Site desatualizado: o risco de deixar o WordPress parado

O site da empresa foi ao ar há alguns anos, funciona, recebe contatos. Ninguém mexe nele desde então. Para quem olha de fora, está tudo certo. Por dentro, ele roda sobre um conjunto de softwares que envelhecem todo mês, e alguns já não recebem correção de segurança.

Esse é o retrato de boa parte dos sites em WordPress no Brasil e no mundo. E em 31 de dezembro de 2026 a situação piora: mais uma versão do PHP, a linguagem que roda o WordPress, deixa de receber correções. Neste artigo eu mostro os números, o que de fato está em risco e o que pedir a quem cuida do seu site antes da virada do ano.

Um em cada três sites WordPress já roda sem correção

O WordPress publica, em tempo real, as estatísticas das versões em uso pelos sites que ele acompanha. Na consulta de 29 de outubro de 2026, a distribuição do PHP era esta:

• 33,2% dos sites rodavam PHP 8.1 ou anterior, versões que não recebem mais correção de segurança;
• 14,9% ainda estavam no PHP 7.4, que perdeu suporte em novembro de 2022;
• 22,5% rodavam o PHP 8.2, que perde o suporte de segurança em 31 de dezembro de 2026.

As datas são do calendário oficial do PHP. O PHP 8.1 saiu da lista em 31 de dezembro de 2025, e a página de versões encerradas avisa que essas versões podem ter falhas de segurança sem correção.

Some as duas linhas: se nada mudar até a virada do ano, mais da metade dos sites WordPress (55,7%) vai rodar sobre um PHP sem correção de segurança em janeiro de 2027.

O próprio WordPress diz isso na página de requisitos. Ele recomenda PHP 8.3 ou mais novo e avisa que as versões antigas ainda funcionam, mas “chegaram ao fim da vida oficial” e “podem expor o seu site a vulnerabilidades”.

Por que “está funcionando” não quer dizer “está seguro”

Software sem suporte não para de funcionar. Ele só para de ser consertado. O site abre, o formulário envia, o dono não percebe nada. Quando uma falha nova é descoberta naquela versão, ninguém publica a correção.

O risco não vem só de falhas novas. O relatório State of WordPress Security in 2026, da Patchstack, mostra que, das 10 falhas mais atacadas em sites WordPress em 2025, 6 tinham sido publicadas em 2023 ou 2024. Os atacantes continuam testando falhas antigas porque sabem que muitos sites nunca aplicaram a correção.

Na prática, um site parado vira alvo fácil por três caminhos:

1. PHP sem suporte. A base do site deixa de receber correções. Qualquer falha nova fica aberta para sempre naquela versão.
2. Plugins e tema velhos. Cada plugin é um software de outro fornecedor. Se ninguém atualiza, a correção existe, mas não chega ao seu site.
3. Plugins abandonados. Alguns fornecedores simplesmente param de atualizar. Quando aparece uma falha, não há correção para aplicar, e a única saída é trocar o plugin.

O resultado de uma invasão quase nunca é o site sair do ar. É mais comum o site passar a redirecionar visitantes para páginas falsas, aparecer no Google com links de spam ou ser marcado como perigoso pelo navegador. Você perde contato, posição no Google e confiança, muitas vezes antes de saber o que aconteceu. Se isso já ocorreu, o roteiro de o que fazer quando o site é hackeado ajuda nas primeiras horas.

O que costuma travar a atualização

Se atualizar resolve, por que tanto site fica parado? Em quase todo caso, por um destes motivos:

• Ninguém é responsável. O site foi entregue, o contrato acabou, e a manutenção nunca foi combinada.
• Medo de quebrar. Já houve uma atualização que derrubou o site, e desde então ninguém mexe.
• Tema ou plugin incompatível. Um componente antigo não funciona no PHP novo, e trocar dá trabalho.
• Acesso perdido. A hospedagem ou o painel estão no nome de quem fez o site, e a empresa não consegue entrar.

Todos têm solução. Mas nenhum se resolve sozinho, e quanto mais tempo passa, maior fica o salto entre a versão atual e a versão suportada.

O que pedir a quem cuida do seu site

Antes de qualquer orçamento, peça um inventário por escrito. São cinco perguntas:

1. Qual é a versão do PHP no servidor do site?
2. Qual é a versão do WordPress?
3. Quantos plugins estão instalados e quando cada um foi atualizado pela última vez?
4. O tema ainda recebe atualização do fornecedor?
5. Existe uma cópia do site para testar atualizações antes de levar ao ar?

Com essas respostas, o plano fica claro:

• PHP 8.1 ou anterior: prioridade alta. O site já roda sem correção. Atualize para o 8.3 ou mais novo, testando antes numa cópia.
• PHP 8.2: você tem até 31 de dezembro de 2026. Agende a atualização agora, não na última semana de dezembro.
• Plugins sem atualização há mais de um ano: troque ou remova. Cada plugin a menos é uma porta a menos.
• Tema abandonado: avalie o custo de trocar o tema contra o de refazer o site.

E não pare na atualização. O que protege é a rotina: atualizar com frequência fixa, testar antes, ter backup fora da hospedagem. Detalhei esse mínimo em backup e segurança do site, e a diferença entre consertar o que quebrou e evitar que quebre em manutenção corretiva, preventiva ou evolutiva.

Atualizar ou refazer?

Nem todo site desatualizado precisa ser refeito. Se ele tem poucos plugins, o tema ainda é mantido e o PHP sobe sem quebrar nada, atualizar resolve e custa pouco.

A conta muda quando o site depende de dezenas de plugins, o tema parou de ser atualizado e cada atualização vira um projeto. Nesse caso, você paga para manter vivo um site que vai envelhecer de novo no ano seguinte.

Um site em código próprio, sem painel exposto e sem plugins de terceiros, tem muito menos peças para atualizar. É o caso dos sites que fazemos e mantemos no nosso servidor, como o amandanutri.com.br, site de nutricionista com atendimento 100% online e agendamento pelo WhatsApp, e o conversaovisual.com.br, página de vendas de curso que marcou 99 de 100 no Lighthouse do Google em outubro de 2026.

A decisão não precisa ser no escuro. O inventário das cinco perguntas mostra quanto trabalho existe para atualizar, e esse número pode ser comparado com o custo de refazer.

Como fazemos no Studio

Estamos desde 2014 colocando produto digital no ar, com mais de 600 projetos em 13 países. Quando um site chega para manutenção, começamos pelo diagnóstico: versões, plugins, tema, acessos e backup. O preço é fechado depois desse diagnóstico, e o prazo vai escrito no contrato.

O código, os arquivos e os acessos, incluindo domínio e hospedagem, ficam em nome do cliente. A equipe de devs é nossa, e usamos Claude Code e Figma no design e no build. Todo sistema que entregamos sai com um agente de IA que roda todo dia, aponta falhas, sugere melhorias e confere se os dados fazem sentido.

Se o seu site está em PHP 8.2 ou anterior, faltam semanas para o fim do suporte. Fale com a gente pelo serviço de manutenção e evolução do site e saia de dezembro com o site atualizado e uma rotina para ele não envelhecer de novo.