Como atualizar o PHP nos sites WordPress de clientes sem quebrá-los

A versão de segurança do PHP de outubro de 2026 foi um lembrete útil: algumas correções não vêm de uma atualização do WordPress. Quando a falha está no próprio PHP, a correção é uma versão mais nova do PHP no servidor, e sites em um ramo que não recebe mais correções de segurança não recebem correção nenhuma. Este guia é uma rotina que você pode aplicar em cada site de cliente para levá-lo a uma versão do PHP com suporte, sem surpresas.

Por que a versão do PHP importa mais do que parece

Cada ramo do PHP recebe correções de segurança por um tempo limitado. Quando para de recebê-las, qualquer falha nova fica aberta, por mais cuidado que você tenha ao atualizar WordPress, plugins e temas. O PHP 8.1 e anteriores não recebem mais correções de segurança oficiais. Veja em php.net/supported-versions as datas atuais de cada ramo.

Há um segundo motivo. Autores de plugins e temas deixam de dar suporte a versões antigas do PHP com o tempo. Um site que fica em um ramo antigo perde aos poucos o acesso às atualizações de plugins e, com elas, às correções de segurança dos próprios plugins.

Passo 1: anote a versão do PHP de cada site

No WordPress você a encontra em Ferramentas → Saúde do site → Informação → Servidor. O painel da hospedagem também mostra. Para cada site, anote a versão do PHP, a versão do WordPress, o tema, o construtor de páginas, se usa WooCommerce e se há código personalizado em um tema filho ou plugin must-use.

Depois ordene a lista. Comece pelas versões mais antigas do PHP e, entre elas, pelos sites que geram receita ou contatos: lojas, sites de reservas e sites com formulários importantes.

Passo 2: encontre o que vai travar a mudança

A maioria das atualizações de PHP falha por causa de um plugin antigo, um tema abandonado ou um trecho de código personalizado. Procure por eles antes de mudar:

• Plugins e temas que não são atualizados há dois anos ou mais. Confira as linhas “Requires PHP” e “Tested up to” na página do plugin.
• Versões antigas de construtores de páginas e plugins premium com licença vencida, de modo que o site nunca recebeu as versões compatíveis com PHP mais novo.
• Código personalizado no functions.php ou em plugins must-use. Funções como each() e create_function() foram removidas no PHP 8.0, e o PHP 8.2 emite avisos sobre propriedades dinâmicas.
• Verificadores de compatibilidade podem ajudar, mas dão falsos positivos. Trate o resultado como uma lista inicial, não como um veredito.

Atualize primeiro o WordPress, os plugins e os temas, enquanto o site ainda roda na versão atual do PHP. Versões mais novas dos plugins costumam suportar PHP mais novo. Faça as atualizações e a troca de PHP em dias diferentes, para saber qual mudança causou um problema.

Passo 3: teste primeiro em uma cópia

Crie uma cópia de staging do site e coloque-a na versão de PHP de destino. A maioria das hospedagens permite escolher a versão do PHP por site. Ative o WP_DEBUG_LOG na cópia para que os erros vão para um arquivo de log em vez da tela.

Depois, navegue pelo que importa para esse cliente:

• A página inicial e as duas ou três páginas mais visitadas, no desktop e no celular.
• Cada formulário importante: envie e confira se o e-mail chega.
• Em uma loja: adicionar ao carrinho, finalizar com um pedido de teste, a página da conta.
• No painel: o editor e o construtor de páginas abrem, o envio de mídia funciona, as páginas de configuração carregam.

Depois, leia o wp-content/debug.log. Erros fatais precisam ser corrigidos antes de ir ao ar. Avisos de descontinuação são alertas para a próxima atualização; anote-os, eles podem esperar. Comparar capturas de tela das páginas principais antes e depois revela os problemas que não geram erro, como um slider ou menu que não aparece mais.

Passo 4: troque o site em produção em um momento tranquilo

Escolha um momento com pouco tráfego. Faça um backup recente dos arquivos e do banco de dados logo antes da troca e anote a versão atual do PHP. Troque o PHP no painel da hospedagem, limpe o cache de páginas e o cache de objetos, se houver, e faça as mesmas verificações feitas na cópia. Deixe o registro de erros em arquivo ligado por um ou dois dias, para pegar a página que ninguém visitou durante a sua verificação.

Conte ao cliente em uma ou duas frases o que você fez e por quê. Uma atualização de PHP é invisível quando dá certo, e é um bom trabalho de manutenção que ele deve conhecer.

Passo 5: saiba o caminho de volta

Reverter uma atualização de PHP costuma ser simples: volte a versão no painel da hospedagem. É por isso que você anotou a versão antiga. Se um plugin for o problema, você tem três opções: atualizá-lo, substituí-lo ou ficar por pouco tempo no ramo com suporte anterior enquanto resolve. Nunca fique mais do que o necessário em um ramo sem suporte.

Quando é urgente: uma versão de segurança do próprio PHP

Quando uma falha é publicada no PHP, uma atualização do WordPress não resolve. Pergunte à sua hospedagem se a versão de correção do seu ramo foi aplicada. Um patch dentro do mesmo ramo, por exemplo de uma versão 8.3 para a seguinte, raramente quebra algo. O passo arriscado é pular para um ramo novo, e é exatamente para isso que este guia prepara você. Sites em um ramo sem correções de segurança são os primeiros a planejar.

Atualização de 23 de outubro de 2026: um segundo problema de PHP, de menor risco. Dois dias depois da versão crítica, o PHP publicou um aviso informativo sobre a CVE-2026-115560 em session upload progress (php.net). O PHP considera a exploração improvável: ela exige várias configurações e um código específicos ao mesmo tempo. Ainda não há correção; ela virá na próxima versão regular do PHP. Até lá, conclua primeiro as atualizações de 21 de outubro e depois peça à sua hospedagem para definir session.upload_progress.enabled como off no php.ini ou no pool do PHP-FPM e reiniciar o PHP. Definir isso pelo WordPress ou por um arquivo .user.ini pode chegar tarde demais no PHP-FPM.

Como a Verploy lida com atualizações de PHP

Em sites com uma versão antiga do PHP, a verificação de atualização de PHP da Verploy mostra o que está travando a mudança e em que ordem resolver. Cada atualização é verificada, e as arriscadas são testadas primeiro em uma cópia. Veja como isso se encaixa em uma rotina completa de manutenção em manutenção de WordPress para agências.