Обновление сайта: кто за него отвечает, хостинг или исполнитель?

В октябре 2026 г. вышли срочные исправления для PHP и Node.js, то есть программ, на которых работает значительная часть сайтов компаний и интернет-магазинов. Такие дни всегда порождают один и тот же вопрос: кто должен был это обновить? Хостинг, компания, которая сделала сайт, или, может быть, Вы?

Ответ зависит от того, где работает сайт и что записано в договоре. В этой статье я раскладываю сайт на уровни, показываю, кто обычно отвечает за каждый из них на хостинге, на VPS и на платформе по подписке, и даю готовые вопросы для хостинга и исполнителя. Актуально на 30 октября 2026 г. Я не юрист, поэтому фрагменты о договорах и GDPR (RODO) не являются юридической консультацией.

Октябрь 2026 г.: PHP2Shell и Node2Shell

21 октября 2026 г. разработчики PHP выпустили версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Они закрывают две критические уязвимости под названием PHP2Shell, которые могут позволить удалённо выполнить код на сервере без входа в систему. В тот же день проект Node.js выпустил версии 22.23.4, 24.22.1 и 26.12.1 с исправлением уязвимости Node2Shell в декодере Brotli.

Для PHP 8.1 и более ранних версий разработчики PHP новых выпусков не подготовили. Они опубликовали только исправления в исходном коде для 7.4, 8.0 и 8.1, которыми пользуются те, кто сам компилирует PHP. Линии Node.js после окончания поддержки (например, 20.x) исправления не получат. Некоторые хостинг-провайдеры заявляют, что сами латают старые версии PHP, поэтому о своей версии нужно спросить хостинг. Подробности и способ проверить сайт я описываю в статьях об уязвимости PHP2Shell в PHP и об уязвимости Node2Shell в Node.js. Позже могут выйти более новые выпуски, которые тоже содержат эти исправления, поэтому перед принятием решения проверьте актуальные версии на php.net и в сообщении Node.js.

Эта история хорошо показывает распределение обязанностей. Исправление PHP на виртуальном хостинге устанавливает хостинг. Но если сайт работает на PHP 7.4, потому что никто не перенёс его на более новую версию, нового выпуска от разработчиков PHP нет: о заплатке нужно спрашивать хостинг, а перенос сайта уже задача владельца или исполнителя.

Из чего состоит сайт: 4 уровня, которые нужно обновлять

Чтобы определить, кто что обновляет, разложите сайт на уровни:

1. Система и сервер: операционная система, веб-сервер, база данных.
2. Среда выполнения: PHP или Node.js конкретной версии, например 8.3 или 24.x.
3. Приложение: WordPress, PrestaShop, WooCommerce, плагины, тема или собственный код сайта с библиотеками (например, Next.js).
4. Учётные записи и доступы: пароли, двухэтапная аутентификация, список людей с учётной записью администратора.

У каждого уровня может быть свой «владелец». Ниже типичное распределение:

Это типичное распределение, а не гарантированное. Решающее значение имеют условия обслуживания Вашего хостинга и договор с исполнителем.

Виртуальный хостинг: сервер латает хостинг, версию выбираете Вы

На обычном хостинге (тариф с панелью, в которой Вы держите сайт и почту) сервер принадлежит провайдеру. Именно он обновляет систему и устанавливает новые выпуски PHP. OVHcloud в документации к хостингу пишет, что устанавливает на серверах последние версии PHP, а клиент должен следить за тем, чтобы его сайт был актуальным и совместимым с новыми версиями (документация OVHcloud).

Версию PHP, то есть то, работает ли сайт на 8.2, 8.3 или 8.4, Вы обычно выбираете сами в панели. Старые версии хостинги выводят из обращения или переносят в платные дополнения. Два примера по состоянию на 30 октября 2026 г.:

• nazwa.pl: без доплат доступны версии от 8.2 и выше, а более старые (от 5.3 до 8.1) только в платной дополнительной услуге. Смена версии распространяется на весь сервер, то есть на все сайты на нём, а nazwa.pl оговаривает, что возврат к предыдущей версии не гарантирует корректной работы сайтов (справка nazwa.pl).
• AZ.pl: согласно условиям услуги поддержки старых версий PHP (действуют с 2 января 2026 г.), само использование неподдерживаемой версии означает заказ платной услуги. AZ.pl не отвечает за последствия уязвимостей в таких версиях, а если старая версия угрожает его инфраструктуре, может принудительно сменить её на актуальную, если предварительное требование не возымеет действия.

Вывод: хостинг заботится о машине, но не перенесёт за Вас сайт на более новую версию PHP и не обновит WordPress или плагины. Если Вы останетесь на старой версии, то заплатите за дополнение, а риск останется на Вашей стороне. Как безопасно сменить версию, я показываю в статье о конце поддержки PHP 8.2.

VPS: весь сервер Ваш, вместе с заплатками

VPS (виртуальный сервер) даёт полный контроль, но и полную ответственность. OVHcloud прямо пишет, что, в отличие от управляемого хостинга, обслуживание сервера, резервные копии и защита от атак лежат на клиенте (введение в VPS). Провайдер отвечает за оборудование и сеть, а систему, PHP, Node.js и всё, что на них работает, обновляет владелец или тот, кому он это поручил.

Здесь легко возникает пробел в обязанностях. Исполнитель разворачивает сайт на VPS, сдаёт проект, а договор ничего не говорит о дальнейших обновлениях. В случае Node2Shell такой сайт ждал бы новой версии Node.js, пока кто-нибудь сам её не установит. Если у Вас VPS и Вы не знаете, кто его обновляет, считайте это срочным вопросом к исполнителю.

Платформы по подписке: Shoper, Wix и подобные

На платформе по подписке у Вас нет доступа ни к серверу, ни к коду, поэтому обновления выполняет поставщик. Shoper (польская платформа интернет-магазинов) в своих материалах пишет, что магазины по подписке получают новые версии программного обеспечения на постоянной основе. Wix описывает собственную команду безопасности, которая следит за платформой и реагирует на угрозы.

На Вашей стороне остаются учётные записи. Включите двухэтапную аутентификацию, удалите учётные записи бывших сотрудников и исполнителей и не пользуйтесь одним паролем на несколько человек. Просмотрите также приложения сторонних компаний, подключённые к магазину: за их обновления отвечает их автор, но решение, пользоваться ли ими, принимаете Вы.

Сайт на заказ: решает договор

Если сайт сделал для Вас исполнитель, хостинг по-прежнему латает сервер (если только это не VPS), но приложение остаётся «ничьим», пока договор не говорит иного. Само создание сайта не включает его последующие обновления. Это отдельная услуга, которую обычно называют технической поддержкой.

Не рассчитывайте и на то, что WordPress обновится сам. Согласно документации WordPress, по умолчанию автоматически устанавливаются мелкие выпуски ядра (с исправлениями безопасности) и переводы, а крупные выпуски только на сайтах, установленных начиная с версии 5.6. Плагины и темы обновляются сами, только если кто-то это включил, или в исключительных ситуациях, решение о которых принимает команда безопасности WordPress.

Что записать в договор на создание сайта или на поддержку (подробнее о самом договоре я пишу в статье о договоре на создание сайта):

• Объём обновлений с перечислением: CMS, плагины, тема, библиотеки в коде, версия PHP или Node.js, а для VPS также система.
• Ритм и срочный режим: обычные обновления, например, раз в месяц, а при критической уязвимости отдельное время реакции, указанное в часах.
• Копия до и тест после: резервная копия перед каждым обновлением и проверка формы, корзины и оплаты после него.
• Конец поддержки версий: кто следит за датами (PHP 8.2 теряет поддержку 31 декабря 2026 г.), кто планирует переход и как он оценивается.
• Что, если обновление что-то сломает: кто исправляет, в какой срок и входит ли это в оплату.
• Отчёт: список установленных обновлений, например ежемесячно.
• Доступы: учётная запись администратора и учётная запись на хостинге оформлены на Вашу компанию, а исполнитель добавлен как дополнительный пользователь. Если сегодня доступы есть только у исполнителя, посмотрите, как вернуть доступ к сайту от агентства.
• Персональные данные: если у исполнителя есть доступ к данным клиентов, нужен договор поручения обработки данных (ст. 28 GDPR).

Помните, что передача обновлений кому-то другому не переносит ответственность за данные клиентов. Как администратор данных Ваша компания должна обеспечить надлежащие меры защиты (ст. 32 GDPR), а исполнитель и хостинг помогают Вам в этом на основании договоров. Условия обслуживания AZ.pl прямо говорят то же самое: клиент как администратор данных отвечает за последствия уязвимостей, возникших из-за неподдерживаемой версии PHP.

Как проверить, кто обновляет Ваш сайт

Для этого не нужен программист. Достаточно четверти часа.

1. Найдите счета. За что Вы платите: тариф хостинга, VPS (виртуальный сервер), подписку на платформу, поддержку? Каждый счёт означает один уровень и одного адресата вопросов.
2. Войдите в панель хостинга. Если Вы видите выбор версии PHP, у Вас виртуальный хостинг: запишите номер версии. Если провайдер показывает сервер с системой (например, Ubuntu или Debian) и доступ администратора, у Вас VPS.
3. Проверьте, на чей e-mail приходят сообщения от хостинга. Предупреждения о выводе версии из обращения приходят туда, а не исполнителю, который давно закончил проект.
4. Откройте договор с исполнителем и поищите слова «обновления», «поддержка», «обслуживание». Если их нет, обновления не входят ни в чьи обязанности.
5. Отправьте два вопроса, готовые тексты ниже.

Хостингу:

Здравствуйте, у меня сайт [домен] на тарифе [название тарифа]. Прошу сообщить: 1) внедрены ли исправления PHP от 21 октября 2026 г. (PHP2Shell) для версии PHP, установленной в моей учётной записи, 2) что это за версия и до какого срока она будет доступна без доплат, 3) за какое время и на какой адрес Вы сообщаете о выводе версии из обращения, 4) делаете ли Вы резервные копии, как часто и как долго их храните.

Исполнителю сайта:

Здравствуйте, прошу подтвердить, кто отвечает за обновления сайта [домен]: CMS, плагинов, темы, библиотек в коде и версии PHP или Node.js. Входит ли это в наш договор? Если нет, прошу прислать предложение по поддержке со временем реакции на критические уязвимости и ежемесячным списком обновлений.

Что сделать сегодня

• Запишите в одном месте, где работает сайт, у кого есть доступы и на чей e-mail приходят сообщения.
• Проверьте версию PHP или Node.js. Если она потеряла поддержку, запланируйте переход ещё в этом году.
• Отправьте вопросы хостингу и исполнителю, даже если всё работает.
• Если за обновления никто не отвечает, назначьте ответственного: себя, исполнителя или компанию, которая занимается технической поддержкой. И запишите это в договор.

Итог

На виртуальном хостинге сервер и исправления PHP находятся на стороне хостинга, но версия PHP, CMS и плагины лежат на Вас или на исполнителе. На VPS Вы отвечаете за весь сервер, а на платформе по подписке за учётные записи и дополнения. Всё, чего нет в договоре, на практике не входит ни в чьи обязанности.

Если Вы предпочитаете передать это в одни руки, техническая поддержка в пакете «Дежурство» стоит у меня от 149 зл без НДС в месяц: мониторинг, копия вне сервера каждую неделю, обновления раз в месяц, а срочные за 2 дня. Standard (от 349 зл без НДС в месяц) даёт ежедневные копии, обновления 2 раза в месяц и реакцию в течение 1 рабочего дня, а Pro (от 749 зл) реакцию в течение 4 часов, в том числе при аварии в выходные. Я также могу обеспечить домен и хостинг от 390 зл без НДС в год. Есть вопрос о Вашем сайте? Напишите мне, отвечаю в течение 24 часов.