За останні роки платформа WordPress зробила величезний крок уперед: з виходом лінійок 6.x та 7.x створення контенту та стилізація сайтів стали швидшими та гнучкішими. Проте популярність CMS має й зворотний бік. Екосистема стає головною ціллю для автоматизованих хакерських атак.

Нещодавно веб-розробники та власники сайтів по всьому світу зіштовхнулися з однією з найнебезпечніших атак останнього часу — ланцюжком вразливостей WP2Shell (CVE-2026-63030), яка зачепила версії ядра від 6.8 до 7.0.

У цій статті ми розберемо, як саме працював цей «хробак», чому звичайне видалення вірусу не допомагає та чому безпека повинна закладатися ще на етапі, коли ви плануєте замовити сайт.

  1. Анатомія атаки: Як бот стає адміністратором без пароля

Більшість класичних атак базуються на підборі паролів (Brute Force) або підробці форм. Проте у версіях WordPress 6.8–7.0 зловмисники використали складніший механізм: поєднання SQL-ін’єкції в WP_Query та обходу авторизації через REST API.

Сценарий зараження виглядав так:

  1. Неавторизований запит: Бот надсилає спеціально сформований запит до REST API на ендпоінт /wp-json/batch/v1.
  2. Впровадження в базу даних: Через прогалину в обробці параметрів запиту скрипт обходить перевірку прав і виконує команду в базі даних MySQL.
  3. Створення «фантомного» адміна: У таблицю wp_users непомітно додається новий користувач із максимальними правами (наприклад, з логіном wp_sys_admin або випадковим набором символів).
  4. Завантаження бекдорів: Отримавши права адміністратора, робот завантажує вірусний плагін або додає шкідливий код у файли functions.php чи index.php.

У результаті на сайті з’являлися приховані редиректи на фішингові ресурси, мобільні редиректи або приховане спам-посилання, що миттєво нищило SEO-позиції в Google.

  1. Чому звичайний антивірус не вирішує проблему?

Коли власник ресурсу помічає проблему, перше рішення — встановити плагін-сканер і видалити заражені файли. Проте у випадку з атаками на рівні ядра 6.8–7.0 це видалення наслідків, а не причини.

Якщо у вашій базі даних залишився «фантомний» обліковий запис або не закрито доступ до вразливого REST API ендпоінту, бот повернеться через кілька годин і знову завантажить вірус.

Саме тому якісна розробка сайтів в Україні вже давно вийшла за межі простої верстки макета чи встановлення готового шаблону. Інженерний підхід передбачає глибоке налаштування серверної та програмної безпеки.

  1. Як ми захищаємо WordPress-проєкти на практиці

Щоб убезпечити ресурс від подібних загроз, недостатньо просто натиснути кнопку «Оновити». Комплексний захист включає кілька рівнів:

  • Чистка та аудит бази даних: Перевірка таблиць wp_users та wp_usermeta на наявність незареєстрованих облікових записів із привілеями administrator.
  • Обмеження REST API: Закриття доступу до чутливих REST API ендпоінтів для неавторизованих користувачів.
  • Захист на рівні конфігурації: Блокування редагування файлів із адмін-панелі (DISALLOW_FILE_EDIT) та жорсткі правила доступу до wp-config.php і .htaccess.
  • Налаштування WAF (Web Application Firewall): Фільтрація вхідного трафіку на рівні сервера (Cloudflare / ModSecurity) для відсікання автоматичних ботів ще до того, як вони торкнуться вашого сайту.

Висновок: Безпека як основа цифрового бізнесу

Атака на версії 6.8–7.0 доводить: зекономити на технічному супроводі чи захисті сайту — це ризик втратити репутацію та клієнтів за один день.

Плануючи замовити сайт під ключ, важливо обирати фахівців, які розуміють специфіку роботи движка «під капотом» і вміють протидіяти сучасним кіберзагрозам. Професійна розробка сайтів — це не лише про гарний дизайн, а й про стабільність, швидкість і надійний захист вашого бізнесу в мережі.

Схожі статті:

Share Share Tweet