Ваш сайт работает в сети.

Главная страница загружается как обычно. Страница входа функционирует. Ваш SSL-сертификат действителен.

Всё выглядит в порядке.

Но что, если кто-то уже взломал ваш сайт — а вы этого до сих пор не заметили?

Это одна из неприятных реалий безопасности веб-сайтов. Компрометация сайта далеко не всегда сопровождается сообщением о взломе. Злоумышленники могут оставить подозрительные файлы, создать несанкционированные учётные записи администраторов, внедрить спам-страницы или незаметно перенаправлять отдельных посетителей.

И в октябре 2026 года безопасность PHP заслуживает особого внимания.

Индийская организация CERT-In выпустила предупреждение высокой степени риска относительно уязвимостей в PHP, известных как PHP2Shell, заявив, что их успешная эксплуатация может привести к удалённому выполнению кода на уязвимых системах.

Официальное предупреждение: https://www.cert-in.org.in/

Если вы поддерживаете сайт на PHP, инсталляцию WordPress или бизнес-приложение, сейчас самое время проверить безопасность — пока обычный день не превратился в аварийную ситуацию.

  1. Семь признаков того, что ваш PHP-сайт может быть взломан

🚩 1. Неожиданные PHP-файлы

Ищите незнакомые файлы в директориях вашего сайта, особенно в папках загрузки (uploads), где исполняемые PHP-файлы обычно находить не должны.

Не удаляйте файлы только потому, что их имена выглядят странно. Сначала сравните их с оригинальными файлами вашего приложения и записями на хостинге.

🚩 2. Неизвестные учётные записи администраторов

Проверьте панель управления WordPress или базу данных пользователей вашего приложения.

Есть ли там администраторские аккаунты, которые вы не узнаёте? Не получили ли существующие пользователи внезапно дополнительные права?

Немедленно расследуйте любые непредусмотренные изменения.

🚩 3. Ваш сайт перенаправляет посетителей на сторонние ресурсы

Главная страница может выглядеть нормально при вашем посещении, но некоторые пользователи могут сталкиваться с редиректами на спам-страницы, рекламу или подозрительные сайты.

Проверьте настройки редиректов, изменения в ".htaccess", код приложения и серверные логи.

🚩 4. Google показывает страницы, которые вы никогда не публиковали

Поисковые системы могут индексировать спам-страницы, подозрительные заголовки или неплановые URL на взломанном сайте.

Проверьте отчёт «Проблемы безопасности» в Google Search Console и изучите незнакомые проиндексированные URL.

Не каждый странный URL указывает на взлом, но необъяснимые изменения точно требуют проверки.

🚩 5. Ваш аккаунт на хостинге внезапно ведёт себя иначе

Необъяснимая нагрузка на CPU, внезапные исходящие письма, частые ошибки сервера или аномальный трафик могут быть тревожными сигналами.

У них также могут быть и вполне легитимные причины, поэтому изучите факты, прежде чем считывать любую проблему с производительностью за атаку.

🚩 6. Ваши файлы изменились без видимых причин

Проверьте последние изменения в PHP-файлах, конфигурациях, темах, плагинах и планировщиках задач (cron).

Для WordPress вы можете проверить целостность ядра с помощью контрольных сумм через WP-CLI:

wp core verify-checksums

Команда проверяет только ядро WordPress, но не плагины, темы или кастомные файлы.

🚩 7. Сайт выглядит нормально, а логи безопасности — нет

Визуально исправная главная страница — не доказательство безопасности сайта.

Проверьте историю аутентификации, логи доступа к серверу (access logs), изменения файлов и оповещения безопасности хостинга. Если вы найдёте следы взлома, сохраните логи для проведения расследования.

  1. Почему PHP-сайты уязвимы для взлома?

PHP сам по себе не является небезопасным. Риск возникает из-за уязвимостей и слабых мест во всём окружении приложения и хостинга.

Распространённые причины включают:

  • Использование устаревших или неподдерживаемых версий PHP.
  • Необновлённые плагины, темы WordPress и фреймворки.
  • SQL-инъекции и недостаточная валидация входных данных.
  • Небезопасная загрузка файлов и некорректные права доступа к файлам.
  • Украденные учётные данные администратора или хостинга.
  • Открытые конфигурационные файлы и секреты.
  • Отсутствие бэкапов и неадекватный мониторинг.

Сайт может иметь отличный код приложения, но всё равно оказаться под угрозой из-за устаревшего серверного компонента.

Безопасность — это не одноразовая настройка, а непрерывный процесс.

  1. Чек-лист по безопасности PHP, которому должен следовать каждый владелец сайта

Если вы поддерживаете PHP-приложение, начните отсюда.

Шаг 1 — Проверьте вашу версию PHP.

Определите версию, которая реально работает на вашем сервере. Следите за официальными бюллетенями безопасности PHP и устанавливайте соответствующие исправления для вашей ветки. Обновление одного лишь WordPress не закрывает уязвимости в самом runtime PHP.

Официальный источник: https://www.php.net/

Шаг 2 — Обновите ваше приложение.

Обновите ядро WordPress, плагины, темы, фреймворки и зависимости. Удалите заброшенные или ненужные компоненты.

Шаг 3 — Защитите администраторский доступ.

Используйте уникальные пароли, включите многофакторную аутентификацию, где это возможно, и пересмотрите права доступа аккаунтов.

Шаг 4 — Защитите конфиденциальные файлы.

Закройте публичный доступ к данным базы данных, API-ключам, бэкапам и конфигурационным секретам. Применяйте принцип наименьших привилегий для прав на файлы и базу данных.

Шаг 5 — Валидируйте пользовательский ввод.

Используйте параметризованные запросы к БД, проверяйте загружаемые файлы и экранируйте вывод соответствующим образом. Никогда не доверяйте пользовательскому вводу только потому, что он пришёл с вашей собственной формы.

Шаг 6 — Ведите независимые бэкапы.

Храните чистые резервные копии за пределами скомпрометированного хостинга и тестируйте их восстановление.

Шаг 7 — Настройте мониторинг сайта.

Отслеживайте логи, оповещения безопасности, изменения файлов и подозрительную активность аккаунтов. Предотвращение важно, но раннее обнаружение играет не меньшую роль.

  1. Что делать, если ваш PHP-сайт уже взломали?

Не паникуйте — и не думайте, что удаление одного подозрительного файла решит проблему.

Следуйте чёткому плану реагирования:

  1. Свяжитесь с хостинг-провайдером, ограничьте доступ или изолируйте поражённую систему при необходимости.
  2. Сохраните релевантные логи и копии заражённых файлов для расследования.
  3. Определите точку входа и установите необходимые патчи безопасности.
  4. Восстановитесь из проверенной чистой резервной копии или пересоберите пострадавшие компоненты.
  5. Смените скомпрометированные пароли, доступы к БД, API-ключи и другие раскрытые секреты.
  6. Выясните, был ли получен доступ к персональным данным или информации клиентов.
  7. Мониторьте сайт после восстановления на предмет повторного заражения.

Если вы подозреваете активный взлом, обратитесь за помощью к вашему хостинг-провайдеру или квалифицированному специалисту по безопасности.

Важно: исправление уязвимости предотвращает её повторное использование, но автоматически не удаляет бэкдор, который уже мог быть установлен.

  1. Не ждите, пока Google сообщит вам о проблеме

Сайт — это гораздо больше, чем просто его главная страница.

Он включает в себя ваш код, базу данных, учётные записи пользователей, конфигурацию сервера, зависимости и данные, которые доверили вам посетители.

Разработчики часто тратят часы на оптимизацию производительности, красивый интерфейс и SEO.

Но одно пропущенное обновление безопасности может поставить под угрозу всю эту работу.

Цель не в том, чтобы поддаваться паранойе из-за каждого запроса к серверу, а в том, чтобы сделать безопасность регулярной частью обслуживания ПО.

Полезные официальные ресурсы

🚀 Небольшой ресурс для разработчиков: Cometflow Space

Поиск нужного инструмента разработчика не должен требовать открытия десятков вкладок и потери целого дня.

Именно поэтому я создаю "Cometflow Space" (https://cometflow-space-new.vercel.app) — бесплатный каталог ИИ-инструментов, утилит для разработки, калькуляторов, конвертеров и других полезных веб-ресурсов.

Занимаетесь ли вы отладкой проекта, изучаете новый рабочий процесс или ищете инструмент для экономии времени — загляните и найдите что-то полезное для вашей следующей сборки.

👉 Изучить Cometflow Space: https://cometflow-space-new.vercel.app

Если этот чек-лист по безопасности был вам полезен, поделитесь им с разработчиком или владельцем сайта, которому он может пригодиться.

Давайте обсудим 👇

Какую самую частую ошибку в безопасности вы встречали на реальных сайтах?

Устаревшее ПО, слабые пароли, небезопасная загрузка файлов, отсутствие бэкапов или что-то ещё?

Поделитесь своим опытом в комментариях. Ваш урок может помочь другому разработчику избежать дорогостоящей ошибки.

Оставайтесь любознательными. Продолжайте создавать. И защищайте своих пользователей.