Modernizzazione dei sistemi legacy prima dello stop alle patch: .NET 8, PHP 8.2 e Windows Server 2016 nel 2026–2027

In breve: le tre date critiche del 2026–2027 sono il 10 novembre 2026 per .NET 8 e .NET 9, il 31 dicembre 2026 per PHP 8.2 e il 12 gennaio 2027 per Windows Server 2016 e .NET Framework 4.6.2. In queste date non si spegne nulla: il server e l'applicazione continuano a funzionare. A finire è la fornitura di patch di sicurezza per le vulnerabilità scoperte da quel momento in poi. Una buona modernizzazione dei sistemi legacy segue una sequenza, non il calendario: un inventario, la catena delle dipendenze, una decisione separata per ogni sistema (aggiornamento, migrazione, refactoring, strangler fig, riscrittura o dismissione) e una migrazione per fasi con un piano di rollback. Il programma Extended Security Updates (ESU) di Microsoft è, lungo questo percorso, un ponte condizionato, della durata massima di tre anni, non una destinazione.

Abbiamo scritto questa guida per responsabili IT, CTO e titolari d'azienda con infrastrutture on-premise o ibride. Si rivolge anche ai team che mantengono applicazioni PHP/Laravel o .NET e a chi prepara il budget IT 2027, comprese le aziende internazionali che gestiscono sistemi in Turchia o lavorano con partner turchi. Dove una norma vale solo in Turchia, la spieghiamo brevemente. Abbiamo verificato le date sulle pagine del ciclo di vita dei produttori e negli annunci ufficiali. Non indichiamo prezzi e non forniamo interpretazioni legali. Articolo aggiornato al 31 ottobre 2026.

Calendario di fine supporto 2026–2027: quali software smettono di ricevere patch, e quando?

Nota sulle date: le pagine sul ciclo di vita di Microsoft indicano la data di fine nell'ora del Pacifico, come 06:59:59 del giorno successivo («1/13/2027 6:59:59 AM» per Windows Server 2016). In tabella usiamo i giorni indicati negli annunci di Microsoft. Per Windows Server 2016, il termine esatto è il 13 gennaio 2027 alle 17:59:59 ora della Turchia (UTC+3). Per i progetti open source, le date future sono pianificate; per Python 3.11, finora è noto solo il mese.

Che cosa significa fine del supporto? Che cos'è un sistema legacy?

Sistema legacy: software o infrastruttura che svolge ancora attività critiche, ma le cui tecnologie, versioni o competenze sono superate. È diventato difficile da modificare e il supporto del produttore è spesso terminato o in scadenza.

Fine del supporto: la data in cui il produttore smette di fornire aggiornamenti di sicurezza, correzioni di bug e assistenza tecnica per una versione. Il software continua a funzionare, ma le nuove vulnerabilità non vengono corrette.

Per i prodotti soggetti alla Fixed Lifecycle Policy di Microsoft, il primo a terminare è il supporto mainstream. Durante il supporto esteso, gli aggiornamenti di sicurezza proseguono senza costi aggiuntivi. La vera rottura arriva il giorno in cui finisce il supporto esteso. Da quel momento gli aggiornamenti di sicurezza sono disponibili solo tramite il programma ESU, che Microsoft offre per alcuni prodotti. Nei progetti open source, l'equivalente è la data di EOL (end of life, fine vita). Secondo php.net, chi usa una release EOL «dovrebbe aggiornare il prima possibile, perché potrebbe essere esposto a vulnerabilità di sicurezza prive di patch». La politica di supporto di Microsoft per .NET è ancora più chiara: «Si raccomanda vivamente di non utilizzare software fuori supporto».

Non confonda il supporto mainstream con quello esteso: il supporto mainstream di Windows Server 2022 è terminato il 13 ottobre 2026, ma le patch di sicurezza proseguono fino a ottobre 2031.

Perché «se funziona, non si tocca» può costare caro?

Sicurezza: due vulnerabilità note come PHP2Shell (CVE-2026-109618 e CVE-2026-109619; punteggio CVSS v4.0 di 9,2; esecuzione di codice remoto senza autenticazione) sono state corrette il 21 ottobre 2026 con release ufficiali su tutti i rami supportati. Per i rami a fine vita 7.4, 8.0 e 8.1, il team di sicurezza di PHP ha fatto un'eccezione vista la gravità delle falle e ha condiviso solo patch minime del codice sorgente (dettagli nel nostro articolo su PHP2Shell). Per la prossima vulnerabilità non c'è alcuna garanzia che accada lo stesso.

KVKK: KVKK è la legge turca sulla protezione dei dati personali (legge n. 6698); la stessa sigla indica anche l'autorità nazionale per la protezione dei dati. L'articolo 12 della legge impone al titolare del trattamento di adottare «tutte le misure tecniche e amministrative necessarie per garantire un adeguato livello di sicurezza» (traduzione nostra). La Guida alla sicurezza dei dati personali dell'autorità segnala inoltre che alcuni software molto diffusi presentano vulnerabilità documentate, soprattutto nelle versioni più vecchie. Annovera la gestione delle patch e gli aggiornamenti software tra gli elementi importanti. La valutazione legale spetta al suo consulente legale. Il dato tecnico è questo: non si possono gestire le patch su un sistema che non ne riceve più.

Produttore: il supporto di Microsoft 365 Apps su Windows Server 2016 è terminato il 14 ottobre 2025. Le installazioni su questi server sono ferme alla versione 2602 e riceveranno solo aggiornamenti di sicurezza fino al 10 ottobre 2028. Se esegue Office da un server Remote Desktop Services (RDS) con questa versione, pianifichi insieme sistema operativo e Office.

Primo passo: come realizzare l'inventario dei sistemi legacy in 5 giorni lavorativi?

Consigliamo di concentrare l'inventario in una settimana lavorativa. L'obiettivo non è un registro degli asset perfetto, ma un'unica tabella che guidi le decisioni. Per ogni sistema, annoti quanto segue:

• Server e sistema operativo: versione, fisico o virtuale, dove viene eseguito.
• Runtime e framework: versioni di PHP, .NET, .NET Framework, Node.js, Python e Laravel; dipendenze dei pacchetti.
• Database: versione di SQL Server, MySQL/MariaDB o PostgreSQL.
• Hosting: cPanel/CloudLinux, IIS, un server on-premise o il cloud.
• Integrazioni: ERP, integratore e-Fatura (il sistema turco di fatturazione elettronica), POS virtuale (pagamenti online con carta), spedizioni, marketplace.
• Licenze: dispone di Software Assurance attiva, licenze in abbonamento o SPLA? Da questo dipende la possibilità di ottenere l'ESU on-premise.
• Responsabile di business: se il sistema si ferma, quale processo si blocca e chi prende la decisione?
• Copertura dei test: chi verifica un aggiornamento e come?
• Backup e rollback: quando è stato eseguito l'ultimo test di ripristino?

Assegni poi a ogni sistema un punteggio su due assi: urgenza (il supporto è già terminato o mancano 6 mesi, 12 mesi o più?) e impatto sul business (ricavi, operatività, obblighi legali). I sistemi con punteggio alto su entrambi gli assi formano la prima ondata. Gli altri entrano nel calendario.

Non una data, ma una catena di dipendenze: quale aggiornamento ne innesca un altro?

Spesso un aggiornamento ne innesca un altro. Se non vede la catena, dovrà intervenire due volte sullo stesso sistema nel giro di un anno. Per i database, le regole di aggiornamento dipendono dal produttore. MySQL non supporta il salto di una serie negli aggiornamenti tra serie LTS. MariaDB, invece, supporta l'aggiornamento diretto dalle versioni precedenti all'ultima, senza passaggi intermedi.

Fine del supporto di Windows Server 2016: .NET Framework 4.6.2 e SQL Server sono nella stessa catena

Il supporto di .NET Framework 4.6.2 termina lo stesso giorno di Windows Server 2016. Le versioni da 4.7 a 4.8.1 non hanno una data di fine propria: sono considerate un componente di Windows e seguono quindi il ciclo di vita del sistema operativo su cui sono installate. Ciò significa che anche la 4.8 su Windows Server 2016 esce dal supporto lo stesso giorno. Secondo Microsoft, la 4.6.2 e le versioni successive sono aggiornamenti in-place, e le applicazioni 4.x più vecchie dovrebbero funzionare senza ricompilazione. Lo verifichi comunque prima in un ambiente di test. .NET Framework è un prodotto distinto da .NET 8. Se il database del suo ERP gira su SQL Server 2014 o 2016, è l'elenco delle versioni supportate dal fornitore dell'ERP a determinare la versione di destinazione. I fornitori possono anche cambiare le regole di integrazione (un esempio è il passaggio di Mikro V17 a un'API ufficiale; Mikro è un fornitore turco di ERP).

Fine del supporto di .NET 8: passare a .NET 10, non a .NET 9

A settembre 2025 Microsoft ha esteso lo STS (Standard Term Support) da 18 a 24 mesi. Di conseguenza anche .NET 9 termina il 10 novembre 2026, quindi passare a .NET 9 non fa guadagnare nemmeno un giorno. La destinazione è .NET 10 LTS (Long Term Support), supportato fino al 14 novembre 2028. Testi insieme la compatibilità dei pacchetti NuGet, le breaking change e la pipeline di build e rilascio.

EOL di PHP 8.2: Laravel 12 e la catena dell'hosting

Il supporto di sicurezza di Laravel 12 termina il 24 febbraio 2027 e Laravel 13 richiede PHP 8.3–8.5. Per un'applicazione Laravel 12 su PHP 8.2, ciò significa due aggiornamenti in due mesi. Laravel 12 supporta anche PHP 8.4, quindi separi i passaggi: prima PHP 8.4, poi Laravel 13. Su cPanel/CloudLinux, la versione di PHP si seleziona di solito per account o per dominio. Prima di aggiornare, controlli le dipendenze Composer, i moduli codificati e le estensioni PHP.

Riscrivere o fare refactoring? Sei percorsi e una matrice decisionale per la modernizzazione dei sistemi legacy

Il percorso giusto dipende dallo stato del sistema e da quanto downtime l'azienda può tollerare:

Quattro domande decidono il percorso:

1. Ci sono test? In caso contrario, il primo lavoro è scrivere test di caratterizzazione che registrino il comportamento attuale.
2. Le regole di business sono documentate, e chi detiene il codice sorgente e il know-how? Regole non documentate, un fornitore che non c'è più o moduli di cui non possiede il codice sorgente sono tutti fattori che restringono le opzioni.
3. Quante integrazioni e quanti utenti ci sono? Ogni integrazione è un test di migrazione a sé.
4. Quali normative si applicano? In Turchia, la KVKK e le regole dell'e-Fatura influiscono sul modo in cui i dati devono essere conservati durante la migrazione.

Se il server deve essere spostato, entra nella decisione anche la migrazione al cloud. Trattiamo l'equilibrio tra prodotti standard e sviluppo su misura nei nostri articoli su software su misura e software standard e su ERP e CRM su misura. Se non c'è più nessuno che conosca il sistema, un Fractional CTO (CTO a tempo parziale) può guidare il processo decisionale.

Il pattern strangler fig: rinnovare un sistema pezzo per pezzo senza spegnerlo

Il nome deriva da un'analogia di Martin Fowler. Un fico strangolatore (strangler fig) germoglia su un albero. Man mano che mette radici e cresce, prende gradualmente il posto del suo ospite. Fowler osserva che i piani di riscrittura uno a uno di un sistema legacy falliscono nella maggior parte dei casi. È difficile ricostruire i dettagli del comportamento attuale, e gran parte di quel comportamento è in realtà indesiderata. Il percorso graduale richiede un'architettura di transizione che viene eliminata a lavoro finito. Secondo Fowler, «la riduzione del rischio e il valore anticipato dell'approccio graduale ne superano i costi». Le linee guida di architettura di Microsoft seguono la stessa idea: una facciata (proxy) si colloca tra il client e i due sistemi e, man mano che le funzionalità vengono trasferite, l'instradamento passa al nuovo sistema. Un esempio ipotetico:

1. Davanti a un vecchio portale rivenditori su PHP 8.2 viene collocato un API gateway. Tutto il traffico va ancora al vecchio codice.
2. Il comportamento attuale dell'API degli ordini viene registrato con test di caratterizzazione e ricostruito in un nuovo servizio.
3. Tramite un feature flag, il gateway apre la nuova route degli ordini prima ai rivenditori pilota. In caso di problemi, il flag viene disattivato e il traffico torna al vecchio codice.
4. La parte più difficile sono i dati: entrambi i sistemi devono vedere gli stessi ordini. La sincronizzazione si imposta tramite un database condiviso o la change data capture (CDC), e se ne verifica la coerenza.
5. Gli altri moduli vengono trasferiti uno alla volta. Il vecchio portale viene spento per ultimo.

Che cos'è l'ESU? Gli Extended Security Updates sono un ponte o una trappola?

Microsoft ha annunciato l'ESU per Windows Server 2016 il 25 febbraio 2026; il programma parte il 12 gennaio 2027. Microsoft descrive l'ESU come «un'opzione a pagamento di ultima istanza»: non una soluzione permanente, ma un ponte temporaneo mentre si passa a una nuova piattaforma. Le condizioni generali riportate nella pagina FAQ sull'ESU sono le seguenti (al momento la pagina copre i programmi per Windows Server 2012/2012 R2 e Windows 10):

• Durata e ambito: fino a tre anni dopo la fine del supporto esteso; solo aggiornamenti di sicurezza critici e importanti, senza assistenza tecnica generale.
• Su Azure: gratuito sulle macchine virtuali Azure.
• On-premise: a pagamento, in modalità pay-as-you-go tramite Azure Arc oppure annuale tramite Volume Licensing. Servono Software Assurance attiva, licenze in abbonamento (CSP incluso) o SPLA.
• Regole: con Volume Licensing non può acquistare il secondo o il terzo anno senza quelli precedenti. Se si iscrive ad Azure Arc in ritardo, i mesi persi vengono fatturati retroattivamente.

Al momento della stesura, le date anno per anno, i prezzi e le condizioni specifiche per Windows Server 2016 non figurano ancora nella pagina del ciclo di vita di Microsoft né nelle FAQ sull'ESU. Chieda conferma a Microsoft o al suo partner per le licenze. La politica di supporto di Microsoft per .NET non prevede alcuna estensione a pagamento per .NET 8. Dopo il 31 dicembre, PHP 8.2 non riceverà correzioni di sicurezza da php.net. php.net segnala che alcune distribuzioni Linux e alcuni fornitori LTS offrono correzioni in backport per i rami non supportati. Se sceglie questa strada, si faccia confermare per iscritto ambito e durata dal fornitore.

La nostra regola è semplice: leghi l'ESU a una data di migrazione. «Un anno di ESU, poi migrazione in una data stabilita» è un piano. L'ESU senza data è solo una fattura di modernizzazione rimandata.

Roadmap di 90 giorni per la modernizzazione dei sistemi legacy in vista del budget IT 2027

1. Novembre 2026: completi l'inventario. Porti le applicazioni .NET 8 e 9 su .NET 10; tra quelle che non saranno pronte entro il 10 novembre, dia la precedenza a quelle esposte su internet. Provi l'aggiornamento di PostgreSQL 14 su una copia.
2. Dicembre 2026: aggiorni le applicazioni PHP 8.2 alla 8.4 (o temporaneamente alla 8.3 se le dipendenze non sono pronte) e metta in calendario la migrazione a Laravel 13. Prenda la decisione su Windows Server 2016: Windows Server 2025, passaggio al cloud o ESU con migrazione a una data fissa.
3. Gennaio 2027: prima del 12 gennaio, attui la decisione o aderisca all'ESU. Per SQL Server 2014 e 2016, pianifichi una finestra di migrazione con la versione di destinazione approvata dal fornitore del suo ERP.
4. Il resto del 2027: Laravel 12 nel primo trimestre; Visual Studio 2017, Node.js 22 e Ubuntu 22.04 nel secondo; l'ESU di SQL Server 2014 nel terzo; Python 3.11, SQL Server 2017, PostgreSQL 15 e PHP 8.3 nel quarto.

Voci di budget: inventario e consulenza; automazione dei test e pipeline CI/CD; licenze (compreso l'ESU, se necessario); infrastruttura duplicata durante il periodo di esercizio in parallelo; backup e disaster recovery, compresi i test di ripristino.

Come La aiuta Partnerfy

Gestiamo la modernizzazione non come un unico grande progetto, ma come una serie di decisioni, prese sistema per sistema. Partiamo da un inventario e da un punteggio di rischio basati sull'elenco di questo articolo. Per ogni sistema presentiamo poi per iscritto il percorso consigliato, con motivazioni e rischi. In fase di realizzazione impostiamo innanzitutto test di regressione automatizzati e una pipeline CI/CD. Prima di ogni migrazione eseguiamo un backup e proviamo i passaggi di rollback, e la messa in produzione avviene per fasi. L'ambito completo è descritto nella nostra pagina Modernizzazione del software. Per fissare un colloquio sull'inventario, ci contatti.

Fonti

• PHP: Versioni supportate, Rami non supportati, Archivio notizie 2026
• .NET: Politica di supporto, Annuncio STS, .NET Framework, FAQ su .NET Framework
• Windows Server: 2016, 2012, 2012 R2, 2022, 2025, Annuncio sul blog
• Ciclo di vita ed ESU: Fixed Lifecycle Policy, Pagina ESU, FAQ sull'ESU
• SQL Server: 2014, 2016, 2017, 2022, 2025
• Altro: Office 2021, Office LTSC 2021, Exchange 2016, Exchange 2019, SharePoint 2016, SharePoint 2019, Visual Studio 2017, Windows 10, Microsoft 365 Apps
• Database: MySQL 8.0, MySQL LTS, MariaDB, PostgreSQL
• Runtime: Node.js, Python, Laravel, Ubuntu
• Hosting: cPanel MultiPHP Manager, CloudLinux PHP Selector
• Pattern: Martin Fowler – Strangler Fig, Microsoft – Pattern Strangler Fig
• KVKK: Legge n. 6698 sulla protezione dei dati personali (in turco), Guida alla sicurezza dei dati personali (in turco)

Domande frequenti