Cuprins
Un site care nu a fost actualizat doi ani nu se strică de la sine într-o zi, dar devine din ce în ce mai ușor de atacat și, la un moment dat, nu mai rulează pe serverul pe care stă. Cele mai multe probleme vin din pluginuri și din versiunea de PHP, nu din WordPress în sine. Mai jos găsești ce se întâmplă concret, pe ce date ne bazăm și ce poți face fără să reconstruiești tot site-ul.
Unde apar de fapt vulnerabilitățile
Raportul Patchstack despre securitatea WordPress în 2026 a numărat 11.334 de vulnerabilități noi în ecosistemul WordPress în 2025, cu 42% mai multe decât în anul precedent. Dintre acestea, 91% erau în pluginuri și 9% în teme. Nucleul WordPress a avut doar 6, toate cu prioritate scăzută.
Asta schimbă răspunsul la întrebarea "ce se strică dacă nu actualizez". WordPress-ul în sine e relativ curat. Problema sunt pluginurile de formulare, de galerii, de cache, de SEO sau de magazin pe care le-ai instalat în primul an și le-ai uitat. Fiecare e cod scris de altcineva, cu propriul ritm de reparații.
Un site vechi de doi ani are de obicei zeci de versiuni de pluginuri în urmă. Dacă o breșă a fost publicată în acest interval, ea e cunoscută public, iar versiunea ta o conține.
Cât de repede sunt exploatate breșele
Același raport spune că, pentru vulnerabilitățile exploatate masiv, timpul median până la prima exploatare a fost de 5 ore de la publicarea lor. Nu există o perioadă în care "mai apuci să actualizezi săptămâna viitoare" pentru breșele serioase.
Un al doilea detaliu merită reținut: 46% dintre vulnerabilități nu aveau un patch de la dezvoltator în momentul publicării. Deci actualizarea regulată nu rezolvă tot. Rezolvă însă partea mare, adică breșele pentru care există deja reparație, și exact pe acestea le caută scripturile automate pe site-urile uitate.
În practică, un site neactualizat nu e ales de cineva anume. Este găsit de un program care scanează mii de adrese după o versiune de plugin cunoscută ca vulnerabilă. Dimensiunea firmei tale nu contează.
PHP-ul de pe server ajunge la capătul suportului
A doua problemă e mai tăcută. Site-ul rulează pe o versiune de PHP, iar PHP-ul are un ciclu clar: conform php.net, fiecare ramură primește doi ani de suport activ și încă doi ani doar de remedieri de securitate critice. După patru ani, ramura nu mai primește nimic.
La data de 12 octombrie 2026, tabelul de pe php.net arată așa:
- PHP 8.2: doar remedieri de securitate, până la 31 decembrie 2026;
- PHP 8.3: doar remedieri de securitate, până la 31 decembrie 2027;
- PHP 8.4: suport activ până la 31 decembrie 2026, securitate până la 31 decembrie 2028;
- PHP 8.5: suport activ până la 31 decembrie 2027, securitate până la 31 decembrie 2029.
Un site făcut în 2024 pe PHP 8.1 sau mai vechi rulează deja pe o ramură care nu mai primește remedieri. Cerințele oficiale WordPress recomandă acum PHP 8.3 sau mai nou și MariaDB 10.11+ sau MySQL 8.0+. Pagina precizează că WordPress rulează încă pe PHP 7.4 și MySQL 5.5.5, dar ambele sunt la sfârșit de viață și pot expune site-ul la vulnerabilități.
Ca să nu fii surprins, vezi în panoul de hosting ce versiune de PHP ai. Mulți furnizori de găzduire din România forțează la un moment dat o migrare, iar atunci un site vechi cu pluginuri vechi poate pur și simplu să afișeze o pagină albă.
Ce se strică în timp, pe lângă securitate
Securitatea e riscul cel mai serios, dar nu singurul. Iată ce vedem de obicei la un site lăsat doi ani:
- pluginuri abandonate de autori, care nu mai funcționează cu versiunile noi de WordPress sau PHP;
- formulare de contact care nu mai trimit emailuri, fără să te anunțe cineva;
- certificat SSL expirat sau reînnoire automată oprită, cu avertisment roșu în browser;
- pagini lente, cu imagini necomprimate și scripturi care nu mai sunt necesare;
- backup-uri care nu s-au mai făcut sau care nu se pot restaura.
Niciuna nu se vede din exterior până nu se întâmplă. De aceea un site "care merge" poate fi de fapt unul care nu mai trimite cereri de ofertă de luni de zile.
Ce faci dacă site-ul tău e deja în urmă
Nu actualiza totul dintr-o mișcare pe site-ul live. Ordinea sigură arată așa:
- Fă un backup complet (fișiere și baza de date) și verifică ce s-a salvat.
- Notează versiunea de PHP, de WordPress și lista de pluginuri cu versiunile lor.
- Dezactivează și șterge pluginurile pe care nu le folosești. Un plugin oprit, dar rămas pe server, poate fi totuși vulnerabil.
- Actualizează întâi nucleul și pluginurile, apoi tema, de preferat pe o copie de test.
- Trece abia la urmă PHP-ul la o versiune suportată și testează formularele, plata și paginile principale.
Dacă salturile de versiune sunt mari, pe copia de test apar erori pe care e mai bine să le rezolvi acolo decât în fața clienților. Dacă un plugin esențial nu mai are dezvoltator, ai de ales între a-l înlocui și a reface funcția respectivă.
Pentru un site de prezentare, o verificare lunară de 15-30 de minute și un backup automat testat acoperă cea mai mare parte din riscuri. Dacă nu vrei să te ocupi tu, ClickNest oferă mentenanță remote pentru site-uri, indiferent de oraș. Oricum ai alege, măcar verifică azi versiunea de PHP și data ultimei actualizări a pluginurilor.
Surse:
Continuă lectura
Toate articolele
Cum îți ții laptopul rece: curățare, pastă termică și setări Windows
Praful din ventilator și pasta termică veche sunt cauzele frecvente ale unui laptop fierbinte. Iată curățarea corectă, setările Windows și când mergi la service
· 4 min citire
La cât timp trebuie schimbată pasta termică a procesorului
Pasta termică se schimbă de obicei la 2-4 ani. Vezi cum recunoști momentul după temperaturi și ce riscuri apar la laptop și placa video.
· 4 min citire
Backup pentru firme mici: regula 3-2-1 explicată, cu costuri reale
Regula 3-2-1 înseamnă trei copii, două suporturi, una în afara biroului. Vezi cum o aplici într-o firmă mică și cât costă un backup în cloud.
· 5 min citire