WordPress сайтовете се хакват най-често не защото системата е лоша, а защото е най-разпространената. Тя задвижва 39,7% от всички сайтове и 58,5% от тези с известна CMS система (W3Techs, октомври 2026). Една уязвимост в популярен плъгин отваря вратата към стотици хиляди сайта наведнъж. Атаките са автоматизирани, така че никой не е „твърде малък, за да бъде цел“.
Тази статия не е срещу WordPress. Той е добро решение за много бизнеси, стига да се поддържа правилно. Целта е да знаете къде са рисковете и какво да правите.
1. Популярността прави WordPress най-изгодната цел. За атакуващите е въпрос на ефективност. Един скрипт сканира милиони адреси за една и съща уязвимост и намира хиляди необновени сайта.
2. Уязвими плъгини. Повечето пробиви не са в ядрото на WordPress, а в плъгините и темите. Всеки плъгин е код от различен автор, с различно качество и различна скорост на поправките. Сайт с 30 плъгина има 30 възможни врати за атака.
3. Необновени версии. Около една трета от WordPress сайтовете все още работят на по-стара главна версия - 6 или по-ниска (W3Techs). Когато се публикува поправка, тя показва на атакуващите и къде е дупката. Необновените сайтове са първите жертви.
4. Изоставени плъгини и теми. Плъгин, който авторът вече не поддържа, няма да получи поправка и при най-сериозната уязвимост. Деактивираните, но неизтрити плъгини също могат да бъдат използвани.
5. „Nulled“ теми и плъгини. Платени разширения, свалени безплатно от неофициални сайтове, често идват с вграден злонамерен код. Те също така не получават актуализации.
6. Слаби пароли и липса на двуфакторно удостоверяване. Страницата за вход /wp-admin е на едно и също място във всички сайтове. Ботове правят хиляди опити за вход (brute force) с често срещани пароли и с пароли, изтекли от други сайтове.
7. Твърде много администратори. Стари профили на бивши служители, фрийлансъри и агенции често остават с пълни права години наред. Всеки от тях е потенциален вход.
8. Споделен хостинг и стар PHP. Ако в един хостинг акаунт има няколко сайта, заразата се прехвърля от един на друг. Точно така се разпространява SC 4.0.3. Старите версии на PHP също увеличават риска.
9. Няма никой, който да отговаря за поддръжката. Сайтът е направен преди години, изпълнителят вече го няма, а собственикът не знае как да обнови. Това е най-честият сценарий зад всички останали причини.
Много от съвременните зарази са направени да не се виждат от администратора. Тези признаци са повод за проверка:
Признак | Къде да го търсите |
Посетителите от Google се пренасочват към чужд сайт | Отворете сайта от резултат в Google, на телефон, без да сте влезли |
В Google се появяват страници на чужд език | Търсене site:vashiyat-sayt.bg |
Предупреждение „Сайтът може да е хакнат“ | Резултатите в Google и Search Console → Проблеми със сигурността |
Непознат администратор | Потребители в админ панела и в базата данни |
Имейлите от сайта внезапно попадат в спам | Проверка за blacklist на домейна и IP |
Рязко забавяне или скок в натоварването на сървъра | Панела на хостинга |
Нови или променени PHP файлове в папката с качени файлове | wp-content/uploads |
Ако имате онлайн магазин с WooCommerce, проверете и страницата за плащане. Там се поставя и най-опасният вид злонамерен код - този, който краде данни от карти.
Нито една система не е сигурна сама по себе си. Разликата е в това колко голяма е повърхността за атака и кой отговаря за поправките.
| WordPress | Custom CMS |
Колко често е цел на масови атаки | Много често - една уязвимост засяга хиляди сайта | Рядко - кодът не е публичен и не е еднакъв на много сайтове |
Код от трети страни | Често десетки плъгини от различни автори | Само функциите, които сайтът използва |
Кой пуска поправките | Собственикът или нает поддръжкащ | Разработчикът на системата |
Риск, ако никой не поддържа сайта | Висок | Има риск, но се трупа по-бавно |
Свобода да смените изпълнителя | Голяма | Зависи от договора и документацията |
WordPress сайтовете не се хакват, защото системата е лоша. Хакват се, защото са лесна и масова цел, а много от тях се поддържат от никого. Почти всяка от деветте причини по-горе се свежда до едно и също: сайтът е публикуван, но после никой не се грижи за него.
Затова най-важното е да има отговорник и ясен план:
Няма система, която е сигурна без поддръжка. Има обаче сайтове, чийто риск е управляван, и сайтове, оставени на случайността. Разликата е в обновяванията, правата за достъп, архивите и човека, който носи отговорност.
Ако не сте сигурни в какво състояние е вашият уеб сайт или онлайн магазин, или пък се колебаете между WordPress и къстъм решение, екипът на Devnox може да ви помогне да прецените реалния риск и да изберете подход, който пасва на вашия бизнес.
Подробно сравнение на вариантите има в статията ни „WordPress, Shopify или custom решение - кое да изберем“.
