Ядро WordPress обновляется само и редко становится причиной взлома. Почти все реальные взломы — через плагины и темы: в них находят уязвимости, разработчик выпускает исправление, а через несколько дней боты начинают массово искать сайты, которые не обновились. Окно между исправлением и атаками — часто считаные дни.
Почему обновления откладывают
Боятся, что сайт сломается. Это разумный страх, но решается он порядком действий, а не отказом от обновлений.
Порядок безопасного обновления
- Сделайте резервную копию файлов и базы (как делать бэкапы).
- Прочитайте список изменений крупных плагинов: WooCommerce, конструкторов страниц. Мажорные версии (с 8.x на 9.x) иногда требуют обновить и связанные плагины.
- Обновляйте по одному, а не все сразу — тогда понятно, что именно сломалось.
- Проверьте главное: главную, форму заявки, корзину и оформление заказа, вход.
- Для крупного магазина — сначала на копии сайта (staging), потом на рабочем.
Обновления безопасности небольших плагинов включите автоматическими: «Плагины» → «Включить автообновления». Риск поломки от патча меньше, чем риск взлома через известную дыру.
Опасные плагины
- Заброшенные — не обновлялись больше года. WordPress.org помечает такие предупреждением. Ищите замену.
- Удалённые из каталога — часто из-за неисправленной уязвимости.
- «Нулёные» — платные плагины с варез-сайтов. В них нередко уже встроен бэкдор (о бэкдорах).
- Выключенные — их файлы всё равно доступны из интернета. Не нужен — удалите.
Как узнать, что плагин уязвим
Следите за обновлениями в разделе «Консоль → Обновления» хотя бы раз в неделю. Чек-лист «Защиты 24/7 Pro» показывает число необновлённых плагинов в оценке защищённости, а журнал событий записывает каждое обновление, установку и включение плагина — видно, что и когда менялось.
Обновления — первая из 15 мер защиты WordPress.
