Чи безпечний WordPress насправді: розбір міфів і план захисту

Ваш сайт на WordPress зламали. Або ви тільки плануєте запустити проєкт і вже наслухалися страшилок про «дірявий WordPress». Знайомо?

Чутки про те, що WordPress небезпечний, ходять майже стільки ж, скільки існує сам рушій. І вони не безпідставні, але реальна картина сильно відрізняється від міфів. Давайте розбиратися без паніки: що правда, а що перебільшено, і головне, що з цим робити.

Чому WordPress вважають небезпечним

WordPress працює на 41,2% усіх сайтів в інтернеті, дані W3Techs на липень 2026. Серед сайтів із відомою CMS частка ще вища, 59,1%. Це не просто «популярна платформа». Це абсолютний монополіст.

Саме масштаб робить WordPress ціллю номер один. Логіка атакуючого проста: знайшов одну вразливість, потенційно заразив десятки мільйонів сайтів. Для порівняння: у Joomla частка ринку менше 3%, у Drupal, близько 1,5%. Зламувати їх просто не так вигідно.

Та ж історія з операційними системами. Windows називають «небезпечною» не тому, що в ній об'єктивно більше дірок, а тому, що під неї пишуть переважну більшість шкідливого ПЗ. macOS атакують рідше просто через меншу частку ринку. З WordPress працює той самий принцип: популярність ≠ вразливість, але популярність = підвищена увага хакерів.

За даними W3Techs, WordPress упевнено тримає ринок CMS із багатократним відривом від конкурентів. Але сам по собі цей графік, не вирок безпеці. Це контекст.

Наскільки WordPress небезпечний насправді

Коротка відповідь: ядро WordPress, одна з найзахищеніших частин екосистеми.

За весь 2025 рік Patchstack зафіксував 11 334 вразливості в екосистемі WordPress. З них на ядро припало всього 6. Шість. Решта 91%, плагіни. Ще частина, теми.

Розробкою ядра займається команда Automattic за підтримки сотень контриб'юторів. Код регулярно аудирується, оновлення виходять за розкладом, критичні патчі, протягом годин після виявлення. За 20 років існування проєкту процеси безпеки налагоджені до автоматизму.

Але є нюанс. WordPress без плагінів — це рідкість. Середній сайт використовує 15-20 плагінів. І кожен із них, потенційна точка входу.

Де живуть реальні вразливості: плагіни, теми та людський фактор

Плагіни й теми для WordPress може написати будь-хто. Буквально, будь-який розробник викладає розширення в офіційний каталог або продає на сторонніх майданчиках. Якість коду ніхто не гарантує.

Звідси три типові сценарії зламу:

Застарілий плагін. Розробник перестав оновлювати розширення, вразливість опублікована у відкритих базах, сайт під ударом. За даними Patchstack, медіанний час від публікації вразливості до перших атак становить 5 годин.
Нульовий день у популярному плагіні. Від цього не застраховані навіть гіганти. Вразливості регулярно знаходять у Yoast SEO, WooCommerce, Elementor, WPBakery Page Builder. У 2025 році Wordfence заблокував понад 54 мільярди шкідливих запитів, значна частина експлуатувала дірки в топових плагінах.
Людська помилка. Користувач «admin» із паролем «123456», права 777 на wp-content, вимкнені оновлення, нульовий файл із Telegram-каналу «преміум-плагіни безкоштовно».

Важливий момент: вразливість може з'явитися в плагіні, який сьогодні чистий. Розробник додає функцію, з'являється баг, і сайт, який учора був захищений, сьогодні відкритий. Без регулярного моніторингу ви про це не дізнаєтеся.

WordPress проти інших CMS

«Тоді візьму іншу CMS», звучить логічно, але не вирішує проблему.

Joomla, Drupal, Magento, усі популярні системи з екосистемою плагінів страждають від тієї самої хвороби. Розширюваність через сторонні модулі завжди несе ризик. Що більша екосистема, то більша поверхня атаки.

Закриті CMS і конструктори (Squarespace, Wix, Tilda) справді безпечніші в плані стороннього коду, у них немає вільного ринку плагінів. Але платити доводиться гнучкістю: кастомний функціонал коштує дорого, розробників мало, а при зміні платформи сайт ви не заберете.

WordPress обирають не тому, що не знають про безпеку. А тому, що при грамотному підході ризики керовані, а вигода, величезна: десятки тисяч плагінів, сотні тисяч розробників, повний контроль над даними і вартість володіння нижча за будь-яку пропрієтарну альтернативу.

Як захистити сайт на WordPress: практичний план

Безпека WordPress — це не разова акція, а процес. Ось що потрібно зробити на старті й повторювати регулярно.

Базовий рівень, те, без чого не можна запускатися:

Завжди тримайте ядро, плагіни та теми в актуальних версіях. Автооновлення для мінорних релізів ядра ввімкнені за замовчуванням, не вимикайте їх
Видаліть невикористовувані плагіни та теми. Кожен зайвий файл на сервері, потенційний вектор атаки
Ніколи не використовуйте логін «admin». Створіть обліковий запис з унікальним іменем і надійним паролем, від 16 символів, літери, цифри, спецсимволи
Встановіть плагін двофакторної автентифікації, Wordfence або Solid Security (колишній iThemes Security) дають 2FA з коробки в безплатній версії
Налаштуйте щоденне автоматичне резервне копіювання зі зберіганням щонайменше за 14 днів. UpdraftPlus, перевірений безплатний варіант

Просунутий рівень, для сайтів із трафіком і грошима:

Встановіть вебфайрвол (WAF). Sucuri або Cloudflare фільтрують шкідливий трафік до того, як він досягне сервера
Обмежте права доступу до файлів: директорії, 755, файли, 644, wp-config.php, 400. Жодних 777 на wp-content
Заблокуйте прямий доступ до XML-RPC через.htaccess або плагін, цей протокол використовується для брутфорс-атак
Налаштуйте моніторинг цілісності файлів. Wordfence і Solid Security вміють сповіщати про зміну будь-якого файлу ядра, плагіна або теми
Рознесіть сайти по різних хостинг-акаунтах. Заразили один сайт на shared-хостингу зі спільним простором, заразили всі

Рівень «параноя», для інтернет-магазинів і проєктів із платежами:

Переведіть сайт на ізольований VPS або виділений сервер
Увімкніть журнал аудиту всіх дій в адмінці: хто, коли і що змінив
Налаштуйте автоматичне блокування IP після 3-5 невдалих спроб входу
Регулярно скануйте сайт на шкідливий код. Крім Wordfence, є спеціалізовані сервіси на кшталт MalCare

Підхід «поставив і забув» із WordPress не працює. Але 30 хвилин налаштування на старті та 10 хвилин на тиждень на перевірку оновлень закривають переважну більшість векторів атаки. Це не потребує глибоких технічних знань, більшість пунктів вище робиться через адмінку за кілька кліків.

⁉️🤔 Часті запитання

Чи правда, що WordPress зламують частіше за інші CMS?

91% усіх уразливостей екосистеми WordPress у 2025 році припадали на плагіни, і лише 6 штук, на ядро. Для порівняння: у Joomla за той самий період знайдено порівнянну кількість уразливостей ядра при в рази меншій частці ринку. Міняти WordPress на іншу CMS лише з міркувань безпеки — це все одно що пересідати з автомобіля на мотоцикл через страх аварій: статистика не на вашому боці.

Чи достатньо безплатних плагінів для захисту?

Цілком. Зв’язки Wordfence (або Solid Security) + UpdraftPlus для бекапів достатньо для захисту типового сайту на WordPress. Платні тарифи додають зручності: автоматичне застосування патчів, пріоритетна підтримка, розширений моніторинг. Але базовий захист перекривається безплатними версіями.

Безплатний Wordfence включає файрвол, сканер шкідливого коду та захист від брутфорсу, три ключові компоненти захисту. Платити має сенс, коли сайт приносить гроші й простій коштує дорожче за підписку. Для інтернет-магазинів на WooCommerce ми радимо платний тариф Wordfence Premium або Sucuri: вони закривають уразливості швидше, ніж інформація про них поширюється хакерськими форумами.

Чи потрібно оновлювати плагіни одразу після виходу нової версії?

Краще зачекати 2-3 дні. Розробники іноді випускають оновлення з багами, і ви не хочете бути тестувальником на живому сайті. Але критично важливо не відкладати надовго: якщо в описі релізу згадано «security fix», оновлюйтеся протягом доби. І обов’язково робіть бекап перед кожним оновленням.

Практика показує: сайти, які оновлюються раз на місяць за розкладом, живуть довше за ті, де адмін клацає «оновити все» без розбору. Але ще довше живуть ті, де налаштовані автооновлення для мінорних патчів безпеки. Увімкніть їх для ядра та довірених плагінів — це компроміс між стабільністю та захистом.

Чи можна захистити сайт без плагінів безпеки?

Можна, через налаштування сервера. Але це потребує значно вищої кваліфікації. Плагіни безпеки для WordPress — це не ознака слабкості, а розумне використання екосистеми. Вони автоматизують те, що вручну довелося б налаштовувати через конфігурацію вебсервера, файрвол і cron-завдання.

Захист на рівні сервера (mod_security, fail2ban, правильні права доступу), більш продуктивне рішення. Але для власника сайту без досвіду системного адміністрування плагін безпеки, єдиний практичний шлях. Ідеальний варіант, комбінація: хостинг із серверним захистом + мінімальний плагін для 2FA та моніторингу цілісності файлів.

Чи допоможе зміна хостингу?

Так, причому значно. За даними Wordfence, близько 40% успішних зламів відбуваються через уразливості на рівні хостингу, а не самого сайту. Хороший хостинг з ізоляцією акаунтів, серверним WAF і регулярним скануванням закриває цілий клас атак ще до того, як вони досягнуть вашого WordPress.

Чи безпечний WordPress для вашого проєкту

Якщо коротко: так, за умови, що ви ним займаєтеся.

WordPress безпечний рівно настільки, наскільки безпечні плагіни, які ви встановили, паролі, які ви придумали, і хостинг, на якому розгорнули сайт. Ядро платформи, зрілий, добре підтримуваний продукт із налагодженими процесами безпеки.

Головний висновок: не бійтеся WordPress. Бійтеся занедбаного WordPress.

Пів години налаштування на старті та щотижнева перевірка оновлень закривають практично всі реальні загрози. Зробіть це сьогодні, і спіть спокійно.