Обновление WordPress: как обновить ядро и плагины и не положить сайт

Пять вещей, которые обновляются на сайте

Сайт на WordPress собран из пяти частей, и каждую выпускает свой автор. Ядро — это сам WordPress, всё кроме плагинов и темы. Плагин — дополнение: форма заявки, корзина, оплата. Тема — оформление. Есть ещё PHP, язык, на котором работает сайт.

Данные таблицы — из справки Developer.WordPress.org (обновлена 1 июля 2026 года). На нашем сайте своя тема и 19 плагинов. Лишних не ставим: каждый может сломаться при обновлении (кейс об ускорении).

Заплатка и крупная версия: две разные истории

Версия записывается числами, например 7.1.2. Первые два числа (7.1) — крупная версия, третье — заплатка. Переход с 7.1.2 на 7.1.3 — заплатка, с 7.1 на 7.2 — крупная версия.

Заплатка чинит дыры и ошибки и не приносит новых функций. В справке для авторов Plugin Handbook про поле «Tested up to» (в админке «Совместим вплоть до»: на какой версии WordPress автор проверил плагин) сказано, что заплатки оно не учитывает: от них плагины ломаться не должны. Крупная версия меняет устройство WordPress, и здесь страдают темы и плагины. Вот что вышло с августа по октябрь:

Наше мнение: страшно не обновление, а обновление всего разом на сайте без резервной копии. Если сайт после этого упал, непонятно, кто виноват: ядро, плагин или тема. На нашем сайте оформление держится на одном плагине, через который заполняются блоки. Его обновления мы проверяем на тестовом сайте отдельно.

Выпуск 7.1.2 и почему такие ставят в тот же день

Версия 7.1.2 закрыла дыру, через которую посторонний человек без пароля мог запустить на сайте свою программу, если совпали определённые настройки сервера и темы. В объявлении от 22 сентября 2026 года дыру назвали критической. Сайты с фоновыми автообновлениями обновились сами. В правилах нашей поддержки об этом так: обновляем и следим, не дожидаясь, пока сайт положат.

Для ядра 2025 год был тихим: по отчёту Patchstack «State of WordPress Security In 2026» (страница обновлена 25 февраля 2026 года) в ядре нашли 6 уязвимостей, все низкой важности. Основная масса дыр сидит в плагинах и темах, об этом статья «Защита сайта от взлома». Осень 2026 года тихой не была, таблица выше.

Перед обновлением: резервная копия, из которой можно восстановить сайт

Резервная копия — это файлы сайта плюс база данных. В файлах тема, плагины и картинки, в базе тексты страниц, заказы и заявки. Хранить надо вне сервера сайта: так мы храним копии клиентов на поддержке.

Правило нашей поддержки: «Копия, которая не разворачивается, копией не считается». Развернуть — значит восстановить из резервной копии рабочий сайт на отдельном адресе и открыть его. Сделайте это один раз до обновления: получится заодно тестовый сайт из следующего раздела.

Перед каждой из около 25 правок скорости нашего сайта за пять недель мы снимали копию, и у каждой правки есть записанный способ вернуть всё за минуту (кейс).

Тестовый сайт: когда нужен и как не сделать из него дыру

Тестовый сайт (его ещё называют staging) — второй экземпляр вашего сайта на отдельном адресе. Вы обновляете сначала его, смотрите, что сломалось, и потом повторяете то же на настоящем сайте. Он нужен при своей теме, магазине с оплатой, крупной версии или давно не обновлявшемся сайте.

Мы считали время на магазине на другой платформе, 1С-Битриксе (кейс технической поддержки). Летом 2026 года обновление заняло 9,4 часа: само обновление 2,5 часа, полная проверка на тестовом сайте 2,1 часа, исправления после обновления 4,8 часа. Больше всего времени ушло на исправления.

Забытый тестовый сайт на адресе вроде dev. или old. обновляется реже всех, а снаружи его видно. Наш сканер «Мышелов» находит такие сайты по открытым журналам выдачи сертификатов: когда сайту выдают сертификат, запись попадает в публичный журнал вместе с адресом. Большинство взломов, которые мы видели, начинались с забытой мелочи: старой копии сайта, архива в открытой папке, плагина без обновлений три года (кейс «Мышелова»). Поэтому тестовый сайт закрывают паролем и от поиска, а закончив работу, удаляют.

Порядок обновления сайта с доработками

Все шаги идут сначала на тестовом сайте, потом на настоящем. Так записано в правилах нашей поддержки.

1. Резервная копия и замер скорости

   Сделайте копию в день обновления. Замерьте скорость главной на телефоне в PageSpeed Insights (бесплатный сервис Google).

2. Совместимость плагинов

   В описании плагина смотрите поля «Совместим вплоть до» (Tested up to) и «Требуемая версия WordPress» (Requires at least). Если новая версия плагина требует WordPress новее вашего, WordPress пишет «Доступна новая версия …, но она не будет работать с вашей версией WordPress», и ссылки на обновление нет. Такой плагин ждёт обновления ядра.

3. Плагины по одному

   Обновили один, открыли сайт и форму заявки, обновили следующий.

4. Тема

   Правки прямо в файлах темы обновление сотрёт (так предупреждает документация WordPress). Сначала перенесите их в дочернюю тему, отдельную папку для правок.

5. Крупная версия WordPress

   Когда обновлено всё, что можно обновить без неё. Потом доведите плагины, оставленные на втором шаге.

Как понять, что после обновления сайт работает

1 сентября 2026 года оценка скорости нашей главной упала с 83 до 56: выложили другие изменения, и часть ускорения потерялась: на страницах услуг шрифты снова приезжали с задержкой, в блог вернулся ненужный набор значков. Вернули за день и написали проверку на 37 пунктов, она за полминуты запускается после каждой выкладки. Среди пунктов: шрифты на месте, лишних значков в блоге нет, заявки идут мимо кэша (форму не подменяет сохранённая копия страницы). Ниже общие пункты для вашего сайта, свои добавьте по тому, что ломалось у вас.

Автообновления: что оставить включённым

Узнать, обновляется ли сайт сам, можно на экране «Консоль → Обновления». Если там написано «Этот сайт не получает обновлений для новых выпусков WordPress», заплатки ставите вы. Но надпись показывает настройку, а не то, что обновления идут: при запросе FTP и под системой контроля версий фоновое обновление не пройдёт. Реальное состояние покажет «Инструменты → Здоровье сайта», пункт про фоновые обновления. Заплатки ядра оставьте включёнными: разработчики WordPress не советуют отключать их совсем. Простые плагины можно оставить на автомате, а плагины формы, оплаты и оформления обновляйте вручную после резервной копии.

С версии 6.6 (WordPress.org News, 16 июля 2024 года) WordPress откатывает неудачное автообновление плагина. Что он считает неудачным, не расписано; наше понимание: сайт, который отвечает, но не отправляет форму заявки, он, скорее всего, не заметит. Поэтому после письма об автообновлении откройте сайт и отправьте пробную заявку.

Если после обновления что-то пошло не так

Сайт пишет «Сайт ненадолго закрыт на техническое обслуживание. Зайдите через минуту.»: обновление оставило в папке WordPress файл .maintenance. Через 10 минут WordPress сам перестаёт его учитывать, но если обновление оборвалось, сайт мог обновиться наполовину. Удалите файл через панель хостинга и запустите обновление снова (документация WordPress.org). WordPress просит данные FTP: файлы сайта принадлежат другому пользователю сервера, и менять их сам он не может. Данные знает хостер или тот, кто ставил сайт. Белый экран или «критическая ошибка» разобраны в статье «На сайте возникла критическая ошибка WordPress: что делать».

Сайт не обновляли годами

Тут «Обновить всё» не нажимают: вместе с ядром придётся поднимать PHP, а старые плагины могут не пережить скачок. Справка для администраторов советует подумать о переходе по шагам, если версий больше двух крупных. WordPress ещё работает на PHP 7.4, но эти версии сняты с поддержки и могут открыть сайт для атак (WordPress.org, требования, на 11 октября 2026 года).

Что устарело у вас, покажет бесплатный осмотр снаружи в «Мышелове»: за пару минут он сверит версии с открытой базой известных уязвимостей. Самому такой сайт обновлять не стоит: менять придётся и PHP, и забытые плагины.

Когда хватит своими силами, а когда нет

Когда не нужно звать подрядчика, видно по простым признакам.

Платить нам за заплатку на простом сайте не нужно: сделайте резервную копию и нажмите кнопку. Наша граница: без резервной копии мы не обновляем.

Как обновляем мы и сколько это стоит

Пришлите адрес сайта в форму под статьёй. Часы зависят от числа плагинов и правок в теме, назовём их после бесплатного разбора.

Поддержка WordPressОбновления на тестовом сайте, реакция на сбой за 15 минут

Для технических специалистов

Дыра 7.1.2: CVE-2026-87902 (GHSA-7hp8-65ch-5whp). Неавторизованный посетитель при определённых условиях мог заставить сайт при выборе шаблона подключить локальный PHP-файл вне папок темы, что ведёт к удалённому выполнению кода (RCE). Крупные версии сами ставятся на установках с 5.6; константа WP_AUTO_UPDATE_CORE принимает true, false или 'minor'. Фильтры кладут в must-use плагин, не в wp-config.php.

sudo -u www-data wp core update --minor
sudo -u www-data wp plugin update --all --dry-run
sudo -u www-data wp plugin update НАЗВАНИЕ-ПЛАГИНА
sudo -u www-data wp plugin update --all --exclude=НАЗВАНИЕ-ПЛАГИНА

WP-CLI запускайте от пользователя веб-сервера, иначе файлы сменят владельца. При ручном обновлении папку wp-content не удаляют. После загрузки файлов откройте /wp-admin/upgrade.php. Тестовый сайт закройте basic-авторизацией и noindex.

Читайте также

• Обновление 1С-Битрикса: когда, чем рискуете и что проверить
• Кейс: ускорение сайта на WordPress