Установка плагина с изображением щита в админке создает иллюзию безопасности. Но в 2026 году ландшафт угроз изменился. Атаки стали автоматизированными, а ИИ-боты сканируют уязвимости быстрее, чем вы успеваете нажать кнопку «Обновить».
Скорость атак в 2026 году
Согласно отчетам по безопасности, медианное время от публикации уязвимости до массового взлома сайтов (Median time to mass exploitation) сократилось до 5 часов. 46% плагинов не получают патчи к моменту, когда уязвимость становится публичной.
Три главных вектора атак на WordPress
Хакеры не ломают ядро WordPress — оно достаточно защищено. Они бьют по слабым местам:
- Заброшенные плагины. Плагин, который не обновлялся 12 месяцев — красный флаг. В нем могут быть дыры для SQL-инъекций или XSS. Например, CVE-2026-32499 в одном популярном плагине позволял получить доступ к базе данных без пароля.
- Слабые права доступа. Если у всех менеджеров права администратора — вы подписали себе приговор.
- Отсутствие WAF на уровне сервера. Плагинные фаерволы работают уже после того, как PHP-код начал выполняться. Серверный WAF блокирует атаки раньше.
Чек-лист базового Hardening (укрепления)
Забудьте про антивирусы-пустышки. Настройте фундамент:
- Отключите редактирование файлов через админку. Добавьте в
wp-config.php:define('DISALLOW_FILE_EDIT', true);define('DISALLOW_FILE_MODS', true); - Настройте двухфакторную аутентификацию (2FA) для всех администраторов.
- Ограничьте количество попыток входа в систему (защита от брутфорса).
- Используйте префикс таблиц базы данных, отличный от стандартного
wp_. - Удаляйте неиспользуемые темы и плагины — они тоже могут содержать уязвимости.
Безопасность — это процесс, а не плагин. Если вы не проводите аудит стека раз в квартал, вы уже в зоне риска.
Что делать, если сайт уже взломали?
Не платите за «расшифровку файлов». Меняйте все пароли, восстанавливайте сайт из чистого бэкапа, проверяйте наличие бэкдоров в папке uploads и только после этого обновляйте все компоненты. И никогда не храните бэкапы на том же сервере, где живет сайт.
