Как проверить версию PHP и узнать, на чём работает Ваш сайт

Когда появляется новость об уязвимости в PHP, Node.js или популярном плагине, первый вопрос звучит так: касается ли это моего сайта? Ответ зависит от нескольких номеров версий, которые редко где-то записаны. Без них Вы не оцените риск, а разговор с хостингом или исполнителем начинается с переписки с вопросами.

В этой статье я показываю, как проверить версию PHP, Node.js, CMS и плагинов, в основном без программиста, и записать всё в одном коротком паспорте сайта. Актуально на 6 ноября 2026 г. Сроки поддержки и версии с исправлениями могут измениться, поэтому перед принятием решения проверьте их на сайте производителя.

Четыре вещи, которые нужно знать о сайте

Каждый сайт состоит из нескольких уровней программного обеспечения. У каждого свой номер версии и свои исправления безопасности, а уязвимость обычно касается только одного из них.

1. Веб-сервер, то есть программа, которая отправляет сайт в браузер: чаще всего nginx, Apache или LiteSpeed.
2. Язык, на котором работает сайт: PHP (WordPress, WooCommerce, PrestaShop, Joomla) или Node.js (Next.js, Nuxt, Express).
3. CMS или фреймворк: WordPress, PrestaShop, Next.js и подобные.
4. Дополнения: плагины, тема, модули магазина и библиотеки.

На виртуальном хостинге веб-сервером обычно занимается хостинг, версию PHP Вы часто выбираете сами в панели, а CMS и плагины остаются делом владельца сайта или исполнителя. Распределение обязанностей я описываю в статье о том, кто отвечает за обновление сайта.

Способ 1: панель хостинга и панель сайта

Это самый надёжный метод, потому что Вы видите данные изнутри, а не догадки.

Панель хостинга

Войдите в панель хостинга и ищите пункты вроде «Версия PHP», «Конфигурация PHP» или «PHP и Node.js». В панелях cPanel для этого служит инструмент MultiPHP Manager, который показывает версию PHP у каждого домена. Точные пути для OVHcloud, home.pl и nazwa.pl я описываю в статье о конце поддержки PHP 8.2.

Панель часто показывает только ветку, например 8.3. При уязвимостях важен полный номер выпуска, например 8.3.x, потому что исправление попадает в конкретный выпуск. Полный номер Вы увидите в панели CMS или получите от хостинга.

Сайт на Node.js обычно работает на сервере VPS или на платформе вроде Vercel или Netlify. Версию Node.js тогда видно в настройках проекта или в его файлах, поэтому проще всего спросить исполнителя (готовое сообщение ниже).

WordPress и WooCommerce

• Консоль → Обновления (в польском интерфейсе Kokpit → Aktualizacje) показывает версию WordPress, а также плагины и темы, которые ждут обновления.
• Инструменты → Здоровье сайта → Информация (Narzędzia → Stan witryny → Informacja) самое удобное место. В разделе «WordPress» указана версия системы, в разделе «Сервер» полная версия PHP и программное обеспечение сервера, а в разделах «Активные плагины» и «Неактивные плагины» каждый плагин с номером версии.
• Плагины → Установленные показывает версии и то, работают ли автоматические обновления.

Кнопка «Скопировать информацию о сайте в буфер обмена» на той же странице даёт полный набор данных, который можно вставить в письмо. Отправляйте его только доверенному человеку, потому что он содержит технические подробности о сервере.

Если в консоли Вы видите блок с рекомендацией обновить PHP, WordPress сам подсказывает, что PHP на сервере слишком старый. По данным wordpress.org, сегодня рекомендуется PHP 8.3 или новее.

PrestaShop

В панели PrestaShop откройте Расширенные параметры → Информация (в меню, в группе настроек). Там Вы увидите версию PrestaShop, данные сервера, версию PHP и базы данных. Версии модулей можно проверить в Модули → Менеджер модулей.

Способ 2: что сайт выдаёт наружу

Этот метод работает без входа в систему, но Вы видите только то, что сайт показывает сам. Если он хорошо скрывает версии, Вы узнаете немного, и это как раз хорошая новость.

Заголовки сервера

Каждый ответ сервера содержит заголовки, то есть короткий паспорт, невидимый на странице. О программном обеспечении говорят два из них:

• Server: nginx и Apache с настройками по умолчанию указывают здесь название и номер версии, например nginx/1.24.0.
• X-Powered-By: PHP с настройками по умолчанию записывает здесь свою версию, например PHP/8.3.x. Express пишет Express, а Next.js пишет Next.js, в обоих случаях без номера.

Как посмотреть их в Chrome: нажмите F12, откройте вкладку Network (в русской версии «Сеть»), обновите страницу, щёлкните первую позицию в списке и найдите заголовки ответа. Часть хостингов скрывает номера версий, поэтому пустой результат ничего не доказывает.

Исходный код страницы

Нажмите Ctrl+U, затем Ctrl+F и введите generator. WordPress по умолчанию вставляет в код тег с номером версии, например:

<meta name="generator" content="WordPress 7.1.4">

Адреса файлов выдают остальное: /wp-content/plugins/plugin-name/ показывает названия плагинов, /_next/static/ означает Next.js, а /_nuxt/ означает Nuxt. Плагины безопасности часто удаляют тег generator, поэтому его отсутствие ничего не доказывает.

Расширение браузера

Быстрее всего технологии распознаёт расширение Wappalyzer или BuiltWith (оба доступны для Chrome и Firefox). Нажав на значок, Вы видите CMS, фреймворк, сервер и библиотеки. Это распознавание по следам: версию они покажут, только если сайт её выдаёт, и иногда ошибаются.

То же самое видят боты, которые ищут в сети сайты со старыми версиями, поэтому лучше, чтобы сервер не сообщал номера. Это не полная защита (документация Express прямо пишет, что опытный атакующий всё равно распознает программное обеспечение), но она затрудняет простое сканирование.

Проверить сайт

Мой бесплатный инструмент «Проверить сайт» выполняет часть этой работы за Вас. Он предупреждает, если заголовок Server или X-Powered-By содержит номер версии, и подсказывает его скрыть. Он также распознаёт платформу по тегу generator и адресам файлов (в том числе WordPress, WooCommerce, PrestaShop, Shopify, Shoper и Next.js) и показывает её рядом с результатом. Однако он не считывает версию CMS или список плагинов и не входит в панель, поэтому не заменит проверку изнутри.

Где искать версии: таблица для популярных сайтов

Поддерживается ли ещё Ваша версия PHP и Node.js

Сам по себе номер мало что говорит. Важно, выпускает ли производитель для этой версии исправления безопасности. Состояние на 6 ноября 2026 г. по таблице поддерживаемых версий на php.net и графику выпусков Node.js:

Node.js 27 пока находится в фазе тестирования (альфа). По данным nodejs.org, на рабочих серверах следует использовать только версии с долгосрочной поддержкой (LTS).

Второй вопрос касается полного номера. Исправления для PHP 8.3 попадают в очередные выпуски 8.3.x, а когда производитель объявляет об уязвимости, он указывает версии с исправлением. Ваша должна быть такой же или новее. На виртуальном хостинге новые выпуски в рамках ветки обычно устанавливает хостинг, но это стоит подтвердить письмом.

Для плагинов WordPress название и версию можно ввести в базе уязвимостей Patchstack или в базе Wordfence. Вы увидите известные уязвимости и версию, в которой их исправили.

Что сделать сегодня: паспорт сайта за 15 минут

Запишите результаты в одном месте. При следующей новости об уязвимости Вы за минуту проверите, касается ли она Вас. Шаблон для копирования:

Сайт: yourcompany.pl Хостинг и тариф: … Кто обновляет: CMS и плагины …, сервер и PHP … Веб-сервер: … (версия, если известна) PHP или Node.js: … (полный номер) CMS или фреймворк: … (версия) Плагины, тема, модули: название и версия каждого Дата проверки: …

Затем пройдите по этому списку:

1. Сравните версии PHP и Node.js с таблицей выше. Версия без исправлений станет первой задачей, которую нужно поручить.
2. Обновите CMS и плагины, начав с резервной копии. Порядок действий я описываю в статье о безопасном обновлении WordPress.
3. Удалите плагины, которыми не пользуетесь. WordPress сам предупреждает в «Здоровье сайта», что неактивные плагины становятся лёгкой целью.
4. Проверьте плагины в базе уязвимостей, особенно давно не обновлявшиеся.
5. Пропустите сайт через «Проверить сайт» и посмотрите, не выдаёт ли сервер версии.
6. Внесите в календарь проверку паспорта раз в месяц.

Что поручить хостингу или исполнителю

Если Вы чего-то не найдёте или сайт работает на Node.js, отправьте короткое сообщение:

Здравствуйте, прошу сообщить, на каком программном обеспечении работает сайт yourcompany.pl: полная версия PHP или Node.js, версия CMS или фреймворка, список плагинов или зависимостей с версиями и версия веб-сервера. Также прошу написать, кто и как быстро устанавливает исправления безопасности и скрывает ли сервер номера версий в заголовках. Спасибо.

Исполнитель с доступом к серверу проверит это несколькими командами:

curl -sI https://yourcompany.pl | grep -iE "^(server|x-powered-by):"
node -v
npx next -v
php -v

Внимание: php -v показывает версию PHP, которая используется в командной строке. На хостинге с несколькими версиями она бывает другой, чем версия сайта, поэтому надёжнее «Здоровье сайта» или панель хостинга.

Номера версий обычно скрывают в конфигурации: expose_php = Off в PHP, server_tokens off; в nginx, ServerTokens Prod в Apache, poweredByHeader: false в Next.js и app.disable('x-powered-by') в Express. На виртуальном хостинге часть этих настроек может изменить только хостинг.

Если окажется, что на сайте есть уязвимость, план действий Вы найдёте в следующей статье этой серии: «Уязвимость на сайте компании: что делать в первые 24 часа».

Когда в PHP появляется серьёзная уязвимость, версия сразу имеет значение. Пример и план действий я описываю в статье Уязвимость в PHP (PHP2Shell): что проверить и поручить хостингу.

Итог

На вопрос «касается ли меня эта уязвимость?» Вы ответите за минуту, если у Вас записаны четыре вещи: сервер, версия PHP или Node.js, версия CMS и список дополнений. Большую часть Вы найдёте в панели хостинга и в консоли WordPress, остальное подскажет «Проверить сайт» или письмо исполнителю.

Если Вы предпочитаете, чтобы за этим следил кто-то другой, выберите техническую поддержку. В пакете «Дежурство» (от 149 зл без НДС в месяц) я слежу за сайтом, делаю резервные копии и обновления безопасности, а каждый месяц отправляю отчёт. Пакеты Standard (от 349 зл без НДС в месяц) и Pro (от 749 зл без НДС в месяц) добавляют более частые копии и обновления, часы работы в месяц и более быструю реакцию. Если хотите проверить устойчивость сайта к типичным атакам, закажите аудит безопасности (от 990 зл без НДС) или напишите мне. Отвечаю в течение 24 часов.