Коротко
Сайты на WordPress массово взламывали в 2026 году — через саму систему обновлений. Что это значит для вашего сайта и какая есть альтернатива.
В июле 2026 года исследователи безопасности опубликовали две уязвимости в самом WordPress, которые вместе позволяли постороннему человеку создать на сайте собственную учётную запись администратора — без пароля, без страницы входа, без чего-либо вообще (Rapid7, 17 июля 2026). Речь не о сломанном плагине. Не о фишинговом письме. Сам WordPress.
21 июля, через четыре дня, американское агентство по кибербезопасности CISA внесло обе уязвимости в список тех, что уже используются в реальных атаках. К тому времени в сети ходило несколько готовых скриптов для атаки.
WordPress выпустил исправления (версии 6.9.5 и 7.0.2) и принудительно установил их на сайты, где включено автообновление. Остальные сайты оставались открытыми, пока кто-то не обновил их вручную. А захваченный так сайт может не показывать ничего, кроме учётной записи администратора, которую никто не помнит, как создавал.
Это не единичный случай. 2026 год стал годом, когда репутация WordPress в области безопасности перестала быть защищаемой. И дело не в невезении. Дело в том, как устроен WordPress.
Год, когда миф о «надёжной базе» окончательно умер
Годами звучал один и тот же совет: сам WordPress безопасен. Проблемы — в плагинах. Просто обновляйте всё вовремя — и всё будет хорошо.
В 2026 году этот совет перестал работать. «Надёжная база» оказалась проблемой.
Атака в июле — исследователи назвали её «wp2shell» — соединяла две уязвимости в ядре WordPress, основной программе, на которой работает каждый такой сайт. В бюллетене GitHub она отмечена как критическая; опубликованная оценка серьёзности — 7,5 из 10. Важнее цифры другое: для атаки не нужны ни учётная запись, ни чья-то помощь на сайте, а такие дыры закрывают в тот же день.
Результат: посторонний человек без пароля, без доступа администратора и без специальных знаний мог полностью перехватить управление сайтом. Заблокировать настоящего владельца, создать свою учётную запись администратора и делать с сайтом что угодно — красть данные клиентов, внедрять вредоносный код, перенаправлять посетителей на мошеннические страницы или использовать сайт для атаки на другие ресурсы.
Что это значит для вас: Опираться на тезис «сам WordPress безопасен» больше нельзя. Программное обеспечение, на котором работает ваш сайт, может стать точкой проникновения. И вы узнаете об этом слишком поздно.
Атака через то, что должно было быть безопасным
В апреле 2026 года выяснилось, что в десятках плагинов для WordPress, которые продавала компания Essential Plugin, — слайдеры, галереи, маркетинговые инструменты — был спрятан бэкдор. WordPress.org насчитал затронутые плагины на более чем 20 000 активных сайтов; сам продавец заявлял о 400 000 установок (TechCrunch, 14 апреля 2026).
Пугающее в этом то, что вирус пришёл не с подозрительного сайта. Он пришёл через обычную систему обновлений WordPress. Ту самую систему, которой владельцы сайтов доверяют. Ту, которая автоматически обновляет плагины при выходе новой версии.
В 2025 году компанию вместе с плагинами кто-то купил. Вскоре в обновлении, подписанном как обычная проверка совместимости, появился скрытый код, который не использовался до апреля 2026 года (Patchstack). Владельцы сайтов, нажавшие «обновить», установили скрытый бэкдор — тайную дверь, через которую атакующий может вернуться в любой момент.
Вредонос прописался в главном конфигурационном файле сайта. Затем он выполнял команды с удалённого сервера: внедрял спам-ссылки, создавал фальшивые страницы, перенаправлял посетителей.
7 апреля WordPress.org навсегда закрыл эти плагины и выкатил принудительное обновление, которое пытается удалить бэкдор. Patchstack называет изменения в том самом конфигурационном файле одним из признаков заражения, так что простого удаления плагина может не хватить.
Что это значит для вас: Стандартный совет — «просто обновляйте плагины» — сам стал каналом атаки. Хакеры использовали систему обновлений для доставки вредоносного кода. Вы не можете доверять механизму, на который вам говорят опираться.
Два месяца спустя — снова
В июне 2026 года это повторилось, но через другую дверь. Атакующие проникли в систему обновлений, через которую ShapedPlugin распространяет свои платные Pro-плагины, и подложили код, крадущий логины администраторов и секреты двухфакторной аутентификации, — а с ними полный доступ к сайтам. Бесплатные версии на WordPress.org не пострадали (Aardwolf Security, 23 июня 2026).
Два инцидента за три месяца, и оба раза одна идея: отравить канал обновлений, подождать, пока владельцы нажмут «обновить», и зайти.
В информационной безопасности это называется «атакой на цепочку поставок». Вредонос ехал через обычное обновление — само обновление было отравлено. Это как купить сейф, а у производителя оказался запасной ключ, о котором он вам не рассказал.
Что это значит для вас: Вы доверяете не только разработчику плагина. Вы доверяете его системе обновлений, его практикам безопасности, истории смены её владельцев и всей цепочке поставок. Неплохая порция доверия к компании, которую вы никогда не встречали, за программу, которую вы, вероятно, получили бесплатно.
Нишевые сайты тоже под ударом
Если вам кажется, что ваш небольшой сайт по недвижимости или местный сайт слишком мал, чтобы стать целью, январь 2026 года доказал обратное.
RealHomes CRM — плагин, который идёт вместе с популярной темой для сайтов недвижимости, — содержал уязвимость: любой, у кого на сайте есть хотя бы самая простая учётная запись, мог загрузить вредоносные файлы и захватить сайт. Плагин был установлен на более чем 30 000 сайтов (Infosecurity Magazine, 22 января 2026). Исправление вышло в версии 1.0.1, и каждый сайт, где его не установили, оставался открытым.
Что это значит для вас: Если вы в специфической нише — недвижимость, юриспруденция, медицина, любая область со специализированными инструментами, — вы не более защищены. В код нишевых плагинов заглядывает гораздо меньше людей, чем в код крупных и популярных, поэтому дыра может жить там дольше. А атакующие знают, где такие плагины стоят.
Ваш взломанный сайт становится оружием против ваших посетителей
Самая жуткая история 2026 года пришла не из отчёта об уязвимости. Её раскрыли исследователи из Check Point, обнаружившие преступную операцию под названием StopAndProtect (отчёт от 18 августа 2026).
Операция строилась почти на 2 000 взломанных сайтах на WordPress. Преступники использовали их как инфраструктуру: размещение вредоносного кода, управление заражёнными компьютерами, хранение украденных файлов, скриншотов и логов жертв.
В собственных записях операторов значилось около 2 000 скомпрометированных доменов на WordPress. Более 6 000 IP-адресов жертв. Около 31 000 скриншотов с компьютеров жертв. Более 700 архивов с украденными данными.
И вот что выяснилось при исследовании почему эти сайты было так легко взломать: один из сайтов в этой операции работал на той же версии WordPress с 2021 года — почти пять лет — с примерно 40 известными дырами в безопасности.
Преступники не просто хранили награбленное на взломанных сайтах. Они использовали их для заражения посетителей этих сайтов. Человек заходил на взломанный сайт и видел фальшивую проверку «докажите, что вы человек». Посетителям с Windows она предлагала выполнить команду на своём компьютере, а команда устанавливала программы преступников: на некоторых компьютерах — шифровальщик, который блокирует все файлы.
Что это значит для вас: Необслуживаемый сайт на WordPress вредит не только вам. Он становится оружием против людей, которые на него заходят. Ваших клиентов, ваших потенциальных заказчиков, ваших соседей. Если ваш сайт взломан и используется для заражения посетителей — это доверие, которое уже не вернуть.
Структурная проблема, которую не решит ни одно обновление
Каждый инцидент 2026 года был одним из следующих:
- Уязвимость в стороннем плагине, о которой владелец не знал и не мог оценить
- Канал обновлений, которому владельцу сказали доверять
- Или — один раз — само ядро WordPress
В каждом случае владелец должен был действовать в течение часов после новости, которую он почти наверняка не увидел.
В этом и заключается структурная проблема. Сайт на WordPress — это не документ. Это работающая программа с десятками сторонних компонентов, каждый из которых поддерживается другой компанией, каждый обновляется по своему графику, и каждый — потенциальная точка проникновения для атакующих.
Кто отвечает за безопасность небольшого сайта на WordPress? На практике — часто вы сами. Даже если не осознаёте этого.
Управляемый хостинг для WordPress существует и помогает. Такие компании, как WP Engine, Kinsta и SiteGround, берут на себя безопасность на уровне сервера, автоматически обновляют ядро, делают ежедневные резервные копии и сканируют на известный вредоносный код. Для многих это реальное улучшение по сравнению с самостоятельным управлением.
Но управляемый хостинг не решает структурную проблему. Атаки 2026 года пришли через обычные обновления — те самые, которые управляемый хостинг устанавливает за вас. Когда Essential Plugin и ShapedPlugin рассылали вредонос через обновления плагинов, у хостинга не было причин их блокировать. Когда в ядре WordPress была критическая уязвимость, управляемые сайты оставались открытыми до выхода патча — как и все остальные. И ни один управляемый хостинг не проверяет код внутри каждого установленного вами плагина. Решение доверять плагину — его разработчику, истории смены владельцев, всей цепочке поставок — остаётся за вами.
Эти атаки рассчитаны на эту слабость. Они используют тот факт, что сантехник, пекарь, владелица салона или юрист в небольшом городе не имеет времени следить за новостями безопасности, проверять код плагинов и расследовать подозрительные учётные записи администратора — и что управляемый хостинг не закрывает этот пробел полностью.
WordPress можно защитить. Крупные предприятия делают это — с выделенными командами безопасности, управляемым хостингом, индивидуальным аудитом плагинов и круглосуточным мониторингом. Но для одного человека такой уровень бдительности нереалистичен.
Честная альтернатива: чем отличается статический сайт
Какова альтернатива?
Статический сайт — это набор заранее собранных файлов. Страницы уже созданы и просто отправляются в браузер посетителя. Нет работающей программы, нет базы данных, нет страницы входа, нет плагинов.
Будем честны о том, что это означает:
Что WordPress делает хорошо — и зачем он может вам понадобиться:
- Огромная экосистема тем и плагинов
- Привычный интерфейс редактирования
- Возможность добавлять сложный функционал без найма разработчика
- Огромное сообщество дизайнеров и разработчиков, которые с ним знакомы
Чем статический сайт жертвует:
- Нельзя войти и редактировать страницы напрямую — изменения вносит тот, кто делает сайт (на наших сайтах: вы присылаете правку, мы её вносим; мелкие правки в первый месяц бесплатны, потом €20 за правку, плюс НДС)
- Нельзя установить плагин по прихоти — добавление функционала требует разработчика
- Нельзя запустить сложный интернет-магазин или сайт с подписками — для этого нужна динамическая функциональность
Что статический сайт даёт взамен:
- Нет страницы входа для атакующих — в него буквально нечего войти
- Нет плагинов для эксплуатации — нет сторонних компонентов для взлома
- Нет базы данных для кражи — нет базы данных
- Нет канала обновлений для отравления — на сервере нечего обновлять
Уязвимости плагинов, отравленные обновления, дыры в ядре — атакам, которые весь 2026 год били по сайтам на WordPress, на статическом сайте просто не за что зацепиться. Не потому что у статического сайта лучшая безопасность. А потому что у него нет тех частей, которые атакуют. Украденные пароли по-прежнему важны: тот, кто попадёт в ваш аккаунт хостинга или домена, сможет изменить сайт, поэтому вход в два шага на этих аккаунтах — тот замок, без которого не обойтись.
Это не заявление, что статические сайты неуязвимы. Ничто подключённое к интернету не защищено абсолютно. Но статический сайт убирает поверхность атаки — те места, через которые хакеры обычно проникают.
Для сантехника, пекаря, салона, небольшой юридической конторы статический сайт часто покрывает всё, что сайт должен делать: быстрый, профессиональный сайт, который рассказывает людям, кто вы, что вы делаете и как с вами связаться. И делает это без необходимости быть администратором безопасности на полставки.
Насколько уязвим ваш сайт? Проверка за 30 секунд
Выделите 30 секунд и ответите честно:
- Мой сайт работает на WordPress
- У меня установлено 5 или более плагинов
- Я не знаю, когда их последний раз обновляли
- Я не знаю, кто отвечает за безопасность моего сайта
- Об инцидентах 2026 года я впервые читаю в этой статье
Если вы отметили три или более пунктов, ваш сайт — ровно та цель, за которой охотились атакующие в 2026 году. Не потому что вы небрежны — а потому что система, которой вы пользуетесь, требует больше бдительности, чем должен проявлять кто угодно.
Итог
2026 год — год, когда аргумент о безопасности WordPress изменился. Надёжная база оказалась уязвимой. Канал обновлений оказался вектором атаки. Тысячи сайтов оказались под перекрёстным огнём, использованные как инструменты в преступных операциях, о которых их владельцы даже не знали.
Речь не о нагнетании страха. Речь о честном факте: сайт на WordPress требует постоянной бдительности в вопросах безопасности, нереалистичной для одного человека. Статический сайт убирает те части, которые атакуют — и вместе с ними снимает с вас роль собственного отдела безопасности.
Если ваш сайт существует, чтобы рассказать людям, кто вы и что вы делаете, вам не нужна работающая программа с десятками сторонних компонентов. Вам нужны опубликованные файлы — быстрые, безопасные и скучные в лучшем смысле этого слова.
По теме: Что такое статический сайт и зачем он вам нужен — подробный разбор, как работают статические сайты и чего они не могут.
По теме: Почему ваш сайт на WordPress постоянно ломается — проблема обслуживания: от сбоев до постоянного ухода.
Сайт на WordPress не даёт покоя? Мы переделываем сайты на WordPress в статические по фиксированной цене, а сначала бесплатно смотрим на ваш текущий сайт. Старые адреса страниц перенаправляются на новые.