Материалы / Доработка, настройка и поддержка сайтов # Критические уязвимости PHP: как защитить сайт WordPress Исправления критических ошибок PHP устанавливаются на сервере. Как проверить патч у хостинга и совместимость WordPress, темы, плагинов и WooCommerce после обновления. Автор: Сиверн, Редакция Опубликовано: 04.11.2026 Доработка, настройка и поддержка сайтов ## Почему предупреждение PHP касается владельца WordPress Критические CVE-2026-109618 и CVE-2026-109619 могут позволить выполнить код без авторизации. PHP предупредил о выпуске 20 октября 2026 года и опубликовал исправления 21 октября. Нормально работающая главная страница не показывает, установлен ли патч. Автоматическое обновление WordPress или защитный плагин не подтверждают исправление самого PHP. У управляемого хостинга обновлением может заниматься провайдер; владельцу нужно получить подтверждение для окружения своего сайта. ## Какие выпуски содержат исправления Для поддерживаемых веток выпущены PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Обновление внутри текущей ветки и переход на другую ветку — разные задачи: ради этих исправлений не каждому сайту нужен переход на самый новый PHP. Поставщик дистрибутива или хостинг может перенести патч в свой пакет, сохранив прежний номер версии. Поэтому одного числа в панели недостаточно: запросите сведения об исправлении обеих CVE. Для PHP 8.1 и более старых веток уточните поддержку у поставщика или планируйте переход на поддерживаемую ветку. Для WordPress запросите подтверждение именно по PHP вашего сайта. После обновления проверьте темы и плагины, а для WooCommerce — заказ, оплату и фоновые задания. Доступность wp-admin сама по себе не заменяет эти проверки. ## Что обновить на сервере и что проверить в WordPress Сначала установите, получил ли сервер исправление PHP. Затем проверьте работу WordPress и его компонентов на обновлённом окружении. Эта задача не сводится к нажатию «Обновить плагины» в административной панели. Ядро WordPress может поддерживать выбранный PHP, а тема или один плагин — вызывать критическую ошибку. Дополнительный код бывает и вне обычных плагинов: в дочерней теме, обязательных плагинах mu-plugins и инструментах для вставки сниппетов. Их тоже нужно учитывать. Начните с конкретной причины обновления. Это может быть письмо хостинга, предупреждение в панели или необходимость установить новый плагин. Запишите текущие версии и срок, к которому нужно выполнить переход. Если хостинг уже переключил PHP и сайт недоступен, сначала решается восстановление, затем плановое обновление. ## Как выбрать подходящий PHP Сопоставьте установленную версию WordPress с официальной таблицей совместимости PHP. Затем проверьте требования активной темы, плагинов и собственных доработок. Матрица ядра не подтверждает совместимость всего набора компонентов. Целевая ветка должна получать исправления PHP и подходить компонентам сайта. Минимальная версия, на которой WordPress способен запускаться, не является рекомендацией оставаться на ней. Если нужный плагин давно не обновляется, изучите варианты замены до переключения рабочего сайта. Совместимость замены по версии PHP ещё не означает, что она сохранит прежние настройки и данные. ## Что зафиксировать до изменения - Точные версии WordPress, активной темы, дочерней темы и всех плагинов. Для платных компонентов проверьте доступность обновлений. - Собственные функции и сниппеты: где они хранятся и какие действия выполняют. - Формы и получателей заявок, личный кабинет, поиск, конструктор страниц и обработку изображений. - Для WooCommerce — оплату, доставку, скидки, варианты товаров, подписки и внешние обмены, если они используются. - Задания по расписанию и фоновые очереди. Нужен способ проверить, что задача действительно выполнена. ## Подготовьте резервную и тестовую копии Резервная копия должна содержать базу, загруженные файлы, темы, плагины и конфигурацию. Проверьте, что её можно восстановить. Наличие кнопки «Сделать бэкап» в панели не отвечает на вопрос, какие данные войдут в копию и как вернуть сайт. Разверните закрытую тестовую среду. Для неё отключите реальные письма, платежи, уведомления и передачу заказов во внешние системы. Проверьте, что тестовый адрес не доступен для индексации. Для магазина используйте тестовые реквизиты платёжного сервиса и отдельные данные покупателей. Сохраните несколько контрольных примеров: отправленная заявка, товар с вариацией, заказ с доставкой. Снимок страницы полезен для внешнего вида, но результат формы или оплаты нужно проверять в данных и уведомлениях. ## В каком порядке выполнять обновления - 01 ### Проверить путь обновления Изучите требования новых выпусков WordPress, темы и плагинов. Определите, что можно обновить на текущем PHP и нужны ли промежуточные версии. - 02 ### Обновить согласованные компоненты на копии Фиксируйте изменения и проверяйте важные действия после каждого этапа. Если компонент больше не поддерживается, сначала согласуйте замену и перенос его данных. - 03 ### Переключить PHP на копии Проверьте страницы и административную часть, затем формы, фоновые задачи и интеграции. Разбирайте ошибки по журналу, чтобы понимать, какой компонент их вызывает. - 04 ### Подготовить запуск Сохраните список изменений, результаты проверки и порядок возврата. Для рабочего магазина отдельно спланируйте сохранение заказов, которые появились за время подготовки. ## Что проверить в WordPress и WooCommerce Где проверятьЧто выполнитьСтраницы и редакторОткрыть разные шаблоны, сохранить запись, проверить конструктор и загрузить изображение.Форма заявкиОтправить тестовые данные, получить письмо и проверить передачу в CRM, если она настроена.Личный кабинетВойти тестовым пользователем, проверить восстановление доступа и нужные действия внутри кабинета.Корзина WooCommerceВыбрать вариацию товара, изменить количество, применить купон и проверить итоговую сумму.Заказ и оплатаОформить тестовый заказ с нужной доставкой, выполнить тестовый платёж и проверить статус после уведомления платёжного сервиса.Фоновые процессыПроверить выполнение запланированных задач и обработку очередей; для подписок — согласованный тест продления. ## Если после смены PHP появилась критическая ошибка Не удаляйте плагины по очереди на рабочем сайте без понимания последствий. Некоторые хранят настройки и данные, необходимые для заказов или доступа пользователей. Найдите ошибку в журнале PHP и определите связанный компонент. Подробности отладки должны быть закрыты от посетителей. При необходимости временного возврата прежнего PHP сначала проверьте, поддерживают ли его уже обновлённые компоненты. Если вместе с плагином изменилась база, одного переключения интерпретатора может оказаться недостаточно. Сохраните текущие данные и исключите потерю новых заявок и заказов. Дальнейшее исправление выполните на копии. Если прежняя сборка PHP не содержит исправлений безопасности, возврат к ней возвращает и известный риск. Согласуйте восстановление с администратором и исправьте несовместимый компонент, чтобы рабочий сайт использовал патч. ## Перенос на рабочий сайт и стоимость Перед запуском сделайте свежую копию и согласуйте время переключения. Переносите проверенные изменения так, чтобы сохранить актуальные записи и заказы. После смены PHP повторите основные сценарии и проверьте журналы, письма и фоновые задачи. Не переносите старую тестовую базу поверх магазина, который продолжал принимать заказы. В Сиверн обновление PHP стоит 1 900 ₽/час, минимальный расчёт — от 5 часов, то есть от 9 500 ₽. Часы и результат согласуем после проверки сайта. Лицензии, платные темы и плагины, хостинг и крупная замена компонентов учитываются отдельно. Для начала оценки достаточно адреса сайта, текущих версий и описания важных функций. ## Официальные источники 01 ### WordPress и версии PHP Таблица совместимости ядра WordPress с ветками PHP. Проверить матрицу 02 ### Руководство WordPress по обновлению PHP Общие рекомендации по подготовке сайта. Числа версий в старых примерах сверяйте с актуальными требованиями. Открыть руководство 03 ### Сроки поддержки PHP Проверка поддержки целевой ветки перед обновлением. Открыть таблицу PHP ## Если есть признаки взлома Уязвимая версия PHP не доказывает, что сайт уже взломан. Если появились неизвестные файлы, перенаправления или изменения данных, сохраните журналы и обратитесь за разбором инцидента. Установка патча сама по себе не удаляет внедрённый код и не восстанавливает изменённые данные. Расследование и восстановление требуют отдельной оценки. ## Предупреждение PHP и помощь с обновлением 01 ### Предупреждение от 20 октября 2026 года Официальный анонс срочного выпуска исправлений PHP. Прочитать сообщение PHP 02 ### CVE-2026-109618 Описание и исправленные версии от команды PHP. Открыть уведомление 03 ### CVE-2026-109619 Описание и исправленные версии от команды PHP. Открыть уведомление 04 ### Обновление PHP и закрытие уязвимостей Проверка исправлений и совместимости сайта: 1 900 ₽/час, минимальный расчёт от 5 часов — от 9 500 ₽. Обсудить обновление Следующий шаг ## Обсудим вашу задачу? Поможем разобраться в ситуации и определим следующий шаг для проекта. Оставить заявку +7 (952) 898 46-01 send@sivern.tech