Сервис для сайтов на WordPress.
Разработка, продвижение и обслуживание с 2007 года
Ошибки, которые годами оставались незамеченными, становятся предметом новых исследований с помощью искусственного интеллекта. Что это меняет для владельца сайта и как действовать, если обновляться страшно из-за возможной несовместимости компонентов.
Искусственный интеллект помогает во многих повседневных задачах, в т.ч. находить уязвимости в программах и компонентах сайтов. Полученную информацию могут использовать разработчики ПО для устранения ошибок, но и злоумышленники с целью взлома сайтов. Для владельцев сайтов это актуальная и злободневная тема. Сайт может исправно работать, но использовать версию программы или среды, в которой уже обнаружили опасную ошибку. То, что вчера считалось безобидным старым кодом, сегодня может требовать срочного обновления.
Разберёмся на свежих примерах, что происходит с WordPress и PHP, какие версии стоит проверить и как обновить давно работающий сайт, сохранив нужные функции.
Уязвимость — это ошибка, через которую посторонний при определённых условиях может получить доступ к данным или выполнить нежелательное действие. Сам факт обнаружения уязвимости не означает, что все сайты с этой программой уже взломаны. Но после появления исправления оставлять затронутую версию без внимания опасно.
До развития искусственного интеллекта некоторые уязвимости и их сочетания годами оставались незамеченными. ИИ помогает изучать код, искать сочетания ошибок и проверять, можно ли этими «дырами» воспользоваться.
PHP — язык программирования и среда выполнения, с помощью которой работают большинство сайтов. Обновления PHP обычно устанавливает хостинг или администратор сервера.
21 октября 2026 года вышли исправления двух критических уязвимостей PHP. При определённых условиях они позволяют постороннему выполнять код на сервере без входа в панель управления. Возможность атаки зависит от конфигурации и способа запуска PHP.
Исследователи продемонстрировали атаки на тестовых установках WordPress, Битрикс, Drupal и Joomla. Причина находилась в PHP, а не в конкретной системе управления. Поэтому даже актуальная CMS не заменяет исправление среды, в которой она работает.
| Ветка PHP | Выпуск с исправлениями |
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Разработчики PHP сообщили ещё об одной проблеме, которая возникает при редком сочетании настроек и поведения приложения. Исправления от 21 октября её не закрывают. На дату подготовки статьи для затронутой конфигурации рекомендовано временно отключить функцию отслеживания загрузки файлов до следующего выпуска.
В WordPress 7.1.3, выпущенном 6 октября, закрыли семь проблем безопасности. Среди них — выполнение вредоносного сценария при просмотре ожидающего модерации комментария в панели управления и раскрытие комментариев к закрытым или неопубликованным записям.
Исправление ошибок в CMS не связано с ошибками в языке программирования PHP. Обновление WordPress устраняет проблемы системы управления сайтом, обновление PHP — проблемы среды выполнения. Плагины и тема сайта требуют отдельной проверки.
Для недавних проблем PHP хостингу можно отправить короткий запрос:
«Подтвердите, пожалуйста, что для PHP, на котором работает наш сайт, установлены исправления двух критических уязвимостей от 21 октября 2026 года. Учтены ли дополнительные рекомендации от 23 октября? Нужны ли действия с нашей стороны?»
У PHP есть срок поддержки. На 25 октября 2026 года ветки 8.1 и старше больше не получают регулярных исправлений безопасности от проекта PHP. Поддержка безопасности PHP 8.2 заканчивается 31 декабря 2026 года. Если сайт работает на этой ветке, переход на более новую стоит планировать уже сейчас.
Некоторые поставщики выпускают собственные исправленные пакеты для старых версий. В октябре команда PHP также предоставила отдельные исправления исходного кода для ряда устаревших веток. Это не возобновляет их обычную поддержку и не означает, что исправления автоматически появились на вашем хостинге. Нужна проверка конкретной установки.
Такая проблема действительно возможна. Старый плагин, тема или собственная доработка могут использовать код, который новая версия PHP больше не поддерживает. Но это причина подготовить переход, а не оставлять проект на устаревшей среде на неопределённый срок.
Сначала выясняют, какой именно компонент мешает обновлению. Иногда достаточно установить его актуальный выпуск. В других случаях нужно заменить заброшенное дополнение или исправить собственный код. Полная переделка сайта требуется далеко не всегда.
Критическую уязвимость нельзя автоматически откладывать до очередного планового обслуживания. Нужно определить, затронут ли сайт, и организовать установку исправления с учётом риска. Исправление PHP внутри уже используемой поддерживаемой ветки и переход со старой ветки — разные по объёму задачи.
Если обновление невозможно из-за проблем с совместимостью, специалист оценивает временные меры — отключение уязвимой функции, ограничение доступа или, в серьёзной ситуации, временную изоляцию сайта. Защитные фильтры могут снижать риск отдельных атак, но не заменяют исправление. Для двух октябрьских уязвимостей PHP разработчики прямо указали, что полной мерой является обновление.
Отдельный вопрос — не произошло ли проникновение раньше. Установка новой версии не гарантирует удаления уже внедрённого кода или посторонних аккаунтов. При признаках взлома нужна проверка последствий. О том, что можно заметить самостоятельно читайте в статье о признаках взлома и заражения WordPress.
Владельцу сайта не требуется ежедневно изучать технические отчёты. Важно знать, на чём работает проект, кто следит за предупреждениями и как устанавливаются срочные исправления.
Если сайт давно не обновлялся
В WPservice можно обратиться с проектом на старой версии PHP или WordPress, в том числе с собственными доработками и устаревшими плагинами. Изучим зависимости, определим, что мешает переходу, и подготовим обновление на отдельной копии.
Поможем перейти на актуальные поддерживаемые стабильные версии с исправлениями безопасности, адаптировать или заменить несовместимые компоненты и устранить известные уязвимости.
