Назад до тренду дня: Дві вади в PHP дозволяють чужим захоплювати сайти; деякі вимкнули для безпеки
Рейтинг Poly · з тренду дня

Як оновити PHP на своєму сайті: 10 платформ під загрозою, 2026

Оновлення WordPress цього не виправляє: WordPress.org повідомляє, що оновлення WordPress не планується. Через 24 години після виправлення PHP 99,1% уражених хостів WordPress із вибірки Shodan досі працювали на непатченому PHP.

  • №1: WordPress
  • 10 місць

01Підсумковий список

Провідні ШІ незалежно склали свої списки з десяти місць. Нагорі — один підсумок, який легко перевірити: у кожного місця є причина, джерело та список ШІ, які його включили.

Порядок: від більшої згоди ШІ до меншої.

Яскрава плашка — цей ШІ включив пункт у свій список. Тьмяна — не включив.

  1. 1

    WordPress

    Найбільша вразливість. Близько 1 з 3 установок працює на PHP 8.1 або старішому; дані коливаються від 32,4% до 36,4%. 33 075 уражених хостів у вибірці Shodan, виправлено лише 299.

    Увімкнули: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    У їхніх списках: Claude: 5 · ChatGPT: 1 · Grok: 1 · Nemotron: 1 · Gemini: 1 · Kimi: 1 · Wenxin: 1

    Що відзначив кожен ШІ 7
    • Claudeмісце 5

      Близько 1 з 3 встановлень WordPress працюють на PHP 8.1 або старішому. WordPress.org заявив, що оновлення WordPress не планується: виправлення — це оновлення PHP.

      Джерело ↗
    • ChatGPTмісце 1

      Найпоширеніша у світі система керування сайтами (CMS) не може оновити рушій PHP звичайною кнопкою оновлення ядра WordPress.

      Джерело ↗
    • Grokмісце 1

      Навіть повністю оновлений сайт WordPress лишається під загрозою, доки хостинг не оновить рушій PHP під ним

      Джерело ↗
    • Nemotronмісце 1

      Близько 60% сайтів WordPress працюють на застарілому PHP за статистикою WP.org, але перемикання PHP в один клік є на більшості керованих хостингів

    • Geminiмісце 1

      Понад 40 мільйонів оновлених сайтів показують зелені галочки в wp-admin, тихо працюючи на застарілих рушіях PHP 7.4 або 8.0 під ними.

      Джерело ↗
    • Kimiмісце 1

      Два з п'яти сайтів у світі працюють на ньому, і кожен третій досі показує застарілий PHP, тоді як повністю оновлений WordPress 7.1.2 був у демонстраційному списку експлойтів дослідника.

      Джерело ↗
    • Wenxinмісце 1

      Майже 4 з 10 сайтів працюють на ньому, і один клік у панелі може змінити рушій PHP, якщо хостинг це дозволяє, — але 18% встановлень досі показують PHP 7.x або старіший

    7 ШІ поставили сюди
    Джерело ↗
  2. 2

    Drupal

    Майже половина сайтів Drupal уже працює на застарілому ядрі (лише на Drupal 7 — 29%). Через добу виправлено лише 31 із 3 919 уражених хостів.

    Увімкнули: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    У їхніх списках: Claude: 3 · ChatGPT: 3 · Grok: 2 · Nemotron: 2 · Gemini: 3 · Kimi: 4 · Wenxin: 2

    Що відзначив кожен ШІ 7
    • Claudeмісце 3

      Wiz показала віддалене виконання коду в найновішому образі Drupal, тож актуальне ядро не давало захисту.

      Джерело ↗
    • ChatGPTмісце 3

      Drupal має жорстку межу: жодна підтримувана версія Drupal не працює з PHP 7, але оновлення Drupal все одно не виправляє сам PHP.

      Джерело ↗
    • Grokмісце 2

      Близько половини виявлених сайтів Drupal уже працюють на застарілих основних версіях, а PHP під ними так само поза межами оновлювача платформи

    • Nemotronмісце 2

      Drupal 10+ потребує PHP 8.1+, але сайти Drupal 7 (досі близько 15% встановлень) застрягли на PHP 7.4, який більше не підтримується

      Джерело ↗
    • Geminiмісце 3

      Глибокий розрив: корпоративні користувачі Drupal 7 тримають PHP 7.4, хоча Drupal 10 вимагає сучасного PHP 8.2+.

      Джерело ↗
    • Kimiмісце 4

      Майже половина всіх сайтів Drupal досі на застарілому ядрі: 29% — лише на Drupal 7, що не підтримується з січня 2025 року, тож їхній PHP зазвичай ще старіший.

    • Wenxinмісце 2

      Оновлювач може змінити платформу, але не може торкнутися рушія PHP: 22% сайтів Drupal працюють на PHP, що не підтримується, бо хостинг його так і не оновив

      Джерело ↗
    7 ШІ поставили сюди
    Джерело ↗
  3. 3

    Joomla

    Лише 4 із 646 уражених хостів Joomla мали виправлений PHP через 24 години. Сам Joomla.org вимкнувся, а чинну Joomla 6.1.4 використали в демонстрації атаки.

    Увімкнули: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    У їхніх списках: Claude: 4 · ChatGPT: 2 · Grok: 3 · Nemotron: 3 · Gemini: 2 · Kimi: 2 · Wenxin: 3

    Що відзначив кожен ШІ 7
    • Claudeмісце 4

      Лише 4 з 1 099 хостів Joomla у вибірці OX показали виправлений PHP через добу.

      Джерело ↗
    • ChatGPTмісце 2

      Найновіша панель Joomla може існувати разом із застарілим рушієм PHP під нею.

    • Grokмісце 3

      Менший слід, ніж у WordPress, але та сама перешкода: PHP контролює хостинг для будь-якого сайту, що хоче жовтневі виправлення 2026 року

      Джерело ↗
    • Nemotronмісце 3

      Joomla 5.x потребує PHP 8.2+; 4.x — PHP 8.1; багато сайтів 3.x досі на PHP 7.4 без шляху оновлення ядра

      Джерело ↗
    • Geminiмісце 2

      Майже половина робочих розгортань досі на застарілому PHP, бо розширення ламаються одразу після переходу на PHP 8.2 або 8.3.

    • Kimiмісце 2

      82% сайтів Joomla досі працюють на версії 3 — програмі, що добре працює на PHP з 2012 року, а вебсайт самого проєкту Joomla вимкнули через цю помилку.

      Джерело ↗
    • Wenxinмісце 3

      Оновлювач в один клік для самого Joomla, але жодного контролю над PHP: кожна п'ята встановлена Joomla досі на PHP 7.4

      Джерело ↗
    7 ШІ поставили сюди
    Джерело ↗
  4. 4

    Magento / Adobe Commerce

    Жоден із 48 уражених хостів Magento у вибірці не був виправлений за добу. Sansec: «ви не можете виправити PHP2Shell з коду свого магазину».

    Увімкнули: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    У їхніх списках: Claude: 1 · ChatGPT: 4 · Grok: 4 · Nemotron: 4 · Gemini: 4 · Kimi: 3 · Wenxin: 4

    Що відзначив кожен ШІ 7
    • Claudeмісце 1

      У вибірці OX Security 48 видимих хостів Magento були уражені, і жоден не був виправлений через 24 години. Власні оновлення магазину ніколи не торкаються PHP.

      Джерело ↗
    • ChatGPTмісце 4

      Виправлення середовища може перерости в координоване оновлення магазину, коли версія PHP і підтримуваний стек залежностей магазину мають змінюватися разом.

      Джерело ↗
    • Grokмісце 4

      Встановлення e-commerce, які на платформі актуальні, можуть досі сидіти на невиправленому PHP, доки сервер або хостинг не змінить середовище

      Джерело ↗
    • Nemotronмісце 4

      Magento 2.4.7+ потребує PHP 8.2+; старіші 2.4.x на PHP 8.1 скоро втратять підтримку; Cloud оновлює PHP автоматично

      Джерело ↗
    • Geminiмісце 4

      Жорсткі скомпільовані обмеження залежностей означають, що оновлення рушія PHP вимагає перезбірки, і магазини e-commerce лишаються на виведених з підтримки середовищах.

      Джерело ↗
    • Kimiмісце 3

      Magento 1 не отримує офіційної підтримки безпеки з червня 2020 року — для них цього аварійного виправлення просто немає, лише оновлення сервера.

      Джерело ↗
    • Wenxinмісце 4

      Платформа корпоративного рівня, але оновлювач виправляє лише код Magento; оновлення PHP означає звернення до хостингової компанії — 30% магазинів досі на PHP 7.4

      Джерело ↗
    7 ШІ поставили сюди
    Джерело ↗
  5. 5

    Laravel та власні застосунки на PHP

    Жодна панель не попереджає користувачів, а інструменти фреймворків не можуть змінити PHP. 98,27% видимих хостів Laravel досі не були виправлені через добу (виправлено 36 із 2 040 уражених).

    Увімкнули: Claude, ChatGPT, Grok, Nemotron. Не увімкнули: Gemini, Kimi, Wenxin.

    У їхніх списках: Claude: 6 · ChatGPT: 5 · Grok: 5 · Nemotron: 6

    Що відзначив кожен ШІ 4
    • Claudeмісце 6

      98,27% видимих хостів Laravel у вибірці OX досі не виправлені, а фреймворк не має інструмента, який змінює PHP на сервері.

      Джерело ↗
    • ChatGPTмісце 5

      Панелі CMS може взагалі не бути, тож ніхто не попередить власника, що справжнє середовище лишається вразливим.

    • Grokмісце 5

      Код застосунку може бути актуальним, поки базовий робочий процес PHP лишається на вразливій гілці, доки оператор не перезапустить із новим бінарним файлом

      Джерело ↗
    • Nemotronмісце 6

      Laravel 11.x потребує PHP 8.2+; багато застосунків 10.x на PHP 8.1; автооновлювача PHP немає

      Джерело ↗
    4 ШІ поставили сюди
    Джерело ↗
  6. 6

    OpenCart та інші старі магазини на PHP

    Старі магазини на PHP 5.6–8.1 більше не отримують офіційних релізів PHP. Їхнє виправлення — збірка від спільноти, а не одне натискання.

    Увімкнули: Claude, Nemotron, Gemini. Не увімкнули: ChatGPT, Grok, Kimi, Wenxin.

    У їхніх списках: Claude: 2 · Nemotron: 9 · Gemini: 5

    Що відзначив кожен ШІ 3
    • Claudeмісце 2

      Виправлення для цих сайтів — це збірка патчів для PHP від 5.6 до 8.1, яку підтримує спільнота. Це не оновлення в один клік.

      Джерело ↗
    • Nemotronмісце 9

      OpenCart 4.x потребує PHP 8.1+; 3.x переважає на PHP 7.4/8.0; екосистема розширень відстає

      Джерело ↗
    • Geminiмісце 5

      Поширено на недорогих спільних хостингах без керування, де власники магазинів рідко знають, що їхньому інтерпретатору PHP п'ять років.

      Джерело ↗
    3 ШІ поставили сюди
    Джерело ↗
  7. 7

    cPanel, Plesk і phpMyAdmin

    0 із 587 уражених хостів cPanel були виправлені через 24 години. Джерела розходяться щодо того, що охоплює виправлення: відкат до PHP 5.2 (CloudLinux) або нічого нижче за 7.3.

    Увімкнули: Claude, ChatGPT, Kimi. Не увімкнули: Grok, Nemotron, Gemini, Wenxin.

    У їхніх списках: Claude: 9 · ChatGPT: див. список · Kimi: 10

    Що відзначив кожен ШІ 3
    • Claudeмісце 9

      Plesk випустив виправлені збірки PHP 8.2–8.5, але власник сайту все одно має їх встановити.

      Джерело ↗
    • ChatGPT

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimiмісце 10

      cPanel випустив виправлення для PHP 7.4–8.1, і нічого для PHP 7.3 та старіших, тож величезний хвіст установок панелі керування лишився замороженим.

      Джерело ↗
    3 ШІ поставили сюди
    Джерело ↗
  8. 8

    WooCommerce

    Близько 1 з 5 сайтів WordPress — це магазин WooCommerce. Його документація тепер вимагає PHP 8.3+, але магазини атакують «навіть коли їхній власний код чистий».

    Увімкнули: Grok, Kimi. Не увімкнули: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    У їхніх списках: Grok: 10 · Kimi: 5

    Що відзначив кожен ШІ 2
    • Grokмісце 10

      Плагін магазину може бути актуальним, а версія PHP, яку показує «Стан сайту», лишається вразливою, доки хостинг не втрутиться

      Джерело ↗
    • Kimiмісце 5

      Кожен п'ятий сайт WordPress — магазин, а документація WooCommerce тепер вимагає PHP 8.3+, тоді як більшість магазинів сидить на тому PHP, який обрав їхній хостинг.

      Джерело ↗
    2 ШІ поставили сюди
    Джерело ↗
  9. 9

    MediaWiki

    Програмне забезпечення, на якому працює Вікіпедія: MediaWiki 1.46.2 була в списку демонстрацій атак, а Вікімедіа вимкнула власний Phabricator за кілька годин до виправлення.

    Увімкнули: Grok, Kimi. Не увімкнули: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    У їхніх списках: Grok: 7 · Kimi: 7

    Що відзначив кожен ШІ 2
    • Grokмісце 7

      Відомі розгортання PHP досі потребують команди інфраструктури, а не вікі-програмного забезпечення, щоб встановити виправлення рушія

      Джерело ↗
    • Kimiмісце 7

      Програма, на якій працює Вікіпедія, використовує той самий рушій — Вікімедіа вимкнула власний Phabricator за кілька годин до виходу патча.

      Джерело ↗
    2 ШІ поставили сюди
    Джерело ↗
  10. 10

    Nextcloud (на власному сервері)

    Його оновлювач в один клік оновлює застосунок, а не PHP. Чинну Nextcloud 35.0.1 використали в демонстрації. Лише один ШІ включив її до списку, і для неї немає кількості уражених.

    Увімкнули: Kimi. Не увімкнули: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.

    У їхніх списках: Kimi: 8

    Що відзначив кожен ШІ 1
    • Kimiмісце 8

      Відполірований оновлювач Nextcloud в один клік оновлює застосунок, але не може торкнутися PHP під ним, а Nextcloud 35.0.1 був у демонстраційному списку експлойтів.

      Джерело ↗
    1 ШІ поставили сюди
    Джерело ↗

Трійка докладно ↓

02Докладніше про трійку

Рейтинг вище. Тут — докладніше про перші три місця: що це, чому вони тут і що варто знати.

Три платформи перевірено на різних вибірках, тож частка ще не оновлених майже однакова для всіх, а кількість ризикових сайтів сильно різниться.

1WordPress

№ 1 — WordPress. У списках 7 з 7 ШІ; медіанне місце там: 1. Це найбільший масив уражених сайтів, а оновлення самого WordPress не виправляє рушій PHP під ним.

А ви знали

  • Версії WordPress названо на честь джазових музикантів. Версію 1.0, випущену 3 січня 2004 року, назвали «Miles». Найперший випуск, 0.7, вийшов 27 травня 2003 року.

    Джерело ↗
Що це
Найпоширеніша платформа для сайтів, яка працює на PHP.
Чим сильніший
Уражених хостів у неї значно більше, ніж у Drupal чи Joomla.
Кому корисно знати
Корисно тим, хто має сайт на WordPress: його власне оновлення цю діру не закриє.
  • Хости, виправлені за 24 години299 із 33 075 виправлено

Вікіпедія · Wikidata

Чому він тут

  • В одному 24-годинному скануванні 33 075 із 41 882 сайтів WordPress, які показали версію PHP, працювали на уразливому релізі. Лише 299 мали виправлений. Це найбільший масив серед трьох платформ.

    Джерело ↗

  • Власні січневі дані WordPress щодо PHP за 2026 рік: 22,20% відстежуваних сайтів працювали на PHP 7.4, 15,39% на 8.1, а 5,69% на 8.0. Разом це близько 43%, без урахування старіших версій.

    Джерело ↗
Історія

  • У 2003 році Метт Маллуенг почав WordPress як форк b2, інструмента для блогів. Його творець припинив підтримку, тож Маллуенг узяв вільний код і створив нову версію.

    Джерело ↗
Що варто врахувати

  • WordPress досі працює на PHP 7.4+, але сторінка з вимогами офіційно називає цю версію застарілою (end-of-life) і каже, що вона може наражати ваш сайт на загрози безпеки. Рекомендовано PHP 8.3 або новіший.

    Джерело ↗

  • Зміна версії PHP, яку нав'язав хостинг, може зламати старі теми чи плагіни. Один користувач форуму написав, що панель адміністратора його сайту перестала працювати після оновлення PHP, а потім хостинг повернув старішу версію.

    Джерело ↗
Що кажуть люди

  • While trying to fix a relatively minor Google Map API problem, I have gone down a rabbit hole that has taken my site offline. — justinfarquhar

    Джерело ↗
Де дізнатися більше

  • Спершу відкрийте сторінку з вимогами і знайдіть рядок про PHP. Там вказано версію PHP, яку WordPress радить вашому хостингу. Потім перевірте в панелі хостингу, яку версію PHP використовує ваш сайт.

    Джерело ↗

Відео: WordPress.org VS WordPress.com: The Confusing Differences Explained! (англійською) · Darrel Wilson

Порівняти першу трійку ↓

2Drupal

№ 2 — Drupal. У списках 7 з 7 ШІ; медіанне місце там: 3. Майже половина сайтів Drupal вже працює на ядрі, яке не підтримується, і майже жоден з уражених хостів не був оновлений за добу.

А ви знали

  • Назва Drupal походить від помилки в друку. Дріс Бёйтарт хотів назвати сайт «dorp.org» (нідерландською «село»), але надрукував «drop». Назва Drupal походить від нідерландського слова «druppel», що означає «крапля».

    Джерело ↗
Що це
Платформа для сайтів, яку часто обирають для великих проєктів з індивідуальною розробкою.
Чим сильніший
Багато сайтів працюють на ядрі, яке вже не отримує виправлень безпеки.
Кому корисно знати
Корисно власникам Drupal 7, яким пора переходити на новішу версію.
  • Хости, виправлені за 24 години31 із 3 919 виправлено

Вікіпедія · Wikidata

Чому він тут

  • З 5 078 хостів Drupal, що показали версію PHP, 3 919 були уражені через 24 години. Лише 31 оновився, тож 99,22% уражених досі лишалися відкритими.

    Джерело ↗

  • W3Techs показує, що 22 жовтня 2026 року Drupal 7 працює на 29,0% сайтів Drupal. Це більше, ніж Drupal 10 з 28,7%, а Drupal 7 вже не отримує виправлень безпеки.

    Джерело ↗
Історія

  • Близько 2000 року Дріс Бёйтарт і його друзі в студентському гуртожитку ділилися одним ADSL-модемом на восьмеро студентів. Вони зробили невеликий сайт для спілкування, і він переріс у Drupal.

    Джерело ↗
Що варто врахувати

  • Tag1 каже, що інструмент міграції ядра не переносить Views, збережені списки та макети, які показують контент. Ці частини потрібно додати окремим модулем або перебудувати вручну.

    Джерело ↗
Порівняти першу трійку ↓

3Joomla

№ 3 — Joomla. У списках 7 з 7 ШІ; медіанне місце там: 3. Майже жоден з уражених хостів Joomla не був оновлений, а навіть поточну версію Joomla зламали під час демонстрації.

А ви знали

  • Joomla — це написання суахілійського слова «Jumla», що означає «все разом» або «загалом». Команда-засновник обрала його, а перед ухваленням назви її переглянули фахівці з брендингу та маркетингу.

    Джерело ↗
Що це
Платформа для сайтів, що виросла з давнішого Мамбо.
Чим сильніший
Серед платформ тут найбільша частка уражених хостів, які після доби залишалися відкритими.
Кому корисно знати
Корисно власникам Joomla, адже саме оновлення Joomla не закриває діру.
  • Хости, виправлені за 24 години4 із 646 виправлено

Wikidata

Чому він тут

  • З 1 099 хостів Joomla, що показали версію PHP, 646 були уражені, і лише 4 оновилися за 24 години. Частка уражених, що досі лишалися вразливими, становить 99,38%, це гірше, ніж у WordPress (99,1%) і Drupal (99,22%).

    Джерело ↗

  • Дослідники з Wiz показали віддалене виконання коду без автентифікації на останньому образі контейнера Joomla, оцінка CVSS 9,2. Вразливість міститься в самому PHP, тож оновлення лише Joomla її не закриває.

    Джерело ↗
Історія

  • У 2005 році основні розробники Mambo пішли через сварку за контроль. Компанія Міро, якій належала назва Mambo, створила фонд, який розробники назвали надто владним. Тоді вони почали Joomla.

    Джерело ↗
Що варто врахувати

  • Joomla 3 повністю втратила підтримку. Офіційний посібник каже, що базову підтримку припинено 17 серпня 2023 року, а розширену (Extended LTS) 17 лютого 2025 року. Сайти, що досі на ній працюють, не отримують виправлень.

    Джерело ↗
Що кажуть люди

  • K2 extension do not work inside J4, and will not work (!) becuase of K2 developers. — Paul Frankowski

    Джерело ↗
Де дізнатися більше

  • Спершу дивіться рядок про PHP. Joomla 6 потребує щонайменше PHP 8.3.0, а рекомендовано 8.4. Порівняйте це з версією PHP, яку ваш хостинг дає вашому сайту.

    Джерело ↗
Порівняти першу трійку ↓

Трійка поруч

WordPressDrupalJoomla
У списках ШІ7 / 77 / 77 / 7
Хости, виправлені за 24 години299 із 33 075 виправлено31 із 3 919 виправлено4 із 646 виправлено
Першим поставилиChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin——

Місця з однаковою кількістю ШІ впорядковано за середнім місцем у списках самих ШІ.

Інші рейтинги

03Варто знати

Що помітили ШІ, поки складали список.

Через 24 години після виправлення 99,3% вимірюваних екземплярів PHP у вибірці Shodan досі були непатченими; виправлені хости зросли лише з 245 до 14 151 із близько 2 млн.

Помітили:
Увімкнули: Claude, Grok. Не увімкнули: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.
Джерело ↗

Два окремі підрахунки сходяться на тому, що близько 7 із 10 вразливих хостів PHP працюють на гілці, яку проєкт PHP більше не підтримує: Flare — 72,7%, Qualys — 71%.

Помітили:
Увімкнули: Claude. Не увімкнули: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Джерело ↗

Зелена панель «оновлено» тут нічого не доводить: вада лежить нижче WordPress, тем і плагінів, тож виправити її може лише оновлення PHP.

Помітили:
Увімкнули: Claude, ChatGPT, Gemini, Kimi. Не увімкнули: Grok, Nemotron, Wenxin.
Джерело ↗

Номери версій вводять в оману в обидва боки: бекпорти CloudLinux можуть показувати на виправленому хості PHP 8.5.11, а пакети дистрибутивів — лишати стару версію в рядку.

Помітили:
Увімкнули: Claude, Kimi. Не увімкнули: ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Джерело ↗

Оцінки кількості уражених сильно розходяться залежно від методу: від близько 1,3 млн до 2,6 млн хостів (VulnCheck), 6,29 млн (Censys) і 22,6 млн «потенційно вразливих» екземплярів (Palo Alto Networks).

Помітили:
Увімкнули: Claude, Grok, Kimi. Не увімкнули: ChatGPT, Nemotron, Gemini, Wenxin.
Джерело ↗

04Що питають люди

Як оновити PHP

Перейдіть на виправлений випуск: 8.5.12, 8.4.27, 8.3.36 або 8.2.35, а потім перезапустіть кожну службу, що завантажує PHP. Для PHP 8.1 і старіших офіційного виправлення немає, тож потрібен бекпорт від постачальника або оновлення.

Джерело ↗
Як оновити PHP на моєму сайті

На спільному або керованому хостингу оберіть виправлену версію PHP у панелі керування хостингом або зверніться до підтримки. Оновлення WordPress, Drupal, Joomla чи Magento не змінює рушій PHP.

Джерело ↗
Як оновити PHP у Windows

Завантажте виправлену збірку для Windows (8.5.12, 8.4.27, 8.3.36 або 8.2.35) з windows.php.net, замініть стару папку PHP, але збережіть php.ini, потім перезапустіть IIS, Apache або PHP-CGI.

Джерело ↗
Як оновити версію PHP

Перевірте версію командою php -v і оновіться до 8.2.35 або новішої. Оскільки для самого PHP 8.2 підтримка завершується 31 грудня 2026 року, цільовою версією оберіть 8.3, 8.4 або 8.5 і спершу перевірте на тестовому сервері.

Джерело ↗

05Як рахували

Простими словами, без формул.

1Питання

Топ-10 платформ, де оновлений сайт усе ще може працювати на вразливому PHP

2Чому ця тема

Тут поруч стоять опитування про користування та сканування інтернету, а також те, хто насправді контролює виправлення, тож власник сайту бачить різницю між «мій сайт оновлено» і «мій сервер у безпеці». Жодна окрема таблиця цієї різниці не показує.

3Де це застосовно

Глобально; WordPress, Drupal, Joomla, Magento та інше програмне забезпечення для сайтів, що працює на PHP

4На що дивилися

  • Частка установок кожної платформи, що працюють на версії PHP після завершення підтримки
  • Частка цих установок, до яких сканери можуть дістатися з інтернету
  • Частка тих, що працюють на PHP у вразливому режимі, наприклад у режимі CGI
  • Чи може власний оновлювач платформи змінити рушій PHP, чи лише саму платформу
  • Як швидко виправлення доходить до типового сайту: одним натисканням, через хостинг-компанію чи вручну, оновивши сервер
  • WordPress.org Statistics — частка активних установок WordPress за версією PHP, яку вони повідомляють. Показники живого графіка різняться: від 32,4% до 36,4% на PHP 8.1 або старішому
  • OX Security (вибірка Shodan, через 24 години після виправлення) — знайдені, уражені та виправлені хости для кожної технології. Це вибірка, а не весь інтернет
  • W3Techs / TheDropTimes — частка версій PHP в мережі та сайти Drupal на старих основних версіях, які вже не підтримуються

5Хто ставив місця

Провідні ШІ: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Кожен сам склав свій список із десяти місць і до кожного місця назвав джерело.

6Як зведено місця

Те саме, назване різними ШІ по-різному, рахували як одне. Що більше ШІ включили пункт до свого списку і що вище поставили, то вище його місце. «Згода ШІ» показує, у скількох ШІ цей пункт був у власному списку. Джерела — лише ті, що знайшли самі ШІ, нічого не додано вручну.

06Список кожного ШІ окремо

🇺🇸 Claude10 місць · нотаток: 4

Те саме питання, відповідь одного ШІ — Claude. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    Magento / Adobe Commerce (на власному сервері)

    У вибірці OX Security 48 видимих хостів Magento були уражені, і жоден не був виправлений через 24 години. Власні оновлення магазину ніколи не торкаються PHP.

    Джерело ↗
  2. 2
    OpenCart та інші застарілі PHP-магазини

    Виправлення для цих сайтів — це збірка патчів для PHP від 5.6 до 8.1, яку підтримує спільнота. Це не оновлення в один клік.

    Джерело ↗
  3. 3
    Drupal (на власному сервері)

    Wiz показала віддалене виконання коду в найновішому образі Drupal, тож актуальне ядро не давало захисту.

    Джерело ↗
  4. 4
    Joomla (на власному сервері)

    Лише 4 з 1 099 хостів Joomla у вибірці OX показали виправлений PHP через добу.

    Джерело ↗
  5. 5
    WordPress на спільному хостингу або власному VPS (віртуальному сервері)

    Близько 1 з 3 встановлень WordPress працюють на PHP 8.1 або старішому. WordPress.org заявив, що оновлення WordPress не планується: виправлення — це оновлення PHP.

    Джерело ↗
  6. 6
    Laravel і власні PHP-застосунки на орендованих серверах

    98,27% видимих хостів Laravel у вибірці OX досі не виправлені, а фреймворк не має інструмента, який змінює PHP на сервері.

    Джерело ↗
  7. 7
    Образи WordPress / Drupal / Joomla на Docker

    Перезбірка це виправляє, але офіційний образ php не отримує виправлень для 8.1 і старіших версій.

    Джерело ↗
  8. 8
    Сайти на спільному хостингу з cPanel / CloudLinux

    Пакети PHP у панелі керування виправили аж до PHP 5.2, але виправлений сайт може досі показувати стару номер версії.

    Джерело ↗
  9. 9
    Сайти, якими керує Plesk (VPS і хостинги)

    Plesk випустив виправлені збірки PHP 8.2–8.5, але власник сайту все одно має їх встановити.

    Джерело ↗
  10. 10
    Керований хостинг WordPress (Pantheon, Pressable, Kinsta, WP Engine)

    Pantheon і Pressable були повністю виправлені вже 22 жовтня. WP Engine і Flywheel поставили захист CDN (мережі доставки вмісту) перед сайтами, поки йшло розгортання оновлень.

    Джерело ↗

Що помітив Claude

Вибірка OX Security через Shodan показала, що 99,3% PHP-екземплярів, які можна виміряти, досі не виправлені через 24 години після виправлення. Кількість виправлених зросла з 245 до 14 151 із близько 2 млн.

Джерело ↗

Два окремі вимірювання збігаються: близько 7 з 10 відкритих PHP працюють на гілці, яку розробники PHP більше не підтримують. Flare: 72,7% записів про сервіси. Qualys: 71% інсталяцій.

Джерело ↗

Оновлена панель WordPress дає хибне відчуття безпеки. Codeable пише, що WordPress.org підтвердив: оновлення WordPress не потрібне і не планується, бо вразливість лежить нижче WordPress, тем і плагінів.

Джерело ↗

Банер може вводити в оману в обох напрямках. Виправлення, перенесені CloudLinux у старі версії, можуть показувати виправлений хост з PHP 8.5.11, тоді як пакети Ubuntu чи Debian можуть зберігати старий рядок версії.

Джерело ↗
🇺🇸 ChatGPT10 місць · нотаток: 3

Те саме питання, відповідь одного ШІ — ChatGPT. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    Сайти на WordPress — оновлення безпеки PHP, 2026

    Найпоширеніша у світі система керування сайтами (CMS) не може оновити рушій PHP звичайною кнопкою оновлення ядра WordPress.

    Джерело ↗
  2. 2
    Сайти на Joomla — оновлення безпеки PHP, 2026

    Найновіша панель Joomla може існувати разом із застарілим рушієм PHP під нею.

  3. 3
    Сайти на Drupal — оновлення безпеки PHP, 2026

    Drupal має жорстку межу: жодна підтримувана версія Drupal не працює з PHP 7, але оновлення Drupal все одно не виправляє сам PHP.

    Джерело ↗
  4. 4
    Adobe Commerce і Magento Open Source — оновлення безпеки PHP, 2026

    Виправлення середовища може перерости в координоване оновлення магазину, коли версія PHP і підтримуваний стек залежностей магазину мають змінюватися разом.

    Джерело ↗
  5. 5
    Власні PHP-сайти — оновлення безпеки PHP, 2026

    Панелі CMS може взагалі не бути, тож ніхто не попередить власника, що справжнє середовище лишається вразливим.

  6. 6
    Застарілі PHP-застосунки — оновлення безпеки PHP, 2026

    PHP 5 і PHP 7 разом становили 34,7% виявлених сайтів на PHP у знімку W3Techs від 19 жовтня, хоча це не те саме, що частка, вразлива до цих CVE.

    Джерело ↗
  7. 7
    PHP-застосунки на спільному хостингу — оновлення безпеки PHP, 2026

    Одне середовище на рівні хоста може бути вузьким місцем безпеки для багатьох окремо підтримуваних сайтів клієнтів.

    Джерело ↗
  8. 8
    PHP-сайти на керованому хмарному хостингу — оновлення безпеки PHP, 2026

    Керований хостинг може скоротити шлях до виправлення, але лише якщо провайдер оновить справжнє середовище і перевірить розгорнутий сервіс.

    Джерело ↗
  9. 9
    PHP-застосунки, вбудовані в апаратні пристрої та сторонні продукти — оновлення безпеки PHP, 2026

    Власник сайту може навіть не знати, що купений ним продукт містить середовище PHP, яке потрібно оновити.

    Джерело ↗
  10. 10
    PHP-сайти з автоматичним розгортанням на серверах — оновлення безпеки PHP, 2026

    Автоматизація може перетворити екстрене виправлення на звичайне розгортання, але конвеєр, який оновлює лише файли застосунку, не чіпає середовище.

    Джерело ↗

Що помітив ChatGPT

PHP було в 69,7% сайтів із визначеною мовою на боці сервера за порівнянням W3Techs від 13 жовтня. Такий масштаб робить проблему середовища загальноекосистемною, а не проблемою однієї CMS.

Джерело ↗

Станом на 19 жовтня 2026 року 27,0% виявлених сайтів на PHP використовували PHP 7, а 7,7% — PHP 5. Це сильне попередження про застаріле обслуговування, але жоден із цих відсотків не вимірює напряму вразливість до двох нових CVE.

Джерело ↗

Оновлення CMS і оновлення середовища PHP — різні операції. WordPress прямо залишає вибір версії PHP на рівні сервера чи хостингу, тож панель, що виглядає актуальною, може приховувати невиправлений рушій.

Джерело ↗
🇺🇸 Grok10 місць · нотаток: 3

Те саме питання, відповідь одного ШІ — Grok. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    WordPress

    Навіть повністю оновлений сайт WordPress лишається під загрозою, доки хостинг не оновить рушій PHP під ним

    Джерело ↗
  2. 2
    Drupal

    Близько половини виявлених сайтів Drupal уже працюють на застарілих основних версіях, а PHP під ними так само поза межами оновлювача платформи

  3. 3
    Joomla

    Менший слід, ніж у WordPress, але та сама перешкода: PHP контролює хостинг для будь-якого сайту, що хоче жовтневі виправлення 2026 року

    Джерело ↗
  4. 4
    Magento / Adobe Commerce

    Встановлення e-commerce, які на платформі актуальні, можуть досі сидіти на невиправленому PHP, доки сервер або хостинг не змінить середовище

    Джерело ↗
  5. 5
    Laravel (і подібні PHP-фреймворки)

    Код застосунку може бути актуальним, поки базовий робочий процес PHP лишається на вразливій гілці, доки оператор не перезапустить із новим бінарним файлом

    Джерело ↗
  6. 6
    PrestaShop

    Відкрите програмне забезпечення для магазинів, чиї релізи безпеки не торкаються рушія PHP, що насправді обслуговує сторінки

    Джерело ↗
  7. 7
    MediaWiki / сайти родини Вікіпедії

    Відомі розгортання PHP досі потребують команди інфраструктури, а не вікі-програмного забезпечення, щоб встановити виправлення рушія

    Джерело ↗
  8. 8
    phpBB та інші PHP-форуми

    Оновлення форумного ПЗ не чіпають інтерпретатор; спільні хостинги вирішують, коли зникне вразливий PHP

    Джерело ↗
  9. 9
    Власні PHP-застосунки на спільному хостингу

    Жодного оновлювача платформи; єдиний важіль власника сайту — перемикач PHP у хостингу або звернення до підтримки

    Джерело ↗
  10. 10
    Магазини WooCommerce на WordPress

    Плагін магазину може бути актуальним, а версія PHP, яку показує «Стан сайту», лишається вразливою, доки хостинг не втрутиться

    Джерело ↗

Що помітив Grok

PHP працює на 69,3% сайтів із відомою мовою на боці сервера, але єдине повне виправлення вразливостей віддаленого виконання коду жовтня 2026 року — оновлення середовища, яке майже жодна CMS не може зробити сама.

Джерело ↗

Дані WordPress.org досі показують, що 16,24% активних встановлень працюють на PHP 7.4, а 10,68% — на PHP 8.1. Обидві гілки поза тими, які отримали офіційні виправлені релізи.

Джерело ↗

Хостинги на кшталт GoDaddy повідомили, що виправили свої керовані парки PHP за години, але будь-який сайт, прив'язаний до старішої гілки або на власному сервері, лишався під загрозою до ручної зміни.

Джерело ↗
🇺🇸 Nemotron10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Nemotron. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    WordPress

    Близько 60% сайтів WordPress працюють на застарілому PHP за статистикою WP.org, але перемикання PHP в один клік є на більшості керованих хостингів

  2. 2
    Drupal

    Drupal 10+ потребує PHP 8.1+, але сайти Drupal 7 (досі близько 15% встановлень) застрягли на PHP 7.4, який більше не підтримується

    Джерело ↗
  3. 3
    Joomla

    Joomla 5.x потребує PHP 8.2+; 4.x — PHP 8.1; багато сайтів 3.x досі на PHP 7.4 без шляху оновлення ядра

    Джерело ↗
  4. 4
    Magento / Adobe Commerce

    Magento 2.4.7+ потребує PHP 8.2+; старіші 2.4.x на PHP 8.1 скоро втратять підтримку; Cloud оновлює PHP автоматично

    Джерело ↗
  5. 5
    TYPO3

    TYPO3 v12 LTS потребує PHP 8.1+; v11 без підтримки з 2024; багато сайтів v10/v11 на PHP 7.4/8.0

  6. 6
    Laravel (фреймворк, а не система керування сайтом)

    Laravel 11.x потребує PHP 8.2+; багато застосунків 10.x на PHP 8.1; автооновлювача PHP немає

    Джерело ↗
  7. 7
    Symfony (фреймворк)

    Symfony 7.x потребує PHP 8.2+; 6.4 LTS — на 8.1; багато застосунків 5.4/6.x на старішому PHP

    Джерело ↗
  8. 8
    PrestaShop

    PrestaShop 8.1+ потребує PHP 8.1; 1.7 досі поширена на PHP 7.4; перемикача PHP у ядрі немає

    Джерело ↗
  9. 9
    OpenCart

    OpenCart 4.x потребує PHP 8.1+; 3.x переважає на PHP 7.4/8.0; екосистема розширень відстає

    Джерело ↗
  10. 10
    Moodle

    Moodle 4.5 потребує PHP 8.2; 4.1 LTS — PHP 8.0; багато сайтів 3.11/4.0 на PHP 7.4

    Джерело ↗

Що помітив Nemotron

Важливий режим: PHP-FPM з opcache приховує версію в заголовках, а CGI її показує. Сканери пропускають пули FPM за проксі.

Джерело ↗
🇺🇸 Gemini10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Gemini. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    WordPress

    Понад 40 мільйонів оновлених сайтів показують зелені галочки в wp-admin, тихо працюючи на застарілих рушіях PHP 7.4 або 8.0 під ними.

    Джерело ↗
  2. 2
    Joomla

    Майже половина робочих розгортань досі на застарілому PHP, бо розширення ламаються одразу після переходу на PHP 8.2 або 8.3.

  3. 3
    Drupal

    Глибокий розрив: корпоративні користувачі Drupal 7 тримають PHP 7.4, хоча Drupal 10 вимагає сучасного PHP 8.2+.

    Джерело ↗
  4. 4
    Magento (Adobe Commerce)

    Жорсткі скомпільовані обмеження залежностей означають, що оновлення рушія PHP вимагає перезбірки, і магазини e-commerce лишаються на виведених з підтримки середовищах.

    Джерело ↗
  5. 5
    OpenCart

    Поширено на недорогих спільних хостингах без керування, де власники магазинів рідко знають, що їхньому інтерпретатору PHP п'ять років.

    Джерело ↗
  6. 6
    PrestaShop

    Несумісність платіжних модулів тримає 38% активних продавців на застарілому PHP 7.4, попри критичні попередження про вразливості.

    Джерело ↗
  7. 7
    TYPO3

    Цикли довгострокової підтримки (LTS) гарантують виправлення CMS до 6 років, часто довше за стандартний термін підтримки PHP під ними.

    Джерело ↗
  8. 8
    Moodle

    Університети працюють за суворим академічним календарем, тож їхні серверні стеки заморожені на вже не підтримуваних версіях PHP між навчальними роками.

    Джерело ↗
  9. 9
    phpBB

    Тисячі старих спільнот-форумів працюють на забутих серверах ентузіастів: дошка оновлюється, а Apache FastCGI лишається незмінним.

    Джерело ↗
  10. 10
    vBulletin

    Власники комерційних ліцензій часто тримають старі встановлення на застарілих стеках LAMP, щоб уникнути дорогого продовження ліцензій.

Що помітив Gemini

Понад 35% усіх сайтів на PHP у світі досі працюють на PHP 7.4 або старіших версіях, які роками не отримують офіційних оновлень безпеки від спільноти.

Джерело ↗
🇨🇳 Kimi10 місць · нотаток: 4

Те саме питання, відповідь одного ШІ — Kimi. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    WordPress (2026)

    Два з п'яти сайтів у світі працюють на ньому, і кожен третій досі показує застарілий PHP, тоді як повністю оновлений WordPress 7.1.2 був у демонстраційному списку експлойтів дослідника.

    Джерело ↗
  2. 2
    Joomla (2026)

    82% сайтів Joomla досі працюють на версії 3 — програмі, що добре працює на PHP з 2012 року, а вебсайт самого проєкту Joomla вимкнули через цю помилку.

    Джерело ↗
  3. 3
    Magento / Adobe Commerce (2026)

    Magento 1 не отримує офіційної підтримки безпеки з червня 2020 року — для них цього аварійного виправлення просто немає, лише оновлення сервера.

    Джерело ↗
  4. 4
    Drupal (2026)

    Майже половина всіх сайтів Drupal досі на застарілому ядрі: 29% — лише на Drupal 7, що не підтримується з січня 2025 року, тож їхній PHP зазвичай ще старіший.

  5. 5
    WooCommerce (2026)

    Кожен п'ятий сайт WordPress — магазин, а документація WooCommerce тепер вимагає PHP 8.3+, тоді як більшість магазинів сидить на тому PHP, який обрав їхній хостинг.

    Джерело ↗
  6. 6
    Shopware (2026)

    Попередження Sansec у перший день прирівняло Shopware до Magento: магазини регіону DACH під загрозою «навіть коли їхній власний код чистий».

    Джерело ↗
  7. 7
    MediaWiki (2026)

    Програма, на якій працює Вікіпедія, використовує той самий рушій — Вікімедіа вимкнула власний Phabricator за кілька годин до виходу патча.

    Джерело ↗
  8. 8
    Nextcloud (на власному сервері, 2026)

    Відполірований оновлювач Nextcloud в один клік оновлює застосунок, але не може торкнутися PHP під ним, а Nextcloud 35.0.1 був у демонстраційному списку експлойтів.

    Джерело ↗
  9. 9
    WHMCS (2026)

    Панель біллінгу, якою хостингові компанії продають вам «повністю керований» хостинг, сама була в списку уражених дослідника.

    Джерело ↗
  10. 10
    phpMyAdmin / панелі cPanel і Plesk (2026)

    cPanel випустив виправлення для PHP 7.4–8.1, і нічого для PHP 7.3 та старіших, тож величезний хвіст установок панелі керування лишився замороженим.

    Джерело ↗

Що помітив Kimi

Оновлена панель адміністратора може обманювати: WordPress.org підтвердив, що оновлення WordPress для цих вразливостей не потрібне і не планується. Виправлення є лише в рушії PHP, тож зелена позначка «все оновлено» на будь-якій платформі дає хибне відчуття безпеки.

Джерело ↗

Кожен третій сайт WordPress працює на застарілому PHP (7.4 + 8.0 + 8.1 = 32,4% у жовтні 2026), а 7,7% усіх сайтів на PHP досі на PHP 5. Версія 5.6 становить з них 55% — на серверах, що пропустили десятиліття виправлень.

Джерело ↗

Шлях виправлення ділиться за бізнес-моделлю, а не за країною: Hostinger і OVHcloud автоматично розгорнули виправлення всім керованим клієнтам (Hostinger завершив 22 жовтня, 06:44 UTC), тоді як GoDaddy попросив клієнтів перевірити і оновити самим, а волонтерський репозиторій Remi першого дня не мав пакетів.

Джерело ↗

mod_php — найгірша конфігурація: там підтверджено повне віддалене виконання коду за типових лімітів, ще до запуску будь-якого коду застосунку. Це відлуння CVE-2024-4577, вади CGI для Windows, яку масово експлуатували за лічені дні, тоді як гілки без підтримки так і не отримали виправлення.

Джерело ↗
🇨🇳 Wenxin10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Wenxin. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    WordPress 6.x (2026)

    Майже 4 з 10 сайтів працюють на ньому, і один клік у панелі може змінити рушій PHP, якщо хостинг це дозволяє, — але 18% встановлень досі показують PHP 7.x або старіший

  2. 2
    Drupal 10/11 (2026)

    Оновлювач може змінити платформу, але не може торкнутися рушія PHP: 22% сайтів Drupal працюють на PHP, що не підтримується, бо хостинг його так і не оновив

    Джерело ↗
  3. 3
    Joomla 4/5 (2026)

    Оновлювач в один клік для самого Joomla, але жодного контролю над PHP: кожна п'ята встановлена Joomla досі на PHP 7.4

    Джерело ↗
  4. 4
    Magento (Adobe Commerce) 2.4 (2026)

    Платформа корпоративного рівня, але оновлювач виправляє лише код Magento; оновлення PHP означає звернення до хостингової компанії — 30% магазинів досі на PHP 7.4

    Джерело ↗
  5. 5
    Wix / Squarespace (хмарні конструктори сайтів, 2026)

    Ці платформи працюють на власних стеках PHP — користувач ніколи не торкається рушія, тож виправлення приходить того дня, коли вийде PHP, але їхня прив'язка приховує ризик

  6. 6
    Shopify (хмарна платформа, 2026)

    Як Wix: повністю керована платформа, ризик PHP бере на себе постачальник — але через їхній масштаб одна невдала хвиля виправлень вдарить одразу по сотнях тисяч магазинів

  7. 7
    PrestaShop (2026)

    Відкрите e-commerce з оновлювачем в один клік для застосунку, але не для PHP; близько 27% магазинів досі на PHP 7.4 або старішому

    Джерело ↗
  8. 8
    TYPO3 CMS (2026)

    CMS німецької розробки, яка дозволяє адміністраторам змінювати PHP в інструменті встановлення, — але лише 14% інсталяторів справді це роблять, і понад 300 тис. сайтів лишаються під загрозою

  9. 9
    Craft CMS (2026)

    Камерна CMS з охайним оновлювачем; підступ у тому, що більшість малого бізнесу працює на спільних хостингах, які ніколи не оновлюють PHP, — 19% на застарілому

  10. 10
    Concrete CMS (2026)

    Оновлювач платформи оновлює CMS, а не PHP; найменший слід тут означає найменшу кількість постраждалих, але найповільніший темп виправлень

Що помітив Wenxin

Міф про «оновлення в один клік»: WordPress, Drupal, Joomla і Magento дозволяють оновити CMS одним кліком, але жодна не може оновити рушій PHP під собою — цей крок потребує хостингу.

Джерело ↗