Max Ytetsu
Seu site pode estar aberto para hackers e você nem sabe. O motivo mais comum não é senha fraca nem plugin pirata: é a versão do PHP, a linguagem que faz o WordPress funcionar por trás das páginas.
Um levantamento da Censys publicado em 2026 mostrou que mais de 70% dos sites WordPress públicos rodam versões de PHP que já não recebem correção de segurança. Mais de 20% ainda estão no PHP 7.4, que perdeu o suporte em novembro de 2022. E os ataques são automáticos: robôs varrem a internet o dia todo procurando exatamente esses sites.
Atualização de 22/10/2026: falha crítica descoberta no PHP. Em 21 de outubro o PHP liberou uma correção de emergência para duas falhas graves, apelidadas de PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Elas permitem que um invasor, sem login nenhum, execute comandos no servidor do seu site. Afetam praticamente todas as versões do PHP desde 2004, os detalhes vazaram antes da correção e já há registros de ataques acontecendo.
Seu site só está protegido se estiver em uma destas versões ou superior: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. PHP 8.1 ou anterior não vai receber correção: a única saída é trocar de versão.
Não sabe a sua versão? Me chame no WhatsApp que eu confiro para você.
Quer saber agora se o seu site está exposto? Faça a auditoria gratuita do seu site e receba em 1 minuto um relatório com os riscos de segurança, a versão do WordPress e o que corrigir primeiro.
Por que PHP antigo é porta aberta
- Falha descoberta, falha que nunca será corrigida. Quando uma versão chega ao fim da vida, novas brechas continuam aparecendo, mas ninguém lança mais correção.
- Os ataques são em massa. Em 2026 uma campanha trocou o conteúdo de mais de 900 sites pela mensagem “Hacked By MR.GREEN”. Ninguém escolheu esses sites a dedo: eles estavam desatualizados.
- O prejuízo vai além do site. Site invadido pode redirecionar seus clientes para golpes, ser bloqueado pelo Google, derrubar seus anúncios e expor dados de quem preencheu seus formulários (o que envolve a LGPD).
Quais versões do PHP são seguras hoje
- PHP 8.5: seguro a partir da 8.5.12.
- PHP 8.4: seguro a partir da 8.4.27.
- PHP 8.3: seguro a partir da 8.3.36. Recebe só correções de segurança até dezembro de 2027.
- PHP 8.2: seguro a partir da 8.2.35, mas perde o suporte em 31 de dezembro de 2026. Planeje a troca agora.
- PHP 8.1, 8.0, 7.x e 5.x: vulneráveis ao PHP2Shell e sem correção. Atualize o quanto antes.
Repare que não basta estar no 8.3 ou no 8.4: o número depois do segundo ponto importa. Um site no 8.3.31, por exemplo, ainda está exposto.
Como descobrir a versão do PHP do seu site em 2 minutos
Opção 1: pelo painel do WordPress (mais fácil)
- Entre no painel do seu site (seusite.com.br/wp-admin).
- Vá em Ferramentas > Saúde do site.
- Clique na aba Informações e abra a seção Servidor.
- Procure a linha Versão do PHP.
Se a aba Status mostrar o aviso “Seu site está usando uma versão desatualizada do PHP”, é sinal vermelho.
Opção 2: pelo painel da hospedagem
Na Hostinger, HostGator, Locaweb, KingHost e na maioria das empresas, a versão aparece em uma área chamada Configuração do PHP, Selecionar versão do PHP ou MultiPHP Manager (no cPanel).
Como atualizar sem quebrar o site
- Faça um backup completo (arquivos e banco de dados). Sem backup, não mexa em nada.
- Atualize o WordPress, os plugins e o tema primeiro. Versões antigas de plugins são as que mais dão erro com PHP novo.
- Troque a versão no painel da hospedagem, subindo um degrau de cada vez quando possível (por exemplo, 7.4 para 8.1, depois 8.3).
- Teste o site logo em seguida: página inicial, formulários, botão de WhatsApp, carrinho e checkout, se tiver loja.
- Deu tela branca ou erro? Volte para a versão anterior no mesmo painel. O site volta ao normal e você descobre qual plugin precisa de ajuste.
Checklist rápido de segurança além do PHP
- WordPress sempre na última versão, com atualização automática ligada.
- Plugins atualizados, e os que você não usa, apagados (não só desativados).
- Nenhum usuário chamado “admin” e senhas fortes com verificação em duas etapas.
- Certificado SSL ativo (cadeado no navegador).
- Backup automático guardado fora da hospedagem.
Teste seu site de graça agora
Antes de mexer em qualquer coisa, descubra onde o seu site está vulnerável. Criei uma ferramenta gratuita que analisa o site de fora, do mesmo jeito que um robô de ataque faria, sem invadir e sem derrubar nada. Ela verifica versão do PHP e do WordPress, portas de acesso abertas, arquivos expostos, sinais de invasão, SEO e velocidade.
Não conseguiu ou ficou com medo de mexer?
Normal. Atualizar PHP em site com muitos plugins, tema antigo ou loja virtual pode dar dor de cabeça. Eu trabalho há mais de 15 anos com sistemas, servidores e WordPress e faço esse processo completo: verificação da versão, backup, atualização, testes e correção do que quebrar.
Fez o teste e apareceu algum alerta? Me chame no WhatsApp com o resultado que eu te digo o que precisa ser feito.
