Joomla 5 in modalità solo sicurezza: come pianificare l'aggiornamento a Joomla 6 senza rischi

Nella gestione di un sito aziendale circola una regola non scritta: se funziona, meglio non toccarlo. Per un sito realizzato con un CMS questa regola ha sempre avuto un costo nascosto, e da metà ottobre 2026 quel costo diventa più visibile un sito realizzato con Joomla. Secondo la roadmap ufficiale del progetto Joomla, il 13 ottobre 2026 si è chiusa la fase di supporto ordinario di Joomla 5: da quel giorno la serie 5.x riceve soltanto correzioni di sicurezza, che termineranno a loro volta il 12 ottobre 2027. Nello stesso arco di tempo arrivano a scadenza anche alcune versioni di PHP, il linguaggio su cui Joomla funziona.

Non si tratta di un'emergenza: un sito Joomla 5 aggiornato all'ultima release resta coperto dalle patch di sicurezza per un altro anno. È però il momento in cui il passaggio a Joomla 6 smette di essere un'ipotesi da valutare "più avanti" e diventa un progetto con una scadenza. Di seguito il calendario delle versioni, il motivo per cui la versione di PHP conta quanto quella di Joomla e un metodo per pianificare l'aggiornamento, distinguendo tra chi parte da Joomla 5 e chi è ancora fermo a Joomla 3 o 4.

Quattro versioni, quattro situazioni molto diverse

Joomla segue un ciclo di vita regolare. Per le versioni più recenti la roadmap prevede circa tre anni di correzioni ordinarie dal rilascio, seguiti da un anno di sole patch di sicurezza: Joomla 5, uscito il 17 ottobre 2023, ha ricevuto bugfix fino al 13 ottobre 2026; Joomla 6, uscito il 14 ottobre 2025, li riceverà fino al 17 ottobre 2028, con supporto di sicurezza fino al 16 ottobre 2029. La situazione, a ottobre 2026, si può riassumere così:

Il dato più significativo, però, è un altro. Le statistiche di utilizzo pubblicate dal progetto, raccolte in forma anonima dalle installazioni che trasmettono la propria versione di Joomla e di PHP, riguardano circa 3,3 milioni di siti. Di questi, oltre l'85% risulta su una release della serie 3, poco meno del 9% su Joomla 4 e meno del 6% su Joomla 5 o 6 complessivamente. Il dato va letto con cautela, perché il campione comprende anche installazioni trascurate da anni; resta comunque l'indicazione che una quota molto ampia dei siti Joomla ancora in contatto con i server del progetto gira su versioni che non ricevono più alcuna correzione.

Chi desidera una panoramica più ampia su come il CMS è cambiato nel tempo può partire dall'articolo dedicato a vantaggi ed evoluzione di Joomla; qui interessa soprattutto ciò che il calendario comporta in termini operativi.

Il secondo orologio: la versione di PHP sul server

Joomla è un'applicazione scritta in PHP e ogni sua versione richiede una versione minima del linguaggio installata sul server. Il ciclo di vita di PHP è indipendente da quello di Joomla: come indicato nella pagina ufficiale delle versioni supportate di PHP, ogni ramo riceve due anni di supporto attivo e altri due di sole correzioni di sicurezza critiche, dopodiché non viene più aggiornato.

Le due scadenze si incrociano in modo poco intuitivo. Joomla 5 può funzionare con PHP 8.1, che però non compare più tra le versioni supportate. PHP 8.2 riceverà correzioni di sicurezza soltanto fino al 31 dicembre 2026. Ne deriva una situazione concreta: un sito Joomla 5 perfettamente aggiornato, ma ospitato su un server con PHP 8.1 o 8.2, dal 2027 si troverebbe con un CMS ancora coperto dalle patch e un linguaggio sottostante che non lo è più.

Joomla 6 alza l'asticella. I requisiti tecnici ufficiali di Joomla 6 indicano PHP 8.3 come versione minima e 8.4 come versione raccomandata, mentre per il database le versioni supportate partono da MySQL 8.0.13 e MariaDB 10.6. PHP 8.3 avrà correzioni di sicurezza fino al 31 dicembre 2027, PHP 8.4 fino al 31 dicembre 2028. In pratica, il passaggio a Joomla 6 obbliga a fare ciò che andrebbe fatto comunque: portare il server su una versione di PHP ancora mantenuta.

Per questo la prima verifica da fare non riguarda Joomla, ma l'hosting: quale versione di PHP è attiva, quali sono disponibili nel pannello di controllo, se il database soddisfa i requisiti. Nel backend di Joomla queste informazioni si trovano in Sistema, Informazioni di sistema. In alcuni casi l'aggiornamento di PHP è un'impostazione da modificare in pochi minuti; in altri richiede il passaggio a un piano di hosting o a un fornitore diverso, e questo sposta in modo sensibile tempi e costi dell'intero progetto.

Da Joomla 5 a Joomla 6: un aggiornamento, non una migrazione

Per chi ha già un sito su Joomla 5 la notizia è positiva: il salto alla versione successiva è stato progettato per essere graduale. Nell'annuncio di rilascio di Joomla 6.0 il progetto precisa che il passaggio dalla 5.4 alla 6.0 è un aggiornamento e non una migrazione: si esegue dal componente di aggiornamento del backend, senza ricostruire il sito su una nuova installazione. La condizione è partire dall'ultima release della serie 5, la 5.4, che il progetto stesso descrive come versione ponte.

Il meccanismo che rende possibile questa continuità è il plugin "Behaviour - Backward Compatibility 6", introdotto in Joomla 5.4. Il suo compito è mantenere disponibili per le estensioni di terze parti le parti di codice che Joomla 6 ha rimosso o modificato, così che componenti, moduli e plugin non ancora riscritti possano continuare a funzionare. Il plugin, però, copre un solo ciclo di vita. La guida ufficiale all'aggiornamento da Joomla 4.4 a Joomla 5 ne spiega la logica: ogni plugin di compatibilità sostiene il codice della versione immediatamente precedente, non quello di due versioni prima. Un'estensione nata per Joomla 4, che su Joomla 5 funzionava solo grazie al vecchio plugin di compatibilità, rischia quindi di smettere di funzionare su Joomla 6.

È per questo che la verifica delle estensioni è la fase più lunga del lavoro. Il controllo pre-aggiornamento integrato in Joomla mostra la compatibilità dichiarata da ciascuna estensione, ma la stessa documentazione avverte che l'indicazione è attendibile solo se lo sviluppatore l'ha impostata correttamente. La fonte più affidabile resta il sito dello sviluppatore, insieme a una prova completa su una copia del sito.

Alcuni cambiamenti riguardano direttamente chi lavora sui contenuti. Joomla 6 adotta TinyMCE 8 come editor, al posto della versione 6: chi ha personalizzato la configurazione dell'editor o utilizza plugin aggiuntivi dovrebbe verificarne il comportamento prima di andare in produzione. Tra le novità funzionali, l'annuncio di rilascio cita un template figlio di Cassiopeia con più opzioni per colori e caratteri, il versionamento esteso ai campi personalizzati e due nuovi tipi di campo; la roadmap indica invece tra le principali novità di Joomla 6.1 un editor grafico dei flussi di lavoro, un captcha basato su proof of work e nuovi campi personalizzati per audio, video e documenti.

Aggiornamenti automatici del core: utili, ma da governare

La novità più rilevante per la manutenzione ordinaria è arrivata con Joomla 5.4 ed è presente anche in Joomla 6: gli aggiornamenti automatici del core. Come descritto nelle note ufficiali sulle novità di Joomla 5.4, la funzione installa senza intervento manuale le release minori, le patch e gli aggiornamenti di sicurezza, appoggiandosi a The Update Framework, un sistema di distribuzione progettato per prevenire attacchi alla catena di fornitura del software. Per funzionare richiede che il sito sia raggiungibile da internet; al termine di ogni aggiornamento i super utenti ricevono un'email con l'esito.

Su un sito con poche estensioni e nessuna personalizzazione profonda, la funzione riduce in modo concreto il rischio di restare per settimane con una vulnerabilità nota non corretta. Su siti più articolati il quadro cambia: gli aggiornamenti automatici riguardano solo il core, non le estensioni di terze parti, e un aggiornamento applicato senza supervisione può interagire in modo imprevisto con template personalizzati e override. mySites.guru, piattaforma di gestione centralizzata di siti Joomla, segnala inoltre un dettaglio poco noto: la funzione è attiva per impostazione predefinita sulle nuove installazioni, mentre resta disattivata sui siti aggiornati da versioni precedenti alla 5.4. Un sito appena realizzato, quindi, può aggiornarsi da solo senza che il proprietario ne sia consapevole.

Non esiste una scelta valida per tutti. La domanda utile è un'altra: chi si accorge, e in quanto tempo, se un aggiornamento automatico ha creato un problema? Se nessuno controlla il sito con regolarità, attivare la funzione insieme a backup giornalieri e a un monitoraggio di base è generalmente preferibile all'immobilismo. Se invece il sito è seguito da qualcuno che pianifica e verifica gli aggiornamenti, una gestione manuale programmata resta l'opzione più prudente, soprattutto in presenza di estensioni critiche come e-commerce, prenotazioni o aree riservate.

Se il sito è ancora su Joomla 3 o Joomla 4

Per i siti fermi alle versioni non più supportate il percorso è più lungo, e non esiste una scorciatoia diretta verso Joomla 6. Un sito Joomla 4 va prima portato all'ultima release 4.4, poi aggiornato a Joomla 5, quindi alla 5.4 e solo a quel punto a Joomla 6. Ogni passaggio è un aggiornamento in senso tecnico, ma ciascuno richiede la stessa verifica delle estensioni e dei requisiti del server descritta sopra.

Il caso di Joomla 3 è diverso. Il supporto è terminato nell'agosto 2023 e il passaggio a Joomla 4 viene definito dalla guida ufficiale alla migrazione da Joomla 3.10 una "mini-migrazione": il core si aggiorna dal backend, ma molte estensioni di terze parti hanno pacchetti distinti per le due versioni o non sono mai state aggiornate, e il template predefinito Protostar, non compatibile con Joomla 4, viene rimosso durante il processo. Per un sito con un template realizzato su misura per Joomla 3, ciò significa che la parte grafica va ricostruita o adattata alla nuova struttura.

C'è poi un aspetto che tocca direttamente il posizionamento sui motori di ricerca. La stessa guida segnala che in Joomla 4 il sistema di routing "Legacy" non esiste più: durante la migrazione i siti vengono convertiti automaticamente al routing "Modern", e la documentazione raccomanda di controllare i link interrotti prima di andare online. Tradotto in termini SEO, alcuni indirizzi delle pagine possono cambiare. Se gli URL già indicizzati non vengono reindirizzati con redirect 301 verso i nuovi indirizzi, il sito rischia di disperdere posizioni costruite negli anni. Prima della migrazione conviene quindi esportare l'elenco completo degli URL, dalla sitemap e dai rapporti di Google Search Console, per confrontarlo con quello del sito migrato.

Un ultimo controllo riguarda le estensioni abbandonate. Il progetto mantiene una lista pubblica delle estensioni vulnerabili: verificare che nessuna di quelle installate vi compaia richiede pochi minuti, è utile a prescindere dalla versione di Joomla ed è particolarmente importante sui siti che non vengono aggiornati da tempo.

Un metodo in sei passaggi per pianificare l'aggiornamento

Qualunque sia la versione di partenza, l'aggiornamento si governa meglio se viene trattato come un piccolo progetto, con una sequenza precisa:

1. Inventario. Versione di Joomla, versione di PHP e del database, elenco delle estensioni installate con autore, versione e stato di sviluppo. Il punto di partenza è la schermata Sistema, Gestione, Estensioni, escludendo quelle che riportano come autore il progetto Joomla.
2. Verifica dell'hosting. Controllare che il piano supporti PHP 8.3 o superiore e un database compatibile; in caso contrario, mettere in calendario il cambio di piano o di fornitore prima di qualsiasi altro intervento.
3. Decisione sulle estensioni. Per ciascuna scegliere se aggiornarla, sostituirla con una funzione nativa di Joomla o con un'alternativa mantenuta, oppure rimuoverla. È spesso l'occasione per eliminare componenti installati anni prima e non più utilizzati.
4. Prova su una copia. Ripristinare un backup su un sottodominio o in locale ed eseguire lì l'intero aggiornamento con la modalità debug attiva, annotando ogni intervento necessario. La documentazione ufficiale raccomanda anche di verificare che il backup si ripristini davvero prima di intervenire sul sito in produzione.
5. Controlli funzionali e SEO. Sulla copia aggiornata verificare che URL e metadati siano invariati, che moduli di contatto e invii email funzionino, che i tempi di caricamento siano confrontabili o migliori e che non compaiano errori nei log.
6. Aggiornamento in produzione e monitoraggio. Eseguire l'aggiornamento in una fascia oraria di basso traffico, con un backup appena verificato, e controllare nelle settimane successive i rapporti di Search Console su indicizzazione ed errori di scansione.

La durata complessiva dipende quasi interamente dai primi tre punti. Un sito Joomla 5 con poche estensioni ben mantenute si aggiorna in tempi brevi; un sito Joomla 3 con molte estensioni non più sviluppate richiede una vera fase di progettazione. La scadenza di ottobre 2027 va letta come il termine entro cui il lavoro deve essere concluso, non come la data in cui iniziare a pensarci.

In breve, situazione per situazione

• Joomla 6: verificare che PHP sia almeno alla 8.3 e decidere in modo consapevole se lasciare attivi gli aggiornamenti automatici del core.
• Joomla 5: portare il sito all'ultima release 5.4, verificare la compatibilità delle estensioni con Joomla 6 e pianificare il passaggio con margine rispetto al 12 ottobre 2027.
• Joomla 4: nessuna correzione di sicurezza dall'ottobre 2025; il percorso passa per Joomla 4.4 e Joomla 5.4 prima di arrivare a Joomla 6, con verifiche a ogni passaggio.
• Joomla 3: nessuna correzione dall'agosto 2023; serve una migrazione vera e propria, con particolare attenzione al template e alla conservazione degli URL indicizzati.
• In tutti i casi: controllare la versione di PHP sul server, che dal 1° gennaio 2027 non dovrebbe essere inferiore alla 8.3.

Chi sta valutando anche altri aspetti tecnici del proprio sito, dalla scelta della piattaforma alla sicurezza, trova ulteriori analisi nella sezione dedicata alla realizzazione di siti web.