Назад к тренду дня: Две уязвимости PHP дают чужим захватить сайты; часть сайтов отключили ради безопасности
Рейтинг Poly · из тренда дня

Как обновить PHP на моём сайте: 10 платформ под угрозой, 2026

Обновление WordPress эту проблему не решает: WordPress.org сообщает, что обновление WordPress не запланировано. Через 24 часа после выхода исправления PHP в выборке Shodan 99,1% затронутых хостов WordPress всё ещё работали на PHP без исправления.

  • №1: WordPress
  • 10 мест

01Итоговый список

Ведущие ИИ независимо составили свои списки из десяти мест. Сверху — один итог, который легко проверить: у каждого места есть причина, источник и список ИИ, которые его включили.

Порядок: от большего согласия ИИ к меньшему.

Яркая плашка — этот ИИ включил пункт в свой список. Тусклая — не включил.

  1. 1

    WordPress

    Самый большой риск. Примерно каждая третья установка работает на PHP 8.1 или старше; показатели колеблются от 32,4% до 36,4%. 33 075 затронутых хостов в выборке Shodan, исправлены только 299.

    Включили: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    В их списках: Claude: 5 · ChatGPT: 1 · Grok: 1 · Nemotron: 1 · Gemini: 1 · Kimi: 1 · Wenxin: 1

    Что отметил каждый ИИ 7
    • Claudeместо 5

      Около одной из трёх установок WordPress сообщает о PHP 8.1 или старше, а WordPress.org сказал, что обновления WordPress не планируется: исправление — обновление PHP.

      Источник ↗
    • ChatGPTместо 1

      Самая популярная в мире система управления сайтом не может исправить движок PHP обычной кнопкой обновления ядра WordPress.

      Источник ↗
    • Grokместо 1

      Даже полностью исправленный сайт WordPress остаётся уязвимым, пока хостинг не обновит движок PHP под ним

      Источник ↗
    • Nemotronместо 1

      ~60% сайтов WordPress работают на PHP без поддержки по статистике WP.org, но переключение PHP в один клик есть у большинства управляемых хостингов

    • Geminiместо 1

      Более 40 миллионов обновлённых сайтов показывают зелёные галочки в wp-admin, тихо работая на движках PHP 7.4 или 8.0, которые уже не поддерживаются.

      Источник ↗
    • Kimiместо 1

      Два из каждых пяти сайтов на Земле работают на нём — и каждый третий всё ещё показывает PHP, который уже не поддерживается, а полностью обновлённый WordPress 7.1.2 значился в списке демонстрационных эксплойтов самого исследователя.

      Источник ↗
    • Wenxinместо 1

      Почти 4 из 10 сайтов работают на ней, и один клик в панели может сменить движок PHP, если хостинг это позволяет, — но 18% установок всё ещё сообщают о PHP 7.x или старше

    7 ИИ поставили сюда
    Источник ↗
  2. 2

    Drupal

    Почти у половины сайтов Drupal основа уже не поддерживается (на одном только Drupal 7 — 29%). Из 3 919 затронутых хостов за сутки исправлены только 31.

    Включили: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    В их списках: Claude: 3 · ChatGPT: 3 · Grok: 2 · Nemotron: 2 · Gemini: 3 · Kimi: 4 · Wenxin: 2

    Что отметил каждый ИИ 7
    • Claudeместо 3

      Wiz показала удалённое выполнение кода в последнем образе Drupal, так что свежее ядро Drupal не защищало.

      Источник ↗
    • ChatGPTместо 3

      Drupal прямо указывает жёсткую границу: ни один поддерживаемый выпуск Drupal не работает с PHP 7, но обновление Drupal всё равно не исправляет сам PHP.

      Источник ↗
    • Grokместо 2

      Примерно половина найденных сайтов Drupal уже работает на выпусках, которые больше не поддерживаются, а PHP под ними точно так же находится вне обновлений платформы

    • Nemotronместо 2

      Drupal 10+ требует PHP 8.1 и новее, но сайты Drupal 7 (всё ещё ~15% установок) застряли на PHP 7.4, который уже не поддерживается

      Источник ↗
    • Geminiместо 3

      Серьёзный разрыв: корпоративные упрямцы на Drupal 7 держат PHP 7.4, хотя Drupal 10 требует современный PHP 8.2 и новее.

      Источник ↗
    • Kimiместо 4

      Почти половина всех сайтов Drupal всё ещё работает на ядре, которое уже не поддерживается: 29% — на Drupal 7, которого не поддерживают с января 2025 года, так что их PHP обычно ещё старше.

    • Wenxinместо 2

      Обновлятор меняет платформу, но не может трогать движок PHP — 22% сайтов Drupal работают на PHP без поддержки, потому что хостинг его не обновил

      Источник ↗
    7 ИИ поставили сюда
    Источник ↗
  3. 3

    Joomla

    Только 4 из 646 затронутых хостов Joomla исправили PHP за 24 часа. Сам Joomla.org перестал работать, а актуальная версия Joomla 6.1.4 была использована в демонстрации атаки.

    Включили: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    В их списках: Claude: 4 · ChatGPT: 2 · Grok: 3 · Nemotron: 3 · Gemini: 2 · Kimi: 2 · Wenxin: 3

    Что отметил каждый ИИ 7
    • Claudeместо 4

      Только 4 из 1 099 хостов Joomla в выборке OX показали исправленный PHP через сутки.

      Источник ↗
    • ChatGPTместо 2

      Свежая панель Joomla может сосуществовать с устаревшим движком PHP под ней.

    • Grokместо 3

      Меньше, чем WordPress, но тот же барьер: PHP под контролем хостинга для любого сайта, который хочет исправлений октября 2026 года

      Источник ↗
    • Nemotronместо 3

      Joomla 5.x требует PHP 8.2 и новее; 4.x — 8.1; многие сайты 3.x всё ещё на PHP 7.4 без пути обновления ядра

      Источник ↗
    • Geminiместо 2

      Почти половина боевых развёртываний работает на устаревшем PHP, потому что расширения ломаются сразу при переходе на PHP 8.2 или 8.3.

    • Kimiместо 2

      82% сайтов Joomla всё ещё работают на версии 3 — ПО, которое отлично идёт на PHP времён 2012 года, — а сайт самого проекта Joomla отключился из-за этой ошибки.

      Источник ↗
    • Wenxinместо 3

      Обновлятор в один клик для самой Joomla, нулевой контроль над PHP — каждая пятая установка Joomla всё ещё на PHP 7.4

      Источник ↗
    7 ИИ поставили сюда
    Источник ↗
  4. 4

    Magento / Adobe Commerce

    Ни один из 48 затронутых хостов Magento в выборке не был исправлен за сутки. Sansec: «нельзя исправить PHP2Shell изнутри кода вашего магазина».

    Включили: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    В их списках: Claude: 1 · ChatGPT: 4 · Grok: 4 · Nemotron: 4 · Gemini: 4 · Kimi: 3 · Wenxin: 4

    Что отметил каждый ИИ 7
    • Claudeместо 1

      В выборке OX у 48 видимых хостов Magento была уязвимость, и ни один не получил исправление за 24 часа. Обновления самого магазина никогда не затрагивают PHP.

      Источник ↗
    • ChatGPTместо 4

      Исправление среды может превратиться в согласованное обновление магазина, если версия PHP и поддерживаемый стек зависимостей магазина должны меняться вместе.

      Источник ↗
    • Grokместо 4

      Установки магазинов, которые на платформе актуальны, могут всё равно работать на неисправленном PHP, пока сервер или хостинг не переведёт среду

      Источник ↗
    • Nemotronместо 4

      Magento 2.4.7 и новее требует PHP 8.2 и новее; старые 2.4.x на PHP 8.1 скоро перестанут поддерживаться; Cloud обновляет PHP сам

      Источник ↗
    • Geminiместо 4

      Жёсткие скомпилированные зависимости означают, что обновление движка PHP требует пересборки, поэтому магазины застывают на снятых с поддержки средах.

      Источник ↗
    • Kimiместо 3

      Magento 1 без официальной поддержки безопасности с июня 2020 года — для них этого экстренного исправления просто нет, спасает только обновление сервера.

      Источник ↗
    • Wenxinместо 4

      Корпоративная платформа, но обновлятор чинит только код Magento; обновление PHP — звонок хостинг-компании — 30% магазинов всё ещё на PHP 7.4

      Источник ↗
    7 ИИ поставили сюда
    Источник ↗
  5. 5

    Laravel и самописные приложения на PHP

    Ни одна панель управления никого не предупреждает, и ни один инструмент фреймворка не может сменить PHP. Через сутки 98,27% видимых хостов Laravel оставались без исправления (исправлены 36 из 2 040 затронутых).

    Включили: Claude, ChatGPT, Grok, Nemotron. Не включили: Gemini, Kimi, Wenxin.

    В их списках: Claude: 6 · ChatGPT: 5 · Grok: 5 · Nemotron: 6

    Что отметил каждый ИИ 4
    • Claudeместо 6

      98,27% видимых хостов Laravel в выборке OX всё ещё не исправлены, а у фреймворка нет инструмента, который меняет PHP на сервере.

      Источник ↗
    • ChatGPTместо 5

      Панели управления сайтом может вообще не быть, чтобы предупредить владельца, что реальная среда остаётся уязвимой.

    • Grokместо 5

      Код приложения может быть актуальным, а рабочий процесс PHP всё ещё на уязвимой ветке, пока оператор не перезапустит его с новым файлом

      Источник ↗
    • Nemotronместо 6

      Laravel 11.x требует PHP 8.2 и новее; многие приложения 10.x на PHP 8.1; автообновления PHP нет

      Источник ↗
    4 ИИ поставили сюда
    Источник ↗
  6. 6

    OpenCart и другие старые магазины на PHP

    Старые магазины на PHP 5.6–8.1 официальных выпусков PHP не получают. Их спасение — набор исправлений от сообщества, а не одна кнопка.

    Включили: Claude, Nemotron, Gemini. Не включили: ChatGPT, Grok, Kimi, Wenxin.

    В их списках: Claude: 2 · Nemotron: 9 · Gemini: 5

    Что отметил каждый ИИ 3
    • Claudeместо 2

      Исправление для этих сайтов — набор патчей для версий PHP от 5.6 до 8.1, который ведёт сообщество, а не обновление в один клик.

      Источник ↗
    • Nemotronместо 9

      OpenCart 4.x требует PHP 8.1 и новее; 3.x преобладает на PHP 7.4/8.0; экосистема расширений отстаёт

      Источник ↗
    • Geminiместо 5

      Широко распространено на неуправляемом дешёвом общем хостинге, где владельцы магазинов редко знают, что их интерпретатор PHP устарел на пять лет.

      Источник ↗
    3 ИИ поставили сюда
    Источник ↗
  7. 7

    cPanel, Plesk и phpMyAdmin

    Через 24 часа исправлено 0 из 587 затронутых хостов cPanel. Источники расходятся в том, какие версии охватывает исправление: до PHP 5.2 (CloudLinux) или ничего ниже 7.3.

    Включили: Claude, ChatGPT, Kimi. Не включили: Grok, Nemotron, Gemini, Wenxin.

    В их списках: Claude: 9 · ChatGPT: см. список · Kimi: 10

    Что отметил каждый ИИ 3
    • Claudeместо 9

      Plesk выпустила исправленные сборки PHP 8.2–8.5, но владелец сайта всё равно должен их установить.

      Источник ↗
    • ChatGPT

      В его списке названо иначе: откройте весь список.

      см. список
    • Kimiместо 10

      cPanel выпустила исправления для PHP 7.4–8.1 — и ничего для PHP 7.3 и старше, оставив большой хвост установок панели управления замороженными.

      Источник ↗
    3 ИИ поставили сюда
    Источник ↗
  8. 8

    WooCommerce

    Примерно каждый пятый сайт WordPress — магазин на WooCommerce. В его документации теперь требуется PHP 8.3+, но магазины всё равно подвергаются атакам «даже когда их собственный код чист».

    Включили: Grok, Kimi. Не включили: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    В их списках: Grok: 10 · Kimi: 5

    Что отметил каждый ИИ 2
    • Grokместо 10

      Плагин магазина может быть актуальным, а версия PHP в «Состоянии сайта» остаётся уязвимой, пока хостинг не действует

      Источник ↗
    • Kimiместо 5

      Каждый пятый сайт WordPress — магазин, а в документации WooCommerce теперь требуется PHP 8.3 и новее, тогда как большинство магазинов стоит на том PHP, который выбрал их хостинг.

      Источник ↗
    2 ИИ поставили сюда
    Источник ↗
  9. 9

    MediaWiki

    Программное обеспечение, на котором работает Википедия: MediaWiki 1.46.2 была в списке демонстраций атак, а Викимедиа отключила собственный Phabricator за несколько часов до исправления.

    Включили: Grok, Kimi. Не включили: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    В их списках: Grok: 7 · Kimi: 7

    Что отметил каждый ИИ 2
    • Grokместо 7

      Крупные развёртывания PHP, где патч движка должна применить команда инфраструктуры, а не разработчики вики-ПО

      Источник ↗
    • Kimiместо 7

      Программа, на которой работает Википедия, использует тот же движок PHP: Викимедиа отключила собственный Phabricator за несколько часов до выхода исправления.

      Источник ↗
    2 ИИ поставили сюда
    Источник ↗
  10. 10

    Nextcloud (на своём сервере)

    Его автоматическое обновление в одно нажатие меняет приложение, а не PHP. Актуальная версия Nextcloud 35.0.1 была использована в демонстрации. Только один ИИ её назвал, и данных о числе затронутых экземпляров нет.

    Включили: Kimi. Не включили: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.

    В их списках: Kimi: 8

    Что отметил каждый ИИ 1
    • Kimiместо 8

      Удобный обновлятор Nextcloud в один клик обновляет приложение, но не может трогать PHP под ним, а Nextcloud 35.0.1 значился в списке демонстрации эксплойта.

      Источник ↗
    1 ИИ поставили сюда
    Источник ↗

Тройка подробно ↓

02Подробнее о тройке

Рейтинг выше. Здесь — подробнее о первых трёх местах: что это, почему они здесь и что стоит знать.

У всех трёх замеры сделаны на разном числе сайтов, поэтому доля необновлённых почти одинакова, а число сайтов под угрозой сильно различается.

1WordPress

№ 1 — WordPress. В списках у 7 из 7 ИИ; медианное место там: 1. Здесь больше всего уязвимых сайтов, а обновление самого WordPress не исправляет движок PHP под ним.

А вы знали

  • Версии WordPress называют в честь джазовых музыкантов. Версия 1.0, вышедшая 3 января 2004 года, получила имя «Miles». Самый первый выпуск, 0.7, вышел 27 мая 2003 года.

    Источник ↗
Что это
Самая популярная платформа для сайтов, работающая на PHP.
Чем сильнее
Затронутых хостингов здесь намного больше, чем у Drupal или Joomla.
Кому полезно знать
Полезно владельцам сайтов на WordPress: их собственное обновление эту проблему не закроет.
  • Хостинги, обновившиеся за 24 часаобновлены 299 из 33 075

Википедия · Wikidata

Почему он здесь

  • По результатам одной проверки за 24 часа 33 075 из 41 882 сайтов WordPress, где видна версия PHP, работали на уязвимой версии. Исправленная была только у 299. Это самый большой объём среди трёх платформ.

    Источник ↗

  • По собственным данным WordPress за январь 2026 года: 22,20% отслеживаемых сайтов работали на PHP 7.4, 15,39% — на 8.1, а 5,69% — на 8.0. Вместе это около 43%, и это без более старых версий.

    Источник ↗
История

  • В 2003 году Мэтт Маллуэнг начал WordPress как форк b2, инструмента для ведения блогов. Его создатель перестал поддерживать b2, и Маллуэнг взял открытый код и создал новую версию.

    Источник ↗
Что важно учесть

  • WordPress по-прежнему работает на PHP 7.4 и новее, но на официальной странице требований сказано, что эта версия больше не поддерживается и может сделать сайт уязвимым. Рекомендуется PHP 8.3 или новее.

    Источник ↗

  • Если хостинг меняет PHP принудительно, старые темы или плагины могут сломаться. Один пользователь форума написал, что админка перестала работать после обновления PHP, и хостинг потом вернул более старую версию.

    Источник ↗
Что говорят люди

  • While trying to fix a relatively minor Google Map API problem, I have gone down a rabbit hole that has taken my site offline. — justinfarquhar

    Источник ↗
Где узнать больше

  • Сначала откройте страницу требований и найдите строку про PHP. Там указана версия PHP, которую WordPress рекомендует для хостинга. Затем проверьте в панели хостинга, какая версия PHP работает на вашем сайте.

    Источник ↗

Видео: WordPress.org VS WordPress.com: The Confusing Differences Explained! (на английском) · Darrel Wilson

Сравнить первую тройку ↓

2Drupal

№ 2 — Drupal. В списках у 7 из 7 ИИ; медианное место там: 3. Почти половина сайтов на Drupal уже работает на ядре, которое больше не поддерживается, а среди затронутых хостингов почти никто не обновился за сутки.

А вы знали

  • Название Drupal появилось из-за опечатки. Дрис Бёйтарт хотел назвать сайт «dorp.org» (по-голландски «деревня»), но напечатал «drop». Само слово Drupal происходит от голландского «druppel», что значит «капля».

    Источник ↗
Что это
Платформа для сайтов, часто используемая для крупных проектов на заказ.
Чем сильнее
Многие сайты работают на ядре, которое больше не получает исправлений безопасности.
Кому полезно знать
Полезно владельцам Drupal 7, которым пора перейти на новую версию.
  • Хостинги, обновившиеся за 24 часаобновлены 31 из 3 919

Википедия · Wikidata

Почему он здесь

  • Из 5 078 хостингов с Drupal, где видна версия PHP, 3 919 были затронуты через 24 часа. Обновились только 31, так что 99,22% затронутых так и оставались уязвимыми.

    Источник ↗

  • По данным W3Techs на 22 октября 2026 года, Drupal 7 стоит на 29,0% сайтов на Drupal. Это больше, чем у Drupal 10 с 28,7%, а Drupal 7 больше не получает исправлений безопасности.

    Источник ↗
История

  • Около 2000 года Дрис Бёйтарт и его друзья в студенческом общежитии делили один ADSL-модем на восемь студентов. Они сделали небольшой сайт для общения, и он вырос в Drupal.

    Источник ↗
Что важно учесть

  • Tag1 пишет, что инструмент переноса в ядре не переносит Views — сохранённые списки и макеты, которые выводят содержимое. Для них нужен отдельный модуль или их придётся пересобрать вручную.

    Источник ↗
Сравнить первую тройку ↓

3Joomla

№ 3 — Joomla. В списках у 7 из 7 ИИ; медианное место там: 3. Почти никто из затронутых хостингов с Joomla не обновился, а даже актуальную версию Joomla удалось взломать в демонстрации.

А вы знали

  • Joomla — это написание слова «Jumla» на суахили, которое значит «все вместе» или «в целом». Команда-основатель выбрала его, а перед принятием название проверили специалисты по брендингу и маркетингу.

    Источник ↗
Что это
Платформа для сайтов, выросшая из более старой системы Мамбо.
Чем сильнее
Здесь больше всего затронутых хостингов, которые не обновились за сутки.
Кому полезно знать
Полезно владельцам Joomla: одно обновление Joomla эту дыру не закроет.
  • Хостинги, обновившиеся за 24 часаобновлены 4 из 646

Wikidata

Почему он здесь

  • Из 1 099 хостингов с Joomla, где видна версия PHP, 646 были затронуты, а обновились через 24 часа только 4. С долей затронутых 99,38% Joomla показала худший результат, чем WordPress (99,1%) и Drupal (99,22%).

    Источник ↗

  • Исследователи Wiz показали удалённое выполнение кода без авторизации на последнем образе контейнера Joomla, оценка CVSS — 9,2. Ошибка в самом PHP, поэтому одно обновление Joomla её не закроет.

    Источник ↗
История

  • В 2005 году основные разработчики Мамбо ушли после спора о контроле. Фонд, созданный Miro для управления названием Мамбо, по мнению разработчиков, давал слишком много власти. Тогда они и начали Joomla.

    Источник ↗
Что важно учесть

  • Joomla 3 полностью больше не поддерживается. В официальном руководстве сказано, что поддержка закончилась 17 августа 2023 года, а расширенная поддержка (Extended LTS) — 17 февраля 2025 года. Сайты на этой версии исправлений не получают.

    Источник ↗
Что говорят люди

  • K2 extension do not work inside J4, and will not work (!) becuase of K2 developers. — Paul Frankowski

    Источник ↗
Где узнать больше

  • Сначала прочитайте строку про PHP. Для Joomla 6 нужен PHP не ниже 8.3.0, а рекомендуется 8.4. Сравните это с версией PHP, которую ваш хостинг ставит на сайт.

    Источник ↗
Сравнить первую тройку ↓

Тройка рядом

WordPressDrupalJoomla
В списках ИИ7 / 77 / 77 / 7
Хостинги, обновившиеся за 24 часаобновлены 299 из 33 075обновлены 31 из 3 919обновлены 4 из 646
Первым поставилиChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin——

Места с одинаковым числом ИИ упорядочены по среднему месту в списках самих ИИ.

Другие рейтинги

03Стоит знать

Что заметили ИИ, пока составляли список.

Через 24 часа после исправления 99,3% измеряемых экземпляров PHP в выборке Shodan оставались без исправления; число исправленных хостов выросло только с 245 до 14 151 из примерно 2 млн.

Заметили:
Включили: Claude, Grok. Не включили: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.
Источник ↗

Два независимых подсчёта сходятся: примерно 7 из 10 уязвимых хостов PHP работают на ветке, которую проект PHP уже не поддерживает: Flare — 72,7%, Qualys — 71%.

Заметили:
Включили: Claude. Не включили: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Источник ↗

Зелёная панель «всё обновлено» здесь ничего не доказывает: дефект находится ниже WordPress, тем оформления и плагинов, поэтому исправить его может только обновление PHP.

Заметили:
Включили: Claude, ChatGPT, Gemini, Kimi. Не включили: Grok, Nemotron, Wenxin.
Источник ↗

Номера версий вводят в заблуждение в обе стороны: перенесённые CloudLinux в старые ветки исправления могут показывать PHP 8.5.11 уже на исправленном хосте, а пакеты дистрибутивов иногда сохраняют старую версию в названии.

Заметили:
Включили: Claude, Kimi. Не включили: ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Источник ↗

Оценки числа уязвимых серверов сильно зависят от метода: от примерно 1,3 млн хостов до 2,6 млн (VulnCheck), 6,29 млн (Censys) и 22,6 млн экземпляров «потенциально уязвимых» (Palo Alto Networks).

Заметили:
Включили: Claude, Grok, Kimi. Не включили: ChatGPT, Nemotron, Gemini, Wenxin.
Источник ↗

04Что спрашивают люди

Как обновить PHP

Перейдите на исправленный выпуск: 8.5.12, 8.4.27, 8.3.36 или 8.2.35, затем перезапустите все службы, которые загружают PHP. Для PHP 8.1 и старше официального исправления нет, поэтому нужна версия с исправлением от поставщика или обновление версии.

Источник ↗
Как обновить PHP на моём сайте

На общем или управляемом хостинге выберите исправленную версию PHP в панели управления хостинга или обратитесь в поддержку. Обновление WordPress, Drupal, Joomla или Magento не меняет движок PHP.

Источник ↗
Как обновить PHP в Windows

Скачайте исправленную сборку для Windows (8.5.12, 8.4.27, 8.3.36 или 8.2.35) с windows.php.net, замените старую папку PHP, но сохраните php.ini, затем перезапустите IIS, Apache или PHP-CGI.

Источник ↗
Как обновить версию PHP

Проверьте версию командой php -v и обновитесь до 8.2.35 или новее. Поскольку сама PHP 8.2 перестаёт поддерживаться 31 декабря 2026 года, выбирайте 8.3, 8.4 или 8.5 и сначала проверьте на тестовом сервере.

Источник ↗

05Как считали

Простыми словами, без формул.

1Вопрос

Топ-10 платформ для сайтов, где даже обновлённый сайт может работать на уязвимом PHP

2Почему эта тема

Здесь опросы об использовании сопоставлены со сканированиями интернета и добавлено, кто на самом деле контролирует исправление, чтобы владелец сайта видел разрыв между «мой сайт обновлён» и «мой сервер в безопасности». Ни одна отдельная таблица этот разрыв не показывает.

3Где это применимо

Весь мир; WordPress, Drupal, Joomla, Magento и другое ПО для сайтов, работающее на PHP

4На что смотрели

  • Доля установок каждой платформы, работающих на версии PHP, которая больше не поддерживается
  • Доля этих установок, до которых сканеры могут добраться из интернета
  • Доля тех, что запускают PHP небезопасным способом, например в режиме CGI
  • Может ли собственное обновление платформы поменять движок PHP или только саму платформу
  • Как быстро исправление доходит до обычного сайта: одним нажатием, через хостинг-компанию или ручным обновлением сервера
  • WordPress.org Statistics — доля активных установок WordPress по версии PHP, которую они сообщают. Показатели живого графика расходятся: от 32,4% до 36,4% на PHP 8.1 или старше
  • OX Security (выборка Shodan, через 24 часа после исправления) — найденные, затронутые и исправленные хосты по каждой технологии. Это выборка, а не весь интернет
  • W3Techs / TheDropTimes — доля версий PHP в сети и сайты Drupal на снятых с поддержки основных версиях

5Кто ставил места

Ведущие ИИ: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Каждый сам составил свой список из десяти мест и к каждому месту назвал источник.

6Как сведены места

Одно и то же, названное разными ИИ по-разному, считали за одно. Чем больше ИИ включили пункт в свой список и чем выше поставили, тем выше его место. «Согласие ИИ» показывает, у скольких ИИ этот пункт был в собственном списке. Источники — только те, что нашли сами ИИ, ничего не добавлено вручную.

06Список каждого ИИ отдельно

🇺🇸 Claude10 мест · заметок: 4

Тот же вопрос, ответ одного ИИ — Claude. Итоговый список выше объединяет все ИИ.

  1. 1
    Magento / Adobe Commerce (на своём сервере)

    В выборке OX у 48 видимых хостов Magento была уязвимость, и ни один не получил исправление за 24 часа. Обновления самого магазина никогда не затрагивают PHP.

    Источник ↗
  2. 2
    OpenCart и другие старые магазины на PHP

    Исправление для этих сайтов — набор патчей для версий PHP от 5.6 до 8.1, который ведёт сообщество, а не обновление в один клик.

    Источник ↗
  3. 3
    Drupal (на своём сервере)

    Wiz показала удалённое выполнение кода в последнем образе Drupal, так что свежее ядро Drupal не защищало.

    Источник ↗
  4. 4
    Joomla (на своём сервере)

    Только 4 из 1 099 хостов Joomla в выборке OX показали исправленный PHP через сутки.

    Источник ↗
  5. 5
    WordPress на общем хостинге или на собственном VPS

    Около одной из трёх установок WordPress сообщает о PHP 8.1 или старше, а WordPress.org сказал, что обновления WordPress не планируется: исправление — обновление PHP.

    Источник ↗
  6. 6
    Laravel и самописные приложения на PHP на арендованных серверах

    98,27% видимых хостов Laravel в выборке OX всё ещё не исправлены, а у фреймворка нет инструмента, который меняет PHP на сервере.

    Источник ↗
  7. 7
    Образы Docker с WordPress / Drupal / Joomla

    Пересборка помогает, но официальный образ php не получает исправления для версии 8.1 и старше.

    Источник ↗
  8. 8
    Сайты на общем хостинге с cPanel / CloudLinux

    Пакеты PHP в панели управления исправлены вплоть до PHP 5.2, но исправленный сайт может всё равно показывать старый номер версии.

    Источник ↗
  9. 9
    Сайты под управлением Plesk (VPS и хостинги)

    Plesk выпустила исправленные сборки PHP 8.2–8.5, но владелец сайта всё равно должен их установить.

    Источник ↗
  10. 10
    Управляемый хостинг WordPress (Pantheon, Pressable, Kinsta, WP Engine)

    Pantheon и Pressable полностью исправили всё уже 22 октября. WP Engine и Flywheel поставили защиту на уровне сети доставки (CDN) перед сайтами, пока шло обновление.

    Источник ↗

Что заметил Claude

Выборка OX Security по Shodan показала, что 99,3% поддающихся измерению экземпляров PHP всё ещё не исправлены через 24 часа после фикса. Число исправленных выросло с 245 до 14 151 из примерно 2 млн.

Источник ↗

Два независимых измерения сходятся: примерно 7 из 10 открытых экземпляров PHP работают на ветке, которую проект PHP больше не поддерживает: Flare — 72,7% записей службы, Qualys — 71% установок.

Источник ↗

Обновлённая панель WordPress даёт ложное спокойствие. Codeable пишет, что WordPress.org подтвердил: обновление WordPress не нужно и не планируется, потому что уязвимость находится ниже самого WordPress, тем и плагинов.

Источник ↗

Баннер может вводить в заблуждение в обе стороны. Бэкпорты CloudLinux могут оставить исправленный хост с версией PHP 8.5.11, а пакеты Ubuntu или Debian могут сохранять старую строку версии.

Источник ↗
🇺🇸 ChatGPT10 мест · заметок: 3

Тот же вопрос, ответ одного ИИ — ChatGPT. Итоговый список выше объединяет все ИИ.

  1. 1
    Сайты на WordPress — обновление безопасности PHP, 2026

    Самая популярная в мире система управления сайтом не может исправить движок PHP обычной кнопкой обновления ядра WordPress.

    Источник ↗
  2. 2
    Сайты на Joomla — обновление безопасности PHP, 2026

    Свежая панель Joomla может сосуществовать с устаревшим движком PHP под ней.

  3. 3
    Сайты на Drupal — обновление безопасности PHP, 2026

    Drupal прямо указывает жёсткую границу: ни один поддерживаемый выпуск Drupal не работает с PHP 7, но обновление Drupal всё равно не исправляет сам PHP.

    Источник ↗
  4. 4
    Adobe Commerce и Magento Open Source — обновление безопасности PHP, 2026

    Исправление среды может превратиться в согласованное обновление магазина, если версия PHP и поддерживаемый стек зависимостей магазина должны меняться вместе.

    Источник ↗
  5. 5
    Самописные сайты на PHP — обновление безопасности PHP, 2026

    Панели управления сайтом может вообще не быть, чтобы предупредить владельца, что реальная среда остаётся уязвимой.

  6. 6
    Старые приложения на PHP — обновление безопасности PHP, 2026

    PHP 5 и PHP 7 вместе занимали 34,7% найденных сайтов на PHP в снимке W3Techs от 19 октября, хотя это не то же самое, что доля, уязвимая для этих CVE.

    Источник ↗
  7. 7
    Приложения на PHP на общем хостинге — обновление безопасности PHP, 2026

    Одна среда на уровне хоста может быть узким местом безопасности для многих отдельно поддерживаемых сайтов клиентов.

    Источник ↗
  8. 8
    Сайты на PHP на управляемом облачном хостинге — обновление безопасности PHP, 2026

    Управляемый хостинг может сократить путь к исправлению, но только если провайдер обновит саму среду и проверит работающий сервис.

    Источник ↗
  9. 9
    Приложения на PHP, встроенные в готовые устройства и сторонние продукты — обновление безопасности PHP, 2026

    Владелец сайта может даже не знать, что купленный продукт содержит среду PHP, которую нужно обновить.

    Источник ↗
  10. 10
    Сайты на PHP с автоматическим развёртыванием на серверах — обновление безопасности PHP, 2026

    Автоматизация может превратить экстренный патч в рутинную установку, но конвейер, который обновляет только файлы приложения, оставляет среду нетронутой.

    Источник ↗

Что заметил ChatGPT

PHP приходился на 69,7% сайтов с определённым серверным языком в сравнении W3Techs от 13 октября. Такой масштаб делает ошибку среды проблемой всей экосистемы, а не одной системы управления сайтом.

Источник ↗

На 19 октября 2026 года 27,0% найденных сайтов на PHP использовали PHP 7, а 7,7% — PHP 5. Это сильное предупреждение о старом обслуживании, но ни один из этих процентов напрямую не измеряет уязвимость к двум новым CVE.

Источник ↗

Обновление системы управления сайтом и обновление среды PHP — разные операции. WordPress прямо оставляет выбор версии PHP на уровне сервера или хостинга, что объясняет, почему вполне современная панель может скрывать неисправленный движок.

Источник ↗
🇺🇸 Grok10 мест · заметок: 3

Тот же вопрос, ответ одного ИИ — Grok. Итоговый список выше объединяет все ИИ.

  1. 1
    WordPress

    Даже полностью исправленный сайт WordPress остаётся уязвимым, пока хостинг не обновит движок PHP под ним

    Источник ↗
  2. 2
    Drupal

    Примерно половина найденных сайтов Drupal уже работает на выпусках, которые больше не поддерживаются, а PHP под ними точно так же находится вне обновлений платформы

  3. 3
    Joomla

    Меньше, чем WordPress, но тот же барьер: PHP под контролем хостинга для любого сайта, который хочет исправлений октября 2026 года

    Источник ↗
  4. 4
    Magento / Adobe Commerce

    Установки магазинов, которые на платформе актуальны, могут всё равно работать на неисправленном PHP, пока сервер или хостинг не переведёт среду

    Источник ↗
  5. 5
    Laravel (и похожие фреймворки PHP)

    Код приложения может быть актуальным, а рабочий процесс PHP всё ещё на уязвимой ветке, пока оператор не перезапустит его с новым файлом

    Источник ↗
  6. 6
    PrestaShop

    Открытое ПО для магазинов, чьи релизы безопасности не затрагивают движок PHP, который на самом деле отдаёт страницы

    Источник ↗
  7. 7
    MediaWiki и сайты семейства Википедии

    Крупные развёртывания PHP, где патч движка должна применить команда инфраструктуры, а не разработчики вики-ПО

    Источник ↗
  8. 8
    phpBB и другие форумы на PHP

    Обновления форумного ПО не трогают интерпретатор; когда исчезнет уязвимый PHP, решают общие хостинги

    Источник ↗
  9. 9
    Самописные приложения на PHP на общем хостинге

    Никакого обновления от платформы; единственный рычаг владельца сайта — переключатель PHP у хостинга или обращение в поддержку

    Источник ↗
  10. 10
    Магазины WooCommerce на WordPress

    Плагин магазина может быть актуальным, а версия PHP в «Состоянии сайта» остаётся уязвимой, пока хостинг не действует

    Источник ↗

Что заметил Grok

PHP работает на 69,3% сайтов с известным серверным языком, но единственное полное исправление октябрьских удалённых атак с выполнением кода — обновление среды, которое почти ни одна система управления сайтом не может сделать сама.

Источник ↗

Данные WordPress.org всё ещё показывают 16,24% активных установок на PHP 7.4 и 10,68% на PHP 8.1 — обе ветки вне официальных исправлений.

Источник ↗

Хостинги вроде GoDaddy сообщили, что исправили управляемые парки PHP за несколько часов, но любой сайт на старой ветке или на собственном сервере оставался уязвимым до ручной замены.

Источник ↗
🇺🇸 Nemotron10 мест · заметок: 1

Тот же вопрос, ответ одного ИИ — Nemotron. Итоговый список выше объединяет все ИИ.

  1. 1
    WordPress

    ~60% сайтов WordPress работают на PHP без поддержки по статистике WP.org, но переключение PHP в один клик есть у большинства управляемых хостингов

  2. 2
    Drupal

    Drupal 10+ требует PHP 8.1 и новее, но сайты Drupal 7 (всё ещё ~15% установок) застряли на PHP 7.4, который уже не поддерживается

    Источник ↗
  3. 3
    Joomla

    Joomla 5.x требует PHP 8.2 и новее; 4.x — 8.1; многие сайты 3.x всё ещё на PHP 7.4 без пути обновления ядра

    Источник ↗
  4. 4
    Magento / Adobe Commerce

    Magento 2.4.7 и новее требует PHP 8.2 и новее; старые 2.4.x на PHP 8.1 скоро перестанут поддерживаться; Cloud обновляет PHP сам

    Источник ↗
  5. 5
    TYPO3

    TYPO3 v12 LTS требует PHP 8.1 и новее; v11 перестала поддерживаться в 2024; многие v10/v11 на PHP 7.4/8.0

  6. 6
    Laravel (фреймворк, не CMS)

    Laravel 11.x требует PHP 8.2 и новее; многие приложения 10.x на PHP 8.1; автообновления PHP нет

    Источник ↗
  7. 7
    Symfony (фреймворк)

    Symfony 7.x требует PHP 8.2 и новее; 6.4 LTS — на 8.1; многие приложения 5.4/6.x на старых версиях PHP

    Источник ↗
  8. 8
    PrestaShop

    PrestaShop 8.1 и новее требует PHP 8.1; версия 1.7 всё ещё широко на PHP 7.4; встроенного переключателя PHP нет

    Источник ↗
  9. 9
    OpenCart

    OpenCart 4.x требует PHP 8.1 и новее; 3.x преобладает на PHP 7.4/8.0; экосистема расширений отстаёт

    Источник ↗
  10. 10
    Moodle

    Moodle 4.5 требует PHP 8.2; 4.1 LTS — на 8.0; многие сайты 3.11/4.0 на PHP 7.4

    Источник ↗

Что заметил Nemotron

Режим CGI/FPM важен: PHP-FPM с opcache скрывает версию в заголовках, CGI её показывает. Сканеры пропускают пулы PHP-FPM за прокси.

Источник ↗
🇺🇸 Gemini10 мест · заметок: 1

Тот же вопрос, ответ одного ИИ — Gemini. Итоговый список выше объединяет все ИИ.

  1. 1
    WordPress

    Более 40 миллионов обновлённых сайтов показывают зелёные галочки в wp-admin, тихо работая на движках PHP 7.4 или 8.0, которые уже не поддерживаются.

    Источник ↗
  2. 2
    Joomla

    Почти половина боевых развёртываний работает на устаревшем PHP, потому что расширения ломаются сразу при переходе на PHP 8.2 или 8.3.

  3. 3
    Drupal

    Серьёзный разрыв: корпоративные упрямцы на Drupal 7 держат PHP 7.4, хотя Drupal 10 требует современный PHP 8.2 и новее.

    Источник ↗
  4. 4
    Magento (Adobe Commerce)

    Жёсткие скомпилированные зависимости означают, что обновление движка PHP требует пересборки, поэтому магазины застывают на снятых с поддержки средах.

    Источник ↗
  5. 5
    OpenCart

    Широко распространено на неуправляемом дешёвом общем хостинге, где владельцы магазинов редко знают, что их интерпретатор PHP устарел на пять лет.

    Источник ↗
  6. 6
    PrestaShop

    Несовместимость платёжных модулей держит 38% активных продавцов на устаревшем PHP 7.4, несмотря на предупреждения о критических уязвимостях.

    Источник ↗
  7. 7
    TYPO3

    Корпоративные циклы с долгосрочной поддержкой (LTS) гарантируют патчи системы управления до 6 лет, часто переживая стандартный срок поддержки PHP под ней.

    Источник ↗
  8. 8
    Moodle

    Учебные заведения живут по жёстким учебным циклам, поэтому их серверные стеки застывают на снятых с поддержки версиях PHP между учебными годами.

    Источник ↗
  9. 9
    phpBB

    Тысячи старых сообществ-форумов работают на забытых серверах энтузиастов: приложение форума обновляется, а Apache FastCGI остаётся прежним.

    Источник ↗
  10. 10
    vBulletin

    Владельцы коммерческих лицензий часто оставляют старые установки на давних стеках LAMP, чтобы не платить за дорогое продление лицензии.

Что заметил Gemini

Более 35% всех сайтов в мире на PHP продолжают работать на PHP 7.4 или старше, которые уже годами не получают официальных обновлений безопасности от сообщества.

Источник ↗
🇨🇳 Kimi10 мест · заметок: 4

Тот же вопрос, ответ одного ИИ — Kimi. Итоговый список выше объединяет все ИИ.

  1. 1
    WordPress (2026)

    Два из каждых пяти сайтов на Земле работают на нём — и каждый третий всё ещё показывает PHP, который уже не поддерживается, а полностью обновлённый WordPress 7.1.2 значился в списке демонстрационных эксплойтов самого исследователя.

    Источник ↗
  2. 2
    Joomla (2026)

    82% сайтов Joomla всё ещё работают на версии 3 — ПО, которое отлично идёт на PHP времён 2012 года, — а сайт самого проекта Joomla отключился из-за этой ошибки.

    Источник ↗
  3. 3
    Magento / Adobe Commerce (2026)

    Magento 1 без официальной поддержки безопасности с июня 2020 года — для них этого экстренного исправления просто нет, спасает только обновление сервера.

    Источник ↗
  4. 4
    Drupal (2026)

    Почти половина всех сайтов Drupal всё ещё работает на ядре, которое уже не поддерживается: 29% — на Drupal 7, которого не поддерживают с января 2025 года, так что их PHP обычно ещё старше.

  5. 5
    WooCommerce (2026)

    Каждый пятый сайт WordPress — магазин, а в документации WooCommerce теперь требуется PHP 8.3 и новее, тогда как большинство магазинов стоит на том PHP, который выбрал их хостинг.

    Источник ↗
  6. 6
    Shopware (2026)

    Предупреждение Sansec в первый день объединило Shopware с Magento: магазины региона DACH под угрозой «даже когда их собственный код чист».

    Источник ↗
  7. 7
    MediaWiki (2026)

    Программа, на которой работает Википедия, использует тот же движок PHP: Викимедиа отключила собственный Phabricator за несколько часов до выхода исправления.

    Источник ↗
  8. 8
    Nextcloud (на своём сервере, 2026)

    Удобный обновлятор Nextcloud в один клик обновляет приложение, но не может трогать PHP под ним, а Nextcloud 35.0.1 значился в списке демонстрации эксплойта.

    Источник ↗
  9. 9
    WHMCS (2026)

    Панель биллинга, которой хостинги продают вам «полностью управляемый» хостинг, сама была в списке затронутых исследователем.

    Источник ↗
  10. 10
    phpMyAdmin / панели cPanel и Plesk (2026)

    cPanel выпустила исправления для PHP 7.4–8.1 — и ничего для PHP 7.3 и старше, оставив большой хвост установок панели управления замороженными.

    Источник ↗

Что заметил Kimi

Обновлённая панель администратора может обманывать: WordPress.org подтвердил, что обновление WordPress для этих уязвимостей не нужно и не планируется — исправление живёт только в движке PHP, так что зелёная плашка «всё обновлено» — ложное чувство безопасности на любой платформе.

Источник ↗

Каждый третий сайт WordPress работает на PHP без поддержки (7.4 + 8.0 + 8.1 = 32,4% в октябре 2026), а 7,7% всех сайтов на PHP всё ещё на PHP 5 — версия 5.6 составляет 55% от этого, на серверах, которые пропустили десятилетие исправлений.

Источник ↗

Путь исправления делится по бизнес-модели, а не по стране: Hostinger и OVHcloud автоматически отправили патч каждому управляемому клиенту (Hostinger закончил 22 октября в 06:44 UTC), а GoDaddy велела клиентам проверить и обновиться самим, а репозиторий Remi, который ведут волонтёры, в первый день пакетов не содержал.

Источник ↗

mod_php — худший вариант настройки: PHP там подтвердил полное удалённое выполнение кода при стандартных лимитах, ещё до запуска кода приложения, — как и CVE-2024-4577, ошибка CGI в Windows, которую начали массово эксплуатировать за несколько дней, пока ветки без поддержки не получили патча.

Источник ↗
🇨🇳 Wenxin10 мест · заметок: 1

Тот же вопрос, ответ одного ИИ — Wenxin. Итоговый список выше объединяет все ИИ.

  1. 1
    WordPress 6.x (2026)

    Почти 4 из 10 сайтов работают на ней, и один клик в панели может сменить движок PHP, если хостинг это позволяет, — но 18% установок всё ещё сообщают о PHP 7.x или старше

  2. 2
    Drupal 10/11 (2026)

    Обновлятор меняет платформу, но не может трогать движок PHP — 22% сайтов Drupal работают на PHP без поддержки, потому что хостинг его не обновил

    Источник ↗
  3. 3
    Joomla 4/5 (2026)

    Обновлятор в один клик для самой Joomla, нулевой контроль над PHP — каждая пятая установка Joomla всё ещё на PHP 7.4

    Источник ↗
  4. 4
    Magento (Adobe Commerce) 2.4 (2026)

    Корпоративная платформа, но обновлятор чинит только код Magento; обновление PHP — звонок хостинг-компании — 30% магазинов всё ещё на PHP 7.4

    Источник ↗
  5. 5
    Wix / Squarespace (облачные сервисы, 2026)

    Эти платформы работают на собственных стеках PHP — пользователь никогда не трогает движок, поэтому исправление приходит в день выхода PHP, но их привязка скрывает риск

  6. 6
    Shopify (облачный сервис, 2026)

    Как Wix: полностью управляемая платформа, риск PHP берёт на себя поставщик, — но из-за масштаба один неудачный патч бьёт сразу по сотням тысяч магазинов

  7. 7
    PrestaShop (2026)

    Открытая платформа электронной коммерции с обновлением приложения в один клик, но не PHP; примерно 27% магазинов всё ещё на PHP 7.4 или старше

    Источник ↗
  8. 8
    TYPO3 CMS (2026)

    Немецкая система управления, где админы могут сменить PHP в инструменте установки, — но только 14% установщиков это делают, оставляя под угрозой более 300 тыс. сайтов

  9. 9
    Craft CMS (2026)

    Камерная система с аккуратным обновлятором; подвох в том, что большинство малых бизнес-сайтов работает на общих хостингах, которые никогда не обновляют PHP — 19% на снятом с поддержки

  10. 10
    Concrete CMS (2026)

    Собственный обновлятор платформы патчит систему управления, а не PHP; самый маленький след здесь означает меньше всего жертв, но самый медленный темп патчей

Что заметил Wenxin

Миф об «обновлении в один клик»: WordPress, Drupal, Joomla и Magento позволяют обновить систему управления в один клик, но ни одна не может обновить движок PHP под собой — этот шаг требует хостинга.

Источник ↗