WordPress без обновлений: риски и поддержка

Сайт на WordPress, за которым кто-то следит, это нормальный сайт. Проблема в другом случае: сайт сделал пять или восемь лет назад фрилансер или студия, которых давно нет на связи, он до сих пор работает, и с тех пор его никто не трогал. Снаружи всё выглядит прилично, но плагины, тема и версия PHP под ними стареют, а опубликованные дыры в них сами не закрываются. Если это про ваш сайт, ниже: что может случиться, как за четверть часа проверить его самому и что спросить, прежде чем платить кому-то за поддержку.

Предупреждение PHP от 21 октября 2026 года

21 октября 2026 года проект PHP опубликовал предупреждение о безопасности (на английском) о двух критических уязвимостях, CVE-2026-109618 и CVE-2026-109619. Они позволяют злоумышленнику выполнить код на сервере без входа в систему. WordPress работает на PHP. Исправленные версии вышли в тот же день: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. На следующий день бельгийский Центр кибербезопасности (Centre for Cybersecurity Belgium, CCB) выпустил своё предупреждение (на английском). В заголовке прямо сказано: установить исправление немедленно или отключить сайт.

Оба предупреждения говорят, что PHP 8.1 и более старые версии больше не получают обновлений от проекта PHP. Некоторые дистрибутивы Linux и поставщики долгосрочной поддержки переносят исправления в старые версии сами. Поэтому если ваш сайт работает на старом PHP на обычном (виртуальном) хостинге, вопрос к хостеру очень конкретный: это исправление на моём сервере установлено, да или нет?

На большинстве виртуальных хостингов обновить PHP самостоятельно нельзя. Но узнать, какая у вас версия, можно, и можно сделать так, чтобы этот вопрос задал кто-то ответственный.

Что стареет, если ничего не обновлять

Плагины и темы

Большинство проблем с безопасностью не в самом WordPress. Компания Patchstack, которая собирает сообщения об уязвимостях WordPress, насчитала 11 334 новые уязвимости в экосистеме WordPress за 2025 год (на английском): 91 % в плагинах, 9 % в темах и 6 малозначимых в ядре WordPress. По тому же отчёту, для 46 % этих уязвимостей у разработчика не было исправления на момент публикации, а взвешенная медиана времени до первой атаки составила 5 часов.

Сам WordPress тоже нужно обновлять. В его руководстве по защите советуют всегда работать на последней версии, потому что исправления известных дыр становятся публичными сразу после выхода. Рассчитывать на то, что исправления безопасности дойдут до старых версий, не стоит. На 22 октября 2026 года актуальная версия WordPress 7.1.3.

Версии PHP

У каждой версии PHP есть фиксированная дата окончания поддержки. Она опубликована на php.net и в таблице устаревших версий:

На 22 октября 2026 года, по статистике WordPress.org, около 36 % сайтов на WordPress работали на PHP 8.1 или старше, причём примерно каждый шестой только на 7.4. Сам WordPress рекомендует PHP 8.3 или новее.

Здесь старые сайты чаще всего и ломаются. Когда хостинг переводит клиентов на поддерживаемую версию PHP, плагин, который последний раз обновлялся в 2019 году, может перестать работать, и вместо главной страницы посетители видят ошибку. Никто ничего не взламывал. Сайт просто оказался слишком старым для своего сервера.

Как выглядит взломанный сайт

Никому не нужно специально выбирать именно ваш сайт. Уязвимую версию плагина находят автоматическим сканированием, и подходящий сайт используют: добавляют спам-страницы на ваш домен, перенаправляют посетителей на мошеннические сайты, встраивают скрипт в форму заявки. Владелец часто узнаёт последним, потому что главная страница выглядит как раньше.

Google иногда замечает раньше. В результатах поиска рядом с сайтом может появиться пометка «Возможно, этот сайт был взломан», а браузеры, использующие Google Safe Browsing, могут предупредить посетителя до того, как он откроет страницу. Проверить свой домен можно в сервисе Google «Статус сайта в Безопасном просмотре». Когда сайт очищен, запрос на повторную проверку отправляют через отчёт «Проблемы безопасности» в Search Console.

Когда это становится утечкой данных

В базе данных WordPress часто лежат персональные данные: сообщения из формы, которые сохраняет плагин, подписки на рассылку, аккаунты клиентов, комментарии. Если у злоумышленника был доступ к админке или к базе, вам нужно оценить возможную утечку персональных данных. По статье 33 GDPR о ней сообщают надзорному органу без неоправданной задержки и, по возможности, не позднее 72 часов с момента, когда вы о ней узнали, если только утечка вряд ли создаёт риск для людей. Статья 34 добавляет, что при высоком риске нужно сообщить и самим людям, чьи данные затронуты. Статья 33, пункт 5 требует документировать каждую утечку, в том числе те, о которых вы не сообщали.

В Бельгии об утечке сообщают через портал GBA/APD, бельгийского органа по защите данных. По словам самого органа, сообщения по e-mail не рассматриваются, а подать уведомление можно только на нидерландском, французском или немецком. О киберинциденте можно также сообщить в CCB через форму.

Проверка за 15 минут

Вам нужен логин администратора WordPress. Если его ни у кого нет, это и есть первый результат проверки.

• Версии WordPress и PHP: откройте «Инструменты» › «Здоровье сайта» › «Информация». В разделе WordPress указана версия, в разделе «Сервер» версия PHP (описание экрана, на английском). Сравните PHP с таблицей выше.
• Состояние сайта: на вкладке «Состояние» перечислены критические проблемы, например устаревший PHP или плагины, ждущие обновления.
• Плагины: отметьте те, что ждут обновления, и найдите каждый на wordpress.org. Тревожные знаки, по нарастающей: последнее обновление больше года назад; пометка, что плагин не проверяли с последними версиями WordPress; страница с сообщением, что плагин закрыт. WordPress.org закрывает плагины в том числе по соображениям безопасности.
• Неактивные плагины и темы: удалите всё, чем не пользуетесь. Неактивный код на сервере всё равно доступен.
• Администраторы: в разделе «Пользователи» отфильтруйте по роли «Администратор». Каждый в списке должен работать на вас сегодня. Бывший фрилансер с правами администратора означает открытую дверь.
• Резервные копии, которые восстанавливаются: спросите, где лежит копия, насколько она свежая и когда её последний раз восстанавливали, чтобы проверить, что она рабочая. Копия на том же сервере, что и сайт, пропадёт вместе с ним.
• Хостинг и домен: у кого логин от хостинга и на кого зарегистрирован домен? Для домена .be владельца показывает WHOIS DNS Belgium. Если доступы остались у исполнителя, который пропал, порядок действий описан в статье «Подрядчик пропал: как вернуть домен и сайт».

Что должно быть в договоре на поддержку

Обновлять плагины нужно, но это лишь видимая часть работы. Почти половина опубликованных уязвимостей на момент публикации не имела исправления, поэтому договор, по которому раз в месяц нажимают «обновить всё», оставляет дыры. Попросите письменно:

• Как часто обновляются WordPress, плагины и темы, и проверяют ли обновления до того, как они попадут на рабочий сайт.
• Кто следит за версией PHP и планирует переход до даты окончания поддержки.
• Где хранятся резервные копии (не только на том же сервере), сколько они хранятся и как часто проверяется восстановление.
• Мониторинг доступности и как быстро кто-то реагирует, если сайт упал.
• Что будет, если сайт взломают: очистка входит в цену или оплачивается отдельно, и по какому тарифу?
• Входят ли правки контента, и сколько часов.
• На кого оформлены хостинг, домен и доступы администратора. На вас, а исполнитель должен быть пользователем, которого вы можете удалить. Почему это важно, объясняет статья «Кому принадлежит ваш сайт по закону Бельгии».
• Минимальный срок договора и срок уведомления о расторжении.

Поддерживать, переносить или переделывать

Если сайт по-прежнему делает своё дело, а проверка показала свежую тему и плагины, которые ещё поддерживаются, разумно его поддерживать.

Если плагины заброшены, тема коммерческая и больше не обновляется, или переход на новый PHP всё ломает, вы платите за то, чтобы поддерживать жизнь в сайте, который всё равно придётся заменить. Тогда выбор между переносом содержимого на новую установку с поддерживаемыми плагинами и новым сайтом.

Надёжных средних цифр по стоимости поддержки сайта в Бельгии нет, поэтому мы их не приводим. Сравнивайте предложения по списку выше, а не только по сумме в месяц. Из чего складываются ежегодные расходы на сайт, мы разбирали в статье «Сколько стоит сайт для бизнеса в Бельгии».

Что предлагаем мы

Обслуживанием и обновлением сайтов на WordPress мы не занимаемся, ни своих, ни чужих. Если самопроверка показала, что сайт пора менять, у нас есть два пути к новому, и выбор зависит от того, как вам удобнее платить и что должен уметь сайт.

Местный бизнес, который не хочет этим заниматься. Магазину, салону, кабинету или ресторану нужен сайт, который клиенты прочитают на своём языке, и актуальная карточка в Google. Для этого есть Navidu, сервис Invoid Vision: мы делаем новый многоязычный сайт и ведём его за одну ежемесячную плату, вместе с вашим профилем компании в Google и ответами на отзывы. Обновлять WordPress вам больше не придётся, а прежде чем что-то платить, вы бесплатно посмотрите превью нового сайта.

Если сайту нужно больше или вы предпочитаете заплатить один раз. Мы делаем новый сайт как разовый проект по одному из наших пакетов: Starter за 1 400 €, Business за 3 200 € или Business+ за 6 000 €, без НДС. Для Business и Business+ систему управления (CMS) выбираем вместе с вами. Перенос существующего архива блога в Business не входит, перенос данных оценивается отдельно для каждого проекта. Объём работ и исключения описаны на странице цен и на странице разработки сайтов.

После запуска новый сайт поддерживает тариф Care. Care стоит 69 € в месяц: хостинг в ЕС, SSL, резервные копии, обновления, мониторинг доступности, час правок контента в месяц и ответ в течение одного рабочего дня. Care+ стоит 199 € в месяц и добавляет ежемесячную работу над контентом и SEO, разбор аналитики, небольшие изменения функций и приоритетный ответ. Минимальный срок обоих тарифов: 12 месяцев. Цены без НДС.