Как за пять минут проверить свой сайт на ту дыру в PHP

В ролике я обещал гайд: как за пять минут проверить свой сайт после той истории с дырой в PHP. Вот он. Напомню расклад без паники: уязвимость реальная и опасная — она позволяет захватить сервер даже без пароля, попытки взлома уже были, но нашли её спецы по безопасности с помощью агентов Gemini и GPT и заранее сообщили разработчикам PHP. Исправление вышло. Половину интернета никто не взламывал: да, около семидесяти процентов сайтов на PHP, но это не значит, что все они лежат.

Поэтому задача у тебя одна: убедиться, что хостинг отдаёт пропатченную версию PHP, а если нет — переключить одной кнопкой и проверить, что сайт после этого открывается. Ниже восемь шагов. Руками ты делаешь только то, где нужен твой логин: заходишь в админку WordPress и в панель хостинга. Всё остальное — поиск официальных данных, сравнение версий, разбор плагинов, проверка страниц — делает агент по фразам, которые можно просто скопировать.

1Что понадобится

2Настраиваем по шагам

Шаг 1. Пойми, касается ли это тебя вообще

Если сайт собран на Tilda или Wix — своего сервера у тебя нет, версии там обновляет платформа, и делать тебе нечего. Срочно это нужно тем, у кого свой хостинг с WordPress, который ты год не трогал. Бывает и промежуточный случай: лендинг на конструкторе, а блог на отдельном хостинге. Пусть агент разложит это по твоему адресу, чтобы ты не чинил то, чего у тебя нет.

На выходе одна строка: «конструктор, тебе ничего делать не нужно» либо «WordPress на хостинге, проверяй версию». Если агент пишет про конструктор — закрывай статью, ты в порядке. Если про WordPress — идёшь дальше.

Шаг 2. Узнай, какие версии считаются безопасными

Прежде чем сравнивать, нужно знать, с чем сравнивать. Разработчики PHP закрыли дыру в конкретных версиях, и именно эти номера тебе и нужны — не «посвежее», а «не ниже такой-то». Заодно пусть агент принесёт первоисточник: исследование компании Wiz и официальное сообщение разработчиков. Это ровно то, чего не делают техноблогеры, — открыть оригинал и прочитать, что там написано.

Ты должен получить короткий список: уязвимые ветки, с какой версии дыра закрыта, и две-три ссылки на официальные страницы. Глазами проверь, что ссылки ведут на сайт разработчиков PHP и на сайт Wiz, а не на чей-то канал с кричащим заголовком.

Шаг 3. Проверь версию снаружи, без паролей

Самая быстрая проверка делается вообще без входа куда-либо: сервер часто сам сообщает версию PHP в служебных заголовках ответа. Это та минутная проверка, с которой я предлагал начать. Она не всегда срабатывает — многие хостинги заголовок прячут, и это нормально, тогда работает следующий шаг.

Ответ одной строкой: «версия такая-то, обновляться не нужно», «версия такая-то, уязвима, обновляйся» или «снаружи версия скрыта». Любой из трёх вариантов — рабочий результат, последний просто означает, что смотрим изнутри.

Шаг 4. Посмотри отчёт в админке WordPress

Теперь минута руками. Зайди в админку: «Инструменты» → «Здоровье сайта» → вкладка «Отчёт». Там прямо написана версия PHP и предупреждение, если она устарела. Скопируй оттуда блок про сервер и отдай агенту — он сверит цифры с безопасными версиями и переведёт предупреждения WordPress на человеческий язык, потому что формулировки там мутные и пугают сильнее, чем надо.

Результат: точная версия PHP твоего сайта и приговор по ней. Плюс разбор предупреждений — ты увидишь, что половина из них про кэш и устаревшие плагины, а не про взлом. Если версия уязвима, идёшь переключать.

Шаг 5. Проверь плагины до переключения, а не после

Переключение версии PHP — одна кнопка, но ломаются на новой версии как раз старые плагины и темы, которые годами не обновлялись. Поэтому сначала список, потом кнопка. Скопируй в админке названия плагинов и темы (раздел с плагинами, там всё видно) и отдай агенту — пусть посмотрит по официальным страницам, с какими версиями PHP они совместимы и что из этого брошено авторами.

Ты получишь таблицу: плагин, совместимость, дата последнего обновления. Если в красной зоне пусто — переключайся смело. Если там висит платёжный плагин или конструктор страниц, сначала обнови его или сделай резервную копию сайта в панели хостинга, а потом переключай версию.

Шаг 6. Найди в панели хостинга кнопку переключения версии

Дальше панель хостинга, раздел с версией PHP. Переключение на свежую — одна кнопка, обычно входит в тариф, доплат нет. Проблема только в том, что у каждого хостера этот раздел спрятан по-своему и интерфейсы регулярно переделывают. Пусть агент найдёт инструкцию в официальной документации твоего хостера и перескажет её по шагам.

На выходе — три-пять шагов по кнопкам и ответ про доплату и откат. Открой панель и пройди по ним. Если названия пунктов не совпали, не ищи буквальное совпадение: интерфейсы панелей меняются, ориентируйся на смысл — раздел с сайтами или доменами, внутри него выбор версии PHP. Выбери версию, которую агент назвал безопасной на шаге 2, и сохрани.

Шаг 7. Проверь глазами, что ничего не отвалилось

Сразу после переключения открой сайт и посмотри, работает ли он. Проверять надо не только главную: ломается обычно то, что сложнее — формы, корзина, личный кабинет, страницы с галереями. Составь список своих ключевых адресов и попроси агента пройти по ним и поискать ошибки, а потом сам пройди по форме заявки руками.

Результат: список страниц с пометкой «в порядке» или описанием поломки. Параллельно сам отправь тестовую заявку через форму и проверь, что письмо пришло — это агент за тебя не увидит. Если что-то сломалось, вернись в панель хостинга и переключись на предыдущую версию: сайт снова заработает, а дальше спокойно обновляй плагин-виновник из красной зоны шага 5.

Шаг 8. Убедись, что версия реально сменилась, и зафиксируй привычку

Бывает, что кнопку нажал, а версия осталась прежней: настройка применилась к другому домену или к одной папке. Поэтому финальная сверка — та же проверка, что на шагах 3 и 4, но уже после переключения. И сразу сделай себе короткий чек-лист, чтобы следующая такая новость заняла у тебя не вечер, а те самые пять минут.

Финал: строка «версия такая-то, совпадает с безопасной» и чек-лист на пять пунктов, который ты сохраняешь себе в заметки. С этого момента любая следующая страшилка про «взломали половину интернета» проверяется тобой за минуту: открыл первоисточник, сверил версию, закрыл вопрос.

3Кому подходит

Подходит, если у тебя свой хостинг с WordPress, который ты год не открывал, и ты не программист: вся техническая часть здесь — скопировать фразу агенту и нажать пару кнопок в панели. Не нужно, если сайт на Tilda или Wix: сервера у тебя нет, версии обновляет платформа. Не хватит, если сайт писали под тебя на заказ или это магазин с кастомной логикой — там после смены версии может отвалиться код, и нужен человек, который его поправит. И ещё одно наблюдение не про PHP, а про сам подход: у нас своя контент-фабрика ИИ-роликов, мы строили её год, прежде чем пошли лиды, и лиды идут с органики, а не с платной рекламы. Долгие вещи так и работают — спокойная проверка по шагам вместо паники по чужому заголовку.