Voltar à tendência do dia: Duas falhas no PHP deixam estranhos tomarem sites; alguns saíram do ar por precaução
Ranking Poly · da tendência do dia

Como atualizar o PHP no meu site: 10 plataformas em risco em 2026

Atualizar o WordPress não resolve isto: o WordPress.org diz que nenhuma atualização do WordPress está prevista. 24 horas depois da correção do PHP, 99,1% dos servidores de WordPress afetados em uma amostra da Shodan ainda rodavam PHP sem correção.

  • Nº 1: WordPress
  • 10 posições

01Lista final

As IAs líderes montaram cada uma a sua lista de dez, de forma independente. Aqui está um resultado fácil de conferir: cada posição tem um motivo, uma fonte e a lista das IAs que a incluíram.

Ordem: da maior para a menor concordância entre as IA.

Uma etiqueta forte significa que essa IA pôs o item na sua lista. Uma esmaecida, que não pôs.

  1. 1

    WordPress

    O maior risco. Cerca de 1 em cada 3 instalações roda PHP 8.1 ou anterior; as medições vão de 32,4% a 36,4%. São 33.075 servidores afetados em uma amostra da Shodan, e só 299 foram corrigidos.

    Incluíram: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Nas listas delas: Claude: 5 · ChatGPT: 1 · Grok: 1 · Nemotron: 1 · Gemini: 1 · Kimi: 1 · Wenxin: 1

    O que cada IA notou 7
    • Claudeposição 5

      Cerca de 1 em cada 3 instalações do WordPress informa PHP 8.1 ou anterior, e a WordPress.org disse que nenhuma atualização do WordPress está prevista: a correção é a atualização do PHP.

      Fonte ↗
    • ChatGPTposição 1

      A plataforma de sites mais usada do mundo não consegue corrigir o motor PHP pelo botão comum de atualização do núcleo do WordPress.

      Fonte ↗
    • Grokposição 1

      Mesmo um site WordPress totalmente corrigido continua exposto até que a hospedagem atualize o motor PHP por baixo dele

      Fonte ↗
    • Nemotronposição 1

      ~60% dos sites WordPress rodam PHP sem suporte, segundo as estatísticas da WP.org, mas a troca de PHP em um clique existe na maioria das hospedagens gerenciadas

    • Geminiposição 1

      Mais de 40 milhões de sites atualizados mostram marcas verdes no wp-admin enquanto rodam, sem alarde, motores PHP 7.4 ou 8.0 sem suporte por baixo.

      Fonte ↗
    • Kimiposição 1

      Dois em cada cinco sites do planeta usam essa plataforma — e um em cada três ainda informa um PHP sem suporte, enquanto o WordPress 7.1.2, já atualizado, estava na lista de demonstrações de exploração do próprio pesquisador.

      Fonte ↗
    • Wenxinposição 1

      Quase 4 em cada 10 sites rodam nela, mas um clique no painel pode trocar o motor PHP se a hospedagem permitir — porém 18% das instalações ainda informam PHP 7.x ou anterior

    7 IAs colocaram aqui
    Fonte ↗
  2. 2

    Drupal

    Quase metade dos sites Drupal já roda um núcleo sem suporte (29% só no Drupal 7). Só 31 dos 3.919 servidores afetados foram corrigidos depois de um dia.

    Incluíram: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Nas listas delas: Claude: 3 · ChatGPT: 3 · Grok: 2 · Nemotron: 2 · Gemini: 3 · Kimi: 4 · Wenxin: 2

    O que cada IA notou 7
    • Claudeposição 3

      A Wiz demonstrou execução remota de código contra a imagem mais recente do Drupal, então um núcleo atualizado não dava proteção.

      Fonte ↗
    • ChatGPTposição 3

      O Drupal documenta um limite claro: nenhuma versão com suporte do Drupal atende ao PHP 7, mas atualizar o Drupal ainda assim não corrige o próprio PHP.

      Fonte ↗
    • Grokposição 2

      Cerca de metade dos sites Drupal detectados já roda versões principais sem suporte, e o PHP por baixo está igualmente fora do atualizador da plataforma

    • Nemotronposição 2

      O Drupal 10 ou mais recente exige PHP 8.1 ou superior, mas sites Drupal 7 (ainda cerca de 15% das instalações) continuam presos ao PHP 7.4, sem suporte

      Fonte ↗
    • Geminiposição 3

      Há uma divisão grave: holdouts corporativos do Drupal 7 mantêm ambientes PHP 7.4, apesar de o Drupal 10 exigir PHP 8.2 ou superior.

      Fonte ↗
    • Kimiposição 4

      Quase metade de todos os sites Drupal ainda roda um núcleo sem suporte — 29% estão só no Drupal 7, sem suporte desde janeiro de 2025 — então o PHP deles costuma ser ainda mais antigo.

    • Wenxinposição 2

      O atualizador muda a plataforma, mas não mexe no motor PHP — 22% dos sites Drupal estão em PHP sem suporte porque a hospedagem nunca atualizou

      Fonte ↗
    7 IAs colocaram aqui
    Fonte ↗
  3. 3

    Joomla

    Só 4 dos 646 servidores Joomla afetados tinham o PHP corrigido após 24 horas. O próprio Joomla.org saiu do ar, e o Joomla 6.1.4 atual foi explorado em uma demonstração.

    Incluíram: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Nas listas delas: Claude: 4 · ChatGPT: 2 · Grok: 3 · Nemotron: 3 · Gemini: 2 · Kimi: 2 · Wenxin: 3

    O que cada IA notou 7
    • Claudeposição 4

      Só 4 dos 1.099 servidores Joomla da amostra da OX mostravam um PHP corrigido depois de um dia.

      Fonte ↗
    • ChatGPTposição 2

      Um painel do Joomla atualizado pode conviver com um motor PHP desatualizado por baixo.

    • Grokposição 3

      Presença menor que a do WordPress, mas a mesma barreira do PHP controlado pela hospedagem para qualquer site que queira as correções de outubro de 2026

      Fonte ↗
    • Nemotronposição 3

      O Joomla 5.x exige PHP 8.2 ou superior; o 4.x, o 8.1; muitos sites 3.x seguem no PHP 7.4 sem caminho de atualização do núcleo

      Fonte ↗
    • Geminiposição 2

      Quase metade das implantações em produção roda PHP antigo, porque as extensões quebram logo ao migrar para o PHP 8.2 ou 8.3.

    • Kimiposição 2

      82% dos sites Joomla ainda rodam a versão 3 — um software que funciona bem no PHP de 2012 — e o próprio site do projeto Joomla saiu do ar por causa dessa falha.

      Fonte ↗
    • Wenxinposição 3

      Atualizador de um clique para o próprio Joomla, zero controle sobre o PHP — um em cada cinco instalações do Joomla ainda vem com PHP 7.4

      Fonte ↗
    7 IAs colocaram aqui
    Fonte ↗
  4. 4

    Magento / Adobe Commerce

    Nenhum dos 48 servidores Magento afetados na amostra foi corrigido depois de um dia. Sansec: «você não consegue corrigir o PHP2Shell de dentro do código da sua loja».

    Incluíram: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    Nas listas delas: Claude: 1 · ChatGPT: 4 · Grok: 4 · Nemotron: 4 · Gemini: 4 · Kimi: 3 · Wenxin: 4

    O que cada IA notou 7
    • Claudeposição 1

      Na amostra da OX, 48 servidores Magento visíveis foram afetados, e nenhum tinha sido corrigido depois de 24 horas. As atualizações da própria loja nunca mexem no PHP.

      Fonte ↗
    • ChatGPTposição 4

      Uma correção no ambiente de execução pode virar uma atualização coordenada de loja quando a versão do PHP e a pilha de dependências suportadas da loja precisam mudar juntas.

      Fonte ↗
    • Grokposição 4

      Instalações de e-commerce que se mantêm atualizadas na plataforma podem continuar com PHP sem correção até que o servidor ou a hospedagem mude o ambiente de execução

      Fonte ↗
    • Nemotronposição 4

      O Magento 2.4.7 ou mais recente exige PHP 8.2 ou superior; 2.4.x mais antigos no PHP 8.1 logo ficam sem suporte; o Cloud atualiza o PHP automaticamente

      Fonte ↗
    • Geminiposição 4

      Restrições rígidas de dependências compiladas significam que atualizar o motor PHP exige recompilar tudo, deixando lojas de e-commerce presas a ambientes aposentados.

      Fonte ↗
    • Kimiposição 3

      As lojas do Magento 1 não têm suporte oficial de segurança desde junho de 2020 — para elas, essa correção de emergência simplesmente não existe; só uma atualização do servidor resolve.

      Fonte ↗
    • Wenxinposição 4

      Plataforma de nível corporativo, mas o atualizador corrige só o código do Magento; atualizar o PHP exige chamar a hospedagem — 30% das lojas ainda estão no PHP 7.4

      Fonte ↗
    7 IAs colocaram aqui
    Fonte ↗
  5. 5

    Laravel e aplicativos PHP personalizados

    Nenhum painel avisa ninguém, e nenhuma ferramenta de framework consegue mudar o PHP. 98,27% dos servidores Laravel visíveis ainda estavam sem correção após um dia (36 de 2.040 afetados foram corrigidos).

    Incluíram: Claude, ChatGPT, Grok, Nemotron. Não incluíram: Gemini, Kimi, Wenxin.

    Nas listas delas: Claude: 6 · ChatGPT: 5 · Grok: 5 · Nemotron: 6

    O que cada IA notou 4
    • Claudeposição 6

      98,27% dos servidores Laravel visíveis na amostra da OX continuavam sem correção, e o framework não tem nenhuma ferramenta que altere o PHP do servidor.

      Fonte ↗
    • ChatGPTposição 5

      Pode nem existir um painel do CMS para avisar o dono de que o ambiente de execução real continua vulnerável.

    • Grokposição 5

      O código da aplicação pode estar atual enquanto o processo PHP por baixo continua em um ramo vulnerável, até que um operador reinicie com um novo binário

      Fonte ↗
    • Nemotronposição 6

      O Laravel 11.x exige PHP 8.2 ou superior; muitos apps 10.x estão no PHP 8.1; não há atualizador automático do PHP

      Fonte ↗
    4 IAs colocaram aqui
    Fonte ↗
  6. 6

    OpenCart e outras lojas PHP antigas

    Lojas antigas em PHP 5.6–8.1 não recebem nenhuma versão oficial do PHP. A saída é uma coleção de correções da comunidade, não um clique.

    Incluíram: Claude, Nemotron, Gemini. Não incluíram: ChatGPT, Grok, Kimi, Wenxin.

    Nas listas delas: Claude: 2 · Nemotron: 9 · Gemini: 5

    O que cada IA notou 3
    • Claudeposição 2

      A correção para esses sites é uma coleção de patches mantida pela comunidade, para PHP 5.6 a 8.1, e não uma atualização de um clique.

      Fonte ↗
    • Nemotronposição 9

      O OpenCart 4.x exige PHP 8.1 ou superior; a 3.x domina no PHP 7.4/8.0; o ecossistema de extensões fica para trás

      Fonte ↗
    • Geminiposição 5

      Muito difundido em hospedagens compartilhadas baratas e sem gestão, onde os donos das lojas raramente sabem que o interpretador PHP está cinco anos defasado.

      Fonte ↗
    3 IAs colocaram aqui
    Fonte ↗
  7. 7

    cPanel, Plesk e phpMyAdmin

    0 de 587 servidores cPanel afetados estavam corrigidos às 24 horas. As fontes divergem sobre a cobertura da correção: voltar ao PHP 5.2 (CloudLinux) ou nada abaixo do 7.3.

    Incluíram: Claude, ChatGPT, Kimi. Não incluíram: Grok, Nemotron, Gemini, Wenxin.

    Nas listas delas: Claude: 9 · ChatGPT: ver lista · Kimi: 10

    O que cada IA notou 3
    • Claudeposição 9

      O Plesk lançou builds corrigidos do PHP 8.2 a 8.5, mas o dono do site ainda precisa aplicá-los.

      Fonte ↗
    • ChatGPT

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimiposição 10

      O cPanel lançou correções para PHP 7.4 a 8.1 — e nada para PHP 7.3 ou anteriores, deixando uma grande parcela de instalações de painel de controle congelada.

      Fonte ↗
    3 IAs colocaram aqui
    Fonte ↗
  8. 8

    WooCommerce

    Cerca de 1 em cada 5 sites WordPress é uma loja WooCommerce. A documentação dela agora exige PHP 8.3+, mas as lojas são atingidas «mesmo quando o próprio código delas está limpo».

    Incluíram: Grok, Kimi. Não incluíram: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    Nas listas delas: Grok: 10 · Kimi: 5

    O que cada IA notou 2
    • Grokposição 10

      O plugin da loja pode estar atual enquanto a versão do PHP informada no Site Health continua vulnerável até que a hospedagem aja

      Fonte ↗
    • Kimiposição 5

      Um em cada cinco sites WordPress é uma loja, e o próprio material do WooCommerce agora exige PHP 8.3 ou superior — enquanto a maioria das lojas roda o PHP que a hospedagem do WordPress escolheu.

      Fonte ↗
    2 IAs colocaram aqui
    Fonte ↗
  9. 9

    MediaWiki

    O software que roda a Wikipédia: o MediaWiki 1.46.2 estava na lista de demonstrações de exploração, e a Wikimedia desligou o próprio Phabricator horas antes da correção.

    Incluíram: Grok, Kimi. Não incluíram: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    Nas listas delas: Grok: 7 · Kimi: 7

    O que cada IA notou 2
    • Grokposição 7

      Implantações de PHP de grande porte que ainda exigem a equipe de infraestrutura, e não o software da wiki, para aplicar a correção do motor

      Fonte ↗
    • Kimiposição 7

      O software por trás da Wikipédia usa o mesmo motor — a Wikimedia desativou o próprio Phabricator horas antes da correção sair.

      Fonte ↗
    2 IAs colocaram aqui
    Fonte ↗
  10. 10

    Nextcloud (hospedagem própria)

    O atualizador de um clique muda o aplicativo, não o PHP. O Nextcloud 35.0.1 atual foi explorado na demonstração. Só uma IA o listou, e ele não tem contagem de exposição.

    Incluíram: Kimi. Não incluíram: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.

    Nas listas delas: Kimi: 8

    O que cada IA notou 1
    • Kimiposição 8

      O atualizador de um clique, bem acabado, do Nextcloud atualiza o app — mas não mexe no PHP por baixo, e o Nextcloud 35.0.1 estava na lista de demonstrações de exploração.

      Fonte ↗
    1 IAs colocaram aqui
    Fonte ↗

Mais sobre os três primeiros ↓

02Mais sobre os três primeiros

O ranking está acima. Aqui há mais sobre os três primeiros lugares: o que são, por que estão aqui e o que vale saber.

As três foram medidas com amostras de tamanhos diferentes. Por isso, a parcela ainda sem correção é parecida em todas, enquanto o número de sites em risco varia muito.

1WordPress

Nº 1 — WordPress. Nas listas de 7 de 7 IAs; posição mediana ali: 1. É o grupo mais numeroso de sites expostos, e atualizar o próprio WordPress não corrige o motor PHP que fica por baixo.

Você sabia?

  • As versões do WordPress recebem nomes de músicos de jazz. A versão 1.0, lançada em 3 de janeiro de 2004, se chamou «Miles». A primeira versão, a 0.7, saiu em 27 de maio de 2003.

    Fonte ↗
O que é
A plataforma de sites mais usada, que roda em PHP.
Seu diferencial
Tem bem mais servidores afetados do que o Drupal ou o Joomla.
Quem deve saber
Útil para quem tem site em WordPress, já que a atualização do próprio WordPress não resolve isso.
  • Servidores atualizados após 24 horas299 de 33.075 atualizados

Wikipédia · Wikidata

Por que está aqui

  • Em uma varredura de 24 horas, 33.075 de 41.882 sites WordPress que mostravam a versão do PHP rodavam uma versão afetada. Só 299 tinham uma versão corrigida. É o maior grupo entre as três plataformas.

    Fonte ↗

  • Os números de PHP do próprio WordPress em janeiro de 2026: 22,20% dos sites monitorados rodavam PHP 7.4, 15,39% rodavam 8.1 e 5,69% rodavam 8.0. Juntos, dão cerca de 43%, sem contar versões mais antigas.

    Fonte ↗
História

  • Em 2003, Matt Mullenweg criou o WordPress como uma bifurcação do b2, uma ferramenta de blog. O criador tinha deixado de manter o b2, então Mullenweg pegou o código livre e construiu uma nova versão.

    Fonte ↗
Para ter em mente

  • O WordPress ainda roda em PHP 7.4+, mas a página oficial de requisitos diz que essa versão chegou ao fim da vida útil e pode deixar seu site exposto a falhas de segurança. Ela recomenda PHP 8.3 ou superior.

    Fonte ↗

  • Uma troca de PHP imposta pelo servidor pode quebrar temas ou plugins antigos. Um usuário do fórum contou que a área administrativa parou de funcionar depois de uma atualização do PHP, e o servidor depois voltou a uma versão anterior.

    Fonte ↗
O que as pessoas dizem

  • While trying to fix a relatively minor Google Map API problem, I have gone down a rabbit hole that has taken my site offline. — justinfarquhar

    Fonte ↗
Onde saber mais

  • Abra a página de requisitos e procure primeiro a linha do PHP. Ela indica a versão do PHP que o WordPress recomenda para o seu servidor. Depois, veja no painel da sua hospedagem qual versão do PHP o seu site usa.

    Fonte ↗

Vídeo: WordPress.org VS WordPress.com: The Confusing Differences Explained! (em inglês) · Darrel Wilson

Comparar os três primeiros ↓

2Drupal

Nº 2 — Drupal. Nas listas de 7 de 7 IAs; posição mediana ali: 3. Quase metade dos sites Drupal já roda um núcleo fora de suporte, e quase nenhum dos servidores afetados foi atualizado depois de um dia.

Você sabia?

  • O nome Drupal veio de um erro de digitação. Dries Buytaert queria «dorp.org» (em holandês, «vila»), mas digitou «drop», que em inglês significa «gota». O nome Drupal vem da palavra holandesa «druppel», que quer dizer gota.

    Fonte ↗
O que é
Uma plataforma de sites muito usada em sites maiores e feitos sob medida.
Seu diferencial
Muitos sites rodam em um núcleo que não recebe mais correções de segurança.
Quem deve saber
Útil para donos de sites Drupal que ainda estão na versão 7 e precisam migrar.
  • Servidores atualizados após 24 horas31 de 3.919 atualizados

Wikipédia · Wikidata

Por que está aqui

  • Dos 5.078 servidores Drupal que mostraram a versão do PHP, 3.919 estavam afetados após 24 horas. Só 31 tinham se atualizado, então 99,22% dos afetados ainda estavam abertos.

    Fonte ↗

  • A W3Techs mostra o Drupal 7 em 29,0% dos sites Drupal em 22 de outubro de 2026. É mais do que o Drupal 10, com 28,7%, e o Drupal 7 não recebe mais correções de segurança.

    Fonte ↗
História

  • Por volta do ano 2000, Dries Buytaert e amigos de um alojamento universitário dividiam um único modem ADSL entre oito estudantes. Eles criaram um pequeno site para conversar, e ele cresceu até virar o Drupal.

    Fonte ↗
Para ter em mente

  • A Tag1 diz que a ferramenta de migração do núcleo não transfere as Views, as listas e layouts salvos que exibem o conteúdo. Essas peças precisam de um módulo separado ou têm que ser refeitas à mão.

    Fonte ↗
Comparar os três primeiros ↓

3Joomla

Nº 3 — Joomla. Nas listas de 7 de 7 IAs; posição mediana ali: 3. Quase nenhum servidor Joomla afetado foi atualizado, e até a versão atual do Joomla foi explorada em uma demonstração.

Você sabia?

  • Joomla é uma grafia da palavra suaíli «Jumla», que significa «todos juntos» ou «como um todo». A equipe fundadora escolheu o nome, e profissionais de marca e marketing o revisaram antes de ele ser adotado.

    Fonte ↗
O que é
Uma plataforma de sites que surgiu do Mambo, mais antigo.
Seu diferencial
Teve a maior parcela de servidores afetados ainda sem correção depois de um dia.
Quem deve saber
Útil para donos de sites Joomla, porque atualizar só o Joomla não fecha a falha.
  • Servidores atualizados após 24 horas4 de 646 atualizados

Wikidata

Por que está aqui

  • Dos 1.099 servidores Joomla que mostraram a versão do PHP, 646 estavam afetados e só 4 tinham se atualizado após 24 horas. Com 99,38% ainda afetados, o Joomla ficou pior que o WordPress (99,1%) e o Drupal (99,22%).

    Fonte ↗

  • Pesquisadores da Wiz mostraram execução remota de código sem autenticação na imagem de contêiner mais recente do Joomla, classificada como CVSS 9,2. A falha está no próprio PHP, então atualizar só o Joomla não a fecha.

    Fonte ↗
História

  • Em 2005, os desenvolvedores principais do Mambo saíram depois de uma briga pelo controle. A Miro, dona do nome Mambo, criou uma fundação que, segundo os desenvolvedores, dava a ela poder demais. Eles então começaram o Joomla.

    Fonte ↗
Para ter em mente

  • O Joomla 3 está totalmente sem suporte. O manual oficial diz que o suporte terminou em 17 de agosto de 2023 e o suporte estendido (Extended LTS) terminou em 17 de fevereiro de 2025. Sites que ainda usam essa versão não recebem correções.

    Fonte ↗
O que as pessoas dizem

  • K2 extension do not work inside J4, and will not work (!) becuase of K2 developers. — Paul Frankowski

    Fonte ↗
Onde saber mais

  • Leia primeiro a linha do PHP. O Joomla 6 precisa de PHP 8.3.0 no mínimo, e o 8.4 é o recomendado. Compare isso com a versão do PHP que o seu servidor oferece para o seu site.

    Fonte ↗
Comparar os três primeiros ↓

Os três primeiros lado a lado

WordPressDrupalJoomla
Nas listas das IAs7 / 77 / 77 / 7
Servidores atualizados após 24 horas299 de 33.075 atualizados31 de 3.919 atualizados4 de 646 atualizados
Primeiro paraChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin——

Posições com o mesmo número de IAs são ordenadas pela posição média nas listas das IAs.

Mais rankings

03Vale a pena saber

O que as IAs perceberam ao montar a lista.

24 horas após a correção, 99,3% das instâncias de PHP mensuráveis em uma amostra da Shodan ainda estavam sem correção; os servidores corrigidos subiram só de 245 para 14.151, de cerca de 2 milhões.

Perceberam:
Incluíram: Claude, Grok. Não incluíram: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.
Fonte ↗

Duas contagens separadas concordam que cerca de 7 em cada 10 servidores PHP expostos rodam uma versão que o projeto PHP não suporta mais: Flare 72,7%, Qualys 71%.

Perceberam:
Incluíram: Claude. Não incluíram: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Fonte ↗

Um painel verde de «atualizado» não prova nada aqui: a falha fica abaixo do WordPress, dos temas e dos plugins, então só uma atualização do PHP a corrige.

Perceberam:
Incluíram: Claude, ChatGPT, Gemini, Kimi. Não incluíram: Grok, Nemotron, Wenxin.
Fonte ↗

Números de versão enganam nos dois sentidos: correções aplicadas a versões antigas pelo CloudLinux podem deixar um servidor corrigido mostrando PHP 8.5.11, enquanto pacotes de distribuição podem manter um texto de versão antigo.

Perceberam:
Incluíram: Claude, Kimi. Não incluíram: ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Fonte ↗

As estimativas de exposição variam muito conforme o método: de cerca de 1,3 milhão de servidores a 2,6 milhões (VulnCheck), 6,29 milhões (Censys) e 22,6 milhões de instâncias «potencialmente vulneráveis» (Palo Alto Networks).

Perceberam:
Incluíram: Claude, Grok, Kimi. Não incluíram: ChatGPT, Nemotron, Gemini, Wenxin.
Fonte ↗

04O que as pessoas perguntam

Como atualizar o PHP

Mude para uma versão corrigida: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, e depois reinicie todos os serviços que carregam o PHP. O PHP 8.1 e as versões anteriores não recebem correção oficial, então precisam de uma correção do fornecedor ou de uma atualização.

Fonte ↗
Como atualizar o PHP do meu site

Em hospedagem compartilhada ou gerenciada, escolha uma versão corrigida do PHP no painel de controle da sua hospedagem ou peça ao suporte. Atualizar WordPress, Drupal, Joomla ou Magento não muda o motor do PHP.

Fonte ↗
Como atualizar o PHP no Windows

Baixe uma versão corrigida para Windows (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) em windows.php.net, substitua a pasta antiga do PHP mas mantenha o php.ini, depois reinicie o IIS, o Apache ou o PHP-CGI.

Fonte ↗
Como atualizar a versão do PHP

Veja sua versão com php -v e atualize para a 8.2.35 ou mais nova. Como o próprio PHP 8.2 chega ao fim do suporte em 31 de dezembro de 2026, prefira 8.3, 8.4 ou 8.5 e teste primeiro em um ambiente de homologação.

Fonte ↗

05Como contamos

Em palavras simples, sem fórmulas.

1A pergunta

10 plataformas de sites em que um site atualizado ainda pode rodar um PHP vulnerável

2Por que este tema

Ela põe lado a lado pesquisas de uso e varreduras da internet e mostra quem de fato controla a correção, para que o dono do site veja a diferença entre «meu site está atualizado» e «meu servidor está seguro». Nenhuma tabela única mostra essa diferença.

3Onde se aplica

Global; WordPress, Drupal, Joomla, Magento e outros softwares de sites que rodam em PHP

4O que analisamos

  • Parcela das instalações de cada plataforma que roda uma versão do PHP fora de suporte
  • Parcela dessas instalações que os scanners conseguem alcançar pela internet
  • Parcela que roda o PHP de forma vulnerável, como no modo CGI
  • Se o atualizador da própria plataforma consegue mudar o motor do PHP, ou só a plataforma
  • Quão rápido a correção chega a um site comum: com um clique, pela hospedagem ou por uma atualização manual do servidor
  • WordPress.org Statistics — Parcela das instalações ativas do WordPress por versão do PHP informada. As medições do gráfico ao vivo variam: 32,4% a 36,4% em PHP 8.1 ou anterior
  • OX Security (amostra da Shodan, 24 horas após a correção) — Servidores encontrados, afetados e corrigidos em cada tecnologia. É uma amostra, não a internet inteira
  • W3Techs / TheDropTimes — Parcela das versões do PHP na web, e sites Drupal em versões principais fora de suporte

5Quem classificou

As IAs líderes: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Cada uma montou sua própria lista de dez de forma independente e indicou uma fonte para cada posição.

6Como as posições foram definidas

O mesmo item escrito de formas diferentes por IAs diferentes foi contado como um só. Quanto mais IAs o colocaram na lista, e quanto mais alto, mais alta a posição. "Acordo das IAs" mostra quantas IAs tinham o item na própria lista. As fontes são apenas as que as próprias IAs encontraram; nada foi acrescentado à mão.

06A lista de cada IA

🇺🇸 Claude10 posições · 4 notas

A mesma pergunta, respondida só por Claude. A lista final acima combina todas as IAs.

  1. 1
    Magento / Adobe Commerce (em servidor próprio)

    Na amostra da OX, 48 servidores Magento visíveis foram afetados, e nenhum tinha sido corrigido depois de 24 horas. As atualizações da própria loja nunca mexem no PHP.

    Fonte ↗
  2. 2
    OpenCart e outras lojas PHP antigas

    A correção para esses sites é uma coleção de patches mantida pela comunidade, para PHP 5.6 a 8.1, e não uma atualização de um clique.

    Fonte ↗
  3. 3
    Drupal (em servidor próprio)

    A Wiz demonstrou execução remota de código contra a imagem mais recente do Drupal, então um núcleo atualizado não dava proteção.

    Fonte ↗
  4. 4
    Joomla (em servidor próprio)

    Só 4 dos 1.099 servidores Joomla da amostra da OX mostravam um PHP corrigido depois de um dia.

    Fonte ↗
  5. 5
    WordPress em hospedagem compartilhada ou em VPS gerenciado por conta própria

    Cerca de 1 em cada 3 instalações do WordPress informa PHP 8.1 ou anterior, e a WordPress.org disse que nenhuma atualização do WordPress está prevista: a correção é a atualização do PHP.

    Fonte ↗
  6. 6
    Laravel e aplicativos PHP sob medida em servidores alugados

    98,27% dos servidores Laravel visíveis na amostra da OX continuavam sem correção, e o framework não tem nenhuma ferramenta que altere o PHP do servidor.

    Fonte ↗
  7. 7
    Imagens de WordPress / Drupal / Joomla baseadas em Docker

    Uma reconstrução resolve, mas a imagem oficial do php não recebe correção para a 8.1 ou anteriores.

    Fonte ↗
  8. 8
    Sites em hospedagem compartilhada com cPanel / CloudLinux

    Os pacotes de PHP do painel de controle foram corrigidos até o PHP 5.2, mas um site corrigido ainda pode mostrar um número de versão antigo.

    Fonte ↗
  9. 9
    Sites gerenciados pelo Plesk (VPS e hospedagens)

    O Plesk lançou builds corrigidos do PHP 8.2 a 8.5, mas o dono do site ainda precisa aplicá-los.

    Fonte ↗
  10. 10
    Hospedagem gerenciada de WordPress (Pantheon, Pressable, Kinsta, WP Engine)

    Pantheon e Pressable já estavam totalmente corrigidos em 22 de outubro. WP Engine e Flywheel colocaram proteção de CDN na frente enquanto as atualizações eram distribuídas.

    Fonte ↗

O que Claude percebeu

A amostra da OX Security no Shodan encontrou 99,3% das instâncias de PHP medidas ainda sem correção 24 horas depois da correção. O número de corrigidas subiu de 245 para 14.151 de cerca de 2 milhões.

Fonte ↗

Duas medições separadas concordam que cerca de 7 em cada 10 instâncias expostas de PHP rodam um ramo que o projeto PHP não suporta mais: Flare, 72,7% dos registros de serviço; Qualys, 71% das instalações.

Fonte ↗

Um painel do WordPress atualizado dá falsa tranquilidade. A Codeable diz que a WordPress.org confirmou que nenhuma atualização do WordPress é necessária ou prevista, porque a falha está abaixo do WordPress, dos temas e dos plugins.

Fonte ↗

Um aviso pode enganar nos dois sentidos. Os backports da CloudLinux podem deixar um servidor corrigido mostrando PHP 8.5.11, enquanto pacotes do Ubuntu ou do Debian podem manter o texto de versão antigo.

Fonte ↗
🇺🇸 ChatGPT10 posições · 3 notas

A mesma pergunta, respondida só por ChatGPT. A lista final acima combina todas as IAs.

  1. 1
    Sites WordPress — atualização de segurança do PHP, 2026

    A plataforma de sites mais usada do mundo não consegue corrigir o motor PHP pelo botão comum de atualização do núcleo do WordPress.

    Fonte ↗
  2. 2
    Sites Joomla — atualização de segurança do PHP, 2026

    Um painel do Joomla atualizado pode conviver com um motor PHP desatualizado por baixo.

  3. 3
    Sites Drupal — atualização de segurança do PHP, 2026

    O Drupal documenta um limite claro: nenhuma versão com suporte do Drupal atende ao PHP 7, mas atualizar o Drupal ainda assim não corrige o próprio PHP.

    Fonte ↗
  4. 4
    Adobe Commerce e Magento Open Source — atualização de segurança do PHP, 2026

    Uma correção no ambiente de execução pode virar uma atualização coordenada de loja quando a versão do PHP e a pilha de dependências suportadas da loja precisam mudar juntas.

    Fonte ↗
  5. 5
    Sites PHP sob medida — atualização de segurança do PHP, 2026

    Pode nem existir um painel do CMS para avisar o dono de que o ambiente de execução real continua vulnerável.

  6. 6
    Aplicativos PHP antigos — atualização de segurança do PHP, 2026

    PHP 5 e PHP 7 juntos somavam 34,7% dos sites com PHP detectados no levantamento da W3Techs de 19 de outubro, embora isso não seja o mesmo que a parcela vulnerável a essas CVEs.

    Fonte ↗
  7. 7
    Aplicativos PHP em hospedagem compartilhada — atualização de segurança do PHP, 2026

    Um único ambiente de execução no servidor pode ser o gargalo de segurança de muitos sites de clientes mantidos separadamente.

    Fonte ↗
  8. 8
    Sites PHP em hospedagem gerenciada na nuvem — atualização de segurança do PHP, 2026

    A hospedagem gerenciada pode encurtar o caminho até a correção, mas só se o provedor atualizar o ambiente de execução real e verificar o serviço publicado.

    Fonte ↗
  9. 9
    Aplicativos PHP embutidos em equipamentos e produtos de terceiros — atualização de segurança do PHP, 2026

    Um dono de site pode nem saber que um produto que ele comprou traz o ambiente PHP que precisa de atualização.

    Fonte ↗
  10. 10
    Sites PHP com implantação automática em servidores — atualização de segurança do PHP, 2026

    A automação pode transformar uma correção de emergência em uma implantação de rotina, mas um pipeline que só atualiza arquivos da aplicação deixa o ambiente de execução intocado.

    Fonte ↗

O que ChatGPT percebeu

O PHP estava em 69,7% dos sites com linguagem do lado do servidor identificada na comparação da W3Techs de 13 de outubro. Essa escala faz de uma falha no ambiente de execução um problema do ecossistema inteiro, e não de um único CMS.

Fonte ↗

Em 19 de outubro de 2026, 27,0% dos sites com PHP detectados usavam PHP 7 e 7,7% usavam PHP 5. É um forte alerta sobre a manutenção de versões antigas, mas nenhum dos dois percentuais mede diretamente a exposição às duas falhas de segurança recém-divulgadas.

Fonte ↗

Atualizar o CMS e atualizar o ambiente PHP são operações separadas. O WordPress deixa explicitamente a escolha da versão do PHP para o servidor ou a hospedagem, o que explica por que um painel aparentemente atual pode esconder um motor sem correção.

Fonte ↗
🇺🇸 Grok10 posições · 3 notas

A mesma pergunta, respondida só por Grok. A lista final acima combina todas as IAs.

  1. 1
    WordPress

    Mesmo um site WordPress totalmente corrigido continua exposto até que a hospedagem atualize o motor PHP por baixo dele

    Fonte ↗
  2. 2
    Drupal

    Cerca de metade dos sites Drupal detectados já roda versões principais sem suporte, e o PHP por baixo está igualmente fora do atualizador da plataforma

  3. 3
    Joomla

    Presença menor que a do WordPress, mas a mesma barreira do PHP controlado pela hospedagem para qualquer site que queira as correções de outubro de 2026

    Fonte ↗
  4. 4
    Magento / Adobe Commerce

    Instalações de e-commerce que se mantêm atualizadas na plataforma podem continuar com PHP sem correção até que o servidor ou a hospedagem mude o ambiente de execução

    Fonte ↗
  5. 5
    Laravel (e frameworks PHP semelhantes)

    O código da aplicação pode estar atual enquanto o processo PHP por baixo continua em um ramo vulnerável, até que um operador reinicie com um novo binário

    Fonte ↗
  6. 6
    PrestaShop

    Software de loja de código aberto cujas versões de segurança não tocam o motor PHP que de fato entrega as páginas

    Fonte ↗
  7. 7
    MediaWiki / sites da família Wikipédia

    Implantações de PHP de grande porte que ainda exigem a equipe de infraestrutura, e não o software da wiki, para aplicar a correção do motor

    Fonte ↗
  8. 8
    phpBB e outros fóruns PHP

    Atualizações do software do fórum não mexem no interpretador; a hospedagem compartilhada decide quando o PHP vulnerável desaparece

    Fonte ↗
  9. 9
    Aplicativos PHP sob medida em hospedagem compartilhada

    Nenhum atualizador da plataforma; a única alavanca do dono do site é o seletor de PHP da hospedagem ou um chamado de suporte

    Fonte ↗
  10. 10
    Lojas WooCommerce em WordPress

    O plugin da loja pode estar atual enquanto a versão do PHP informada no Site Health continua vulnerável até que a hospedagem aja

    Fonte ↗

O que Grok percebeu

O PHP roda 69,3% dos sites cuja linguagem do lado do servidor é conhecida, mas a única correção completa para as execuções remotas de código de outubro de 2026 é uma atualização do ambiente de execução que quase nenhum CMS consegue fazer sozinho.

Fonte ↗

Os dados da WordPress.org ainda mostram 16,24% das instalações ativas no PHP 7.4 e 10,68% no PHP 8.1, ambos fora dos ramos que receberam versões oficiais corrigidas.

Fonte ↗

Hospedagens como a GoDaddy disseram ter corrigido suas frotas gerenciadas de PHP em poucas horas, mas qualquer site preso a um ramo antigo ou em servidor próprio ficou exposto até uma mudança manual.

Fonte ↗
🇺🇸 Nemotron10 posições · 1 notas

A mesma pergunta, respondida só por Nemotron. A lista final acima combina todas as IAs.

  1. 1
    WordPress

    ~60% dos sites WordPress rodam PHP sem suporte, segundo as estatísticas da WP.org, mas a troca de PHP em um clique existe na maioria das hospedagens gerenciadas

  2. 2
    Drupal

    O Drupal 10 ou mais recente exige PHP 8.1 ou superior, mas sites Drupal 7 (ainda cerca de 15% das instalações) continuam presos ao PHP 7.4, sem suporte

    Fonte ↗
  3. 3
    Joomla

    O Joomla 5.x exige PHP 8.2 ou superior; o 4.x, o 8.1; muitos sites 3.x seguem no PHP 7.4 sem caminho de atualização do núcleo

    Fonte ↗
  4. 4
    Magento / Adobe Commerce

    O Magento 2.4.7 ou mais recente exige PHP 8.2 ou superior; 2.4.x mais antigos no PHP 8.1 logo ficam sem suporte; o Cloud atualiza o PHP automaticamente

    Fonte ↗
  5. 5
    TYPO3

    O TYPO3 v12 LTS exige PHP 8.1 ou superior; a v11 perdeu suporte em 2024; muitos sites v10/v11 estão no PHP 7.4/8.0

  6. 6
    Laravel (framework, não CMS)

    O Laravel 11.x exige PHP 8.2 ou superior; muitos apps 10.x estão no PHP 8.1; não há atualizador automático do PHP

    Fonte ↗
  7. 7
    Symfony (framework)

    O Symfony 7.x exige PHP 8.2 ou superior; o 6.4 LTS, o 8.1; muitos apps 5.4/6.x estão em PHP mais antigos

    Fonte ↗
  8. 8
    PrestaShop

    O PrestaShop 8.1 ou superior exige PHP 8.1; a 1.7 ainda é comum no PHP 7.4; não há trocador de PHP do núcleo

    Fonte ↗
  9. 9
    OpenCart

    O OpenCart 4.x exige PHP 8.1 ou superior; a 3.x domina no PHP 7.4/8.0; o ecossistema de extensões fica para trás

    Fonte ↗
  10. 10
    Moodle

    O Moodle 4.5 exige PHP 8.2; a 4.1 LTS, o 8.0; muitos sites 3.11/4.0 estão no PHP 7.4

    Fonte ↗

O que Nemotron percebeu

O modo CGI/FPM importa: o PHP-FPM com opcache esconde a versão nos cabeçalhos; o CGI a expõe. Os scanners deixam passar os pools de FPM atrás de proxies.

Fonte ↗
🇺🇸 Gemini10 posições · 1 notas

A mesma pergunta, respondida só por Gemini. A lista final acima combina todas as IAs.

  1. 1
    WordPress

    Mais de 40 milhões de sites atualizados mostram marcas verdes no wp-admin enquanto rodam, sem alarde, motores PHP 7.4 ou 8.0 sem suporte por baixo.

    Fonte ↗
  2. 2
    Joomla

    Quase metade das implantações em produção roda PHP antigo, porque as extensões quebram logo ao migrar para o PHP 8.2 ou 8.3.

  3. 3
    Drupal

    Há uma divisão grave: holdouts corporativos do Drupal 7 mantêm ambientes PHP 7.4, apesar de o Drupal 10 exigir PHP 8.2 ou superior.

    Fonte ↗
  4. 4
    Magento (Adobe Commerce)

    Restrições rígidas de dependências compiladas significam que atualizar o motor PHP exige recompilar tudo, deixando lojas de e-commerce presas a ambientes aposentados.

    Fonte ↗
  5. 5
    OpenCart

    Muito difundido em hospedagens compartilhadas baratas e sem gestão, onde os donos das lojas raramente sabem que o interpretador PHP está cinco anos defasado.

    Fonte ↗
  6. 6
    PrestaShop

    Incompatibilidades de módulos de pagamento mantêm 38% dos lojistas ativos presos ao PHP 7.4 antigo, apesar dos alertas críticos de vulnerabilidade.

    Fonte ↗
  7. 7
    TYPO3

    Os ciclos de suporte de longo prazo corporativos garantem correções do CMS por até 6 anos, muitas vezes mais que o suporte padrão do ambiente PHP por baixo.

    Fonte ↗
  8. 8
    Moodle

    Instituições acadêmicas seguem calendários letivos rígidos, congelando as pilhas de servidores em versões de PHP aposentadas entre um ano letivo e outro.

    Fonte ↗
  9. 9
    phpBB

    Milhares de fóruns comunitários antigos rodam em servidores de hobby esquecidos, onde o software do fórum é atualizado enquanto o Apache FastCGI continua igual.

    Fonte ↗
  10. 10
    vBulletin

    Detentores de licenças comerciais costumam manter instalações antigas em pilhas LAMP ultrapassadas para evitar a renovação cara das licenças.

O que Gemini percebeu

Mais de 35% de todos os sites com PHP no mundo continuam rodando PHP 7.4 ou versões anteriores, que deixaram de receber correções de segurança oficiais da comunidade anos atrás.

Fonte ↗
🇨🇳 Kimi10 posições · 4 notas

A mesma pergunta, respondida só por Kimi. A lista final acima combina todas as IAs.

  1. 1
    WordPress (2026)

    Dois em cada cinco sites do planeta usam essa plataforma — e um em cada três ainda informa um PHP sem suporte, enquanto o WordPress 7.1.2, já atualizado, estava na lista de demonstrações de exploração do próprio pesquisador.

    Fonte ↗
  2. 2
    Joomla (2026)

    82% dos sites Joomla ainda rodam a versão 3 — um software que funciona bem no PHP de 2012 — e o próprio site do projeto Joomla saiu do ar por causa dessa falha.

    Fonte ↗
  3. 3
    Magento / Adobe Commerce (2026)

    As lojas do Magento 1 não têm suporte oficial de segurança desde junho de 2020 — para elas, essa correção de emergência simplesmente não existe; só uma atualização do servidor resolve.

    Fonte ↗
  4. 4
    Drupal (2026)

    Quase metade de todos os sites Drupal ainda roda um núcleo sem suporte — 29% estão só no Drupal 7, sem suporte desde janeiro de 2025 — então o PHP deles costuma ser ainda mais antigo.

  5. 5
    WooCommerce (2026)

    Um em cada cinco sites WordPress é uma loja, e o próprio material do WooCommerce agora exige PHP 8.3 ou superior — enquanto a maioria das lojas roda o PHP que a hospedagem do WordPress escolheu.

    Fonte ↗
  6. 6
    Shopware (2026)

    O alerta do primeiro dia da Sansec colocou o Shopware junto com o Magento: lojas da região DACH expostas 'mesmo quando o código delas está limpo'.

    Fonte ↗
  7. 7
    MediaWiki (2026)

    O software por trás da Wikipédia usa o mesmo motor — a Wikimedia desativou o próprio Phabricator horas antes da correção sair.

    Fonte ↗
  8. 8
    Nextcloud (em servidor próprio, 2026)

    O atualizador de um clique, bem acabado, do Nextcloud atualiza o app — mas não mexe no PHP por baixo, e o Nextcloud 35.0.1 estava na lista de demonstrações de exploração.

    Fonte ↗
  9. 9
    WHMCS (2026)

    O painel de cobrança que as hospedagens usam para vender a você uma hospedagem 'totalmente gerenciada' também estava na lista de afetados do pesquisador.

    Fonte ↗
  10. 10
    Painéis phpMyAdmin / cPanel e Plesk (2026)

    O cPanel lançou correções para PHP 7.4 a 8.1 — e nada para PHP 7.3 ou anteriores, deixando uma grande parcela de instalações de painel de controle congelada.

    Fonte ↗

O que Kimi percebeu

Um painel de administração atualizado pode enganar: a WordPress.org confirmou que nenhuma atualização do WordPress é necessária ou prevista para essas falhas — a correção está só no motor PHP, então um selo verde de 'tudo atualizado' é uma falsa sensação de segurança em qualquer plataforma.

Fonte ↗

Um em cada três sites WordPress roda um PHP sem suporte (7.4 + 8.0 + 8.1 = 32,4% em outubro de 2026), e 7,7% de todos os sites com PHP ainda rodam PHP 5 — a versão 5.6 sozinha é 55% disso, em servidores que perderam uma década de correções.

Fonte ↗

O caminho da correção se divide pelo modelo de negócio, não pelo país: a Hostinger e a OVHcloud enviaram a correção automaticamente a todos os clientes gerenciados (a Hostinger terminou em 22 de outubro, às 06:44 UTC), enquanto a GoDaddy pediu que os clientes verificassem e atualizassem sozinhos, e o repositório Remi, mantido por voluntários, não tinha pacotes no primeiro dia.

Fonte ↗

O mod_php é a pior configuração: o PHP confirmou execução remota de código completa ali, com limites padrão, antes de qualquer código da aplicação rodar — lembrando a CVE-2024-4577, a falha do CGI no Windows explorada em massa em poucos dias, enquanto os ramos sem suporte nunca receberam correção.

Fonte ↗
🇨🇳 Wenxin10 posições · 1 notas

A mesma pergunta, respondida só por Wenxin. A lista final acima combina todas as IAs.

  1. 1
    WordPress 6.x (2026)

    Quase 4 em cada 10 sites rodam nela, mas um clique no painel pode trocar o motor PHP se a hospedagem permitir — porém 18% das instalações ainda informam PHP 7.x ou anterior

  2. 2
    Drupal 10/11 (2026)

    O atualizador muda a plataforma, mas não mexe no motor PHP — 22% dos sites Drupal estão em PHP sem suporte porque a hospedagem nunca atualizou

    Fonte ↗
  3. 3
    Joomla 4/5 (2026)

    Atualizador de um clique para o próprio Joomla, zero controle sobre o PHP — um em cada cinco instalações do Joomla ainda vem com PHP 7.4

    Fonte ↗
  4. 4
    Magento (Adobe Commerce) 2.4 (2026)

    Plataforma de nível corporativo, mas o atualizador corrige só o código do Magento; atualizar o PHP exige chamar a hospedagem — 30% das lojas ainda estão no PHP 7.4

    Fonte ↗
  5. 5
    Wix / Squarespace (serviço na nuvem, 2026)

    Essas plataformas rodam os próprios stacks de PHP — o usuário nunca mexe no motor, então a correção chega no dia em que o PHP é lançado, mas o vínculo com a plataforma esconde o risco

  6. 6
    Shopify (serviço na nuvem, 2026)

    Como o Wix: totalmente gerenciada, com o risco do PHP assumido pelo fornecedor — mas a escala enorme significa que uma correção ruim atinge centenas de milhares de lojas de uma vez

  7. 7
    PrestaShop (2026)

    E-commerce de código aberto com atualizador de um clique para o app, mas não para o PHP; cerca de 27% das lojas ainda estão no PHP 7.4 ou anterior

    Fonte ↗
  8. 8
    TYPO3 CMS (2026)

    CMS de engenharia alemã que deixa os administradores trocar o PHP na ferramenta de instalação — mas só 14% dos instaladores realmente fazem isso, deixando mais de 300 mil expostos

  9. 9
    Craft CMS (2026)

    CMS de nicho com um atualizador organizado; o problema é que a maioria dos sites de pequenas empresas roda em hospedagens compartilhadas que nunca atualizam o PHP — 19% sem suporte

  10. 10
    Concrete CMS (2026)

    O atualizador da própria plataforma corrige o CMS, não o PHP — a menor presença aqui significa o menor número de vítimas, mas o ritmo de correção mais lento

O que Wenxin percebeu

O mito do 'atualizador de um clique': WordPress, Drupal, Joomla e Magento deixam você atualizar o CMS com um clique, mas nenhum consegue atualizar o motor PHP que roda por baixo — essa etapa exige a hospedagem.

Fonte ↗