [servizio di patch PHP](https://phpsos.de/it/leistungen/php-patch-service/) aggiorniamo i pacchetti alt-php, ea-php e di sistema, riavviamo tutti i processi e documentiamo lo stato.


## Domande frequenti

**Come riconosco se il mio hoster usa CloudLinux e alt-php?**  
Un segno tipico è la funzione «Select PHP Version» nell'area clienti di cPanel, con cui può passare da solo tra molte versioni di PHP. Lo sa con certezza solo quando l'hoster lo conferma.

**Posso aggiornare alt-php da solo nel mio account?**  
No. I pacchetti alt-php si trovano centralmente sul server e sono curati dal gestore. Può solo scegliere tra le versioni installate e dovrebbe farsi confermare lo stato della patch della versione scelta.

**Una vecchia versione alt-php come la 7.4 è protetta da PHP2Shell?**  
Senza una dichiarazione del fornitore non si può dire. Secondo la stampa specializzata sono interessate quasi tutte le versioni fino a PHP 5.4, e il progetto PHP per la 8.1 e precedenti non fornisce aggiornamenti ufficiali. Se sia stato installato un backport lo deve confermare per iscritto l'hoster per esattamente la Sua versione.

**Posso modificare da solo memory_limit nel PHP Selector?**  
Tecnicamente spesso sì, se il gestore ha abilitato l'impostazione. php.net raccomanda però come misura transitoria di impostare memory_limit in modo che le applicazioni non possano sovrascrivere il valore. Modifichi quindi tali valori solo d'intesa con l'hoster.

## Fonti

- [php.net: segnalazioni di sicurezza](https://www.php.net/)
- [Documentazione di CloudLinux: componenti (CageFS, PHP Selector)](https://docs.cloudlinux.com/cloudlinuxos/cloudlinux_os_components/)
- [Documentazione di cPanel: TuxCare Extended Lifecycle Support for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [PHP: versioni supportate](https://www.php.net/supported-versions.php)