Медленный отход от WordPress

WordPress является одним из великих успехов открытого исходного кода. Он начинался как инструмент для блогов и вырос в программу, на которой держится большая часть интернета: бесплатную в использовании, свободную для изменений, с экосистемой тем, плагинов и хостингов, которая позволяет публиковаться почти любому.

Как агентство мы годами создавали и сопровождали сайты на WordPress, и многие хорошие сайты по-прежнему работают на нём. Это не некролог. Но одновременно изменились три вещи, и компании, чей сайт работает на WordPress, стоит знать обо всех трёх: доля пошла вниз, риск сосредоточен в плагинах, а руководство проекта два года провело в споре, который теперь движется к суду присяжных.

Доля пошла вниз

W3Techs, отслеживающая технологии, на которых работают сайты, показывает рост WordPress на протяжении почти десятилетия: с 23,3 процента всех сайтов в начале 2015 года до 43,2 процента в начале 2022 года. Затем рост остановился. В январе 2025 года доля составляла 43,6 процента, в январе 2026 года 43,0 процента. 12 октября 2026 года она была 40,1 процента.

Это по-прежнему больше, чем у всех остальных систем управления контентом вместе взятых, и 58,6 процента сайтов, систему которых W3Techs может определить. Но направление новое. За тот же период Shopify вырос с 4,7 до 5,4 процента всех сайтов, а Wix с 3,3 до 4,2 процента, тогда как Joomla и Drupal продолжали сокращаться. Такие подсчёты зависят от методики, поэтому направление важнее десятых долей.

Риск сосредоточен в плагинах

Ядро WordPress в хорошем состоянии. Patchstack, компания по безопасности, которая отслеживает экосистему, насчитала в ядре WordPress за 2025 год всего шесть уязвимостей, все низкого приоритета.

С экосистемой вокруг него дело обстоит иначе. Patchstack насчитала в WordPress за 2025 год 11'334 новые уязвимости, на 42 процента больше, чем в 2024 году. 91 процент приходился на плагины и 9 процентов на темы. Для 46 процентов из них у разработчика не было готового исправления, когда уязвимость стала публичной. А для уязвимостей, которые злоумышленники атаковали активнее всего, медианное время от раскрытия до массовой эксплуатации составило пять часов.

Patchstack продаёт защиту именно от этого, поэтому к её подаче стоит относиться с обычной осторожностью. Однако закономерность носит структурный характер. Сайт компании часто работает на множестве плагинов от множества авторов, у каждого свой ритм обновлений, своё качество и своя бизнес-модель. Каждый из них является кодом на публичном сервере. Поддерживать их в актуальном состоянии нужно каждую неделю, и именно пропущенные недели оказываются решающими.

Два года потрясений

В сентябре 2024 года на конференции WordCamp US Мэтт Мулленвег, генеральный директор Automattic и ведущая фигура проекта WordPress, призвал сообщество перестать платить WP Engine, одному из крупнейших хостингов WordPress. В последовавшем за этим посте он назвал компанию «раковой опухолью» для WordPress. Мулленвег требовал роялти за использование товарного знака WordPress: 8 процентов ежемесячной валовой выручки WP Engine.

25 сентября WordPress.org закрыл WP Engine доступ к своим ресурсам, из-за чего у части размещённых у неё сайтов перестали работать обновления плагинов и тем. В октябре WP Engine подала в суд на Automattic и Мулленвега, а WordPress.org взял под контроль Advanced Custom Fields, популярный плагин, который поддерживала WP Engine. В декабре федеральный судья вынес предварительный судебный запрет, который восстановил доступ WP Engine и вернул ей плагин.

То, что последовало, навредило проекту сильнее, чем хостингу. В январе 2025 года Automattic сократила обещанный вклад в WordPress примерно до 45 часов в неделю вместо примерно 2'560, чтобы направить ресурсы на судебную борьбу. В апреле она уволила 16 процентов сотрудников, а WordPress объявил, что 6.8 станет последним крупным релизом 2025 года. В конце мая Automattic сменила курс и вернулась к работе над ядром. В июне Linux Foundation запустила FAIR, федеративный репозиторий для плагинов и тем, устроенный так, чтобы ни один источник не контролировал обновления в одиночку.

Дело далеко от завершения. 24 сентября 2026 года судья возобновила антимонопольные иски WP Engine, которые отклонила годом ранее, и установила, что Automattic и Мулленвег не являются ни владельцами, ни регистрантами товарных знаков WordPress, на которые они ссылались. Большая часть встречных исков Automattic тоже сохраняется. Десятидневный суд присяжных назначен на октябрь 2027 года.

Что это значит для компании на WordPress

Ничто из этого не делает сайт на WordPress небезопасным в одночасье. Хорошо поддерживаемая установка с небольшим числом плагинов, хорошим хостингом и конкретным человеком, отвечающим за обновления, может годами служить компании. Для блога, небольшого сайта-визитки или команды, которая хорошо знает платформу, остаться часто будет разумным выбором.

Последние два года показали зависимость. Обновления сайта, его плагины и доверие к цепочке поставок проходят через один репозиторий, и какое-то время решения об этом репозитории принимались в разгар коммерческого спора. Добавьте экосистему, в которой почти половина новых уязвимостей становится публичной до исправления, и вопрос уже не в том, работает ли WordPress. Вопрос в том, какую часть сайта компания готова строить на компонентах, которые она не контролирует.

Собранные сайты с CMS сверху

Поэтому всё больше компаний переходят на собранные сайты: сайт, скомпилированный из кода в быстрые страницы, с системой управления контентом поверх него для тех, кто его редактирует. Тогда у публичного сайта нет ни плагинов, ни административного входа, которые можно атаковать. Каждое изменение проходит через сборку, которую тестируют до выхода в свет. Контент хранится в файлах, которыми владеет компания, а не в базе данных, устроенной по замыслу поставщика.

Компромисс реален. Собранному сайту нужны разработчики для новых функций, тогда как у WordPress есть плагин почти на всё. И редактирование нужно построить хорошо, иначе маркетинговая команда уже через неделю заскучает по старой админке.

Именно для этой задачи создан Studio. Его основа: CMS поверх сайтов, построенных на Next.js, Vite или TanStack, без плагинов и без PHP на публичном сайте. Каждая публикация проверяется, собирается один раз, тестируется, выходит в работу, проходит проверку и сама откатывается, если что-то идёт не так, и каждая публикация коммитит контент в собственный репозиторий компании. Редакторы щёлкают по слову, чтобы изменить его, и видят живую страницу. Studio находится в раннем доступе.

Машины могут взять на себя сборки, тесты и откаты. Что говорит страница и достаточно ли она хороша, чтобы выйти, решают люди, которые за неё отвечают.

С чего начать

Пересчитайте свои плагины и запишите, кто поддерживает каждый из них, когда он последний раз обновлялся и что делает. Удалите то, что никому не нужно. Убедитесь, что каждый плагин, включая платные, получает обновления и что конкретный человек проверяет их каждую неделю. Один раз экспортируйте контент и посмотрите, смогли бы вы его перенести, если бы пришлось.

Затем примите решение осознанно. Оставьте WordPress там, где он вам служит, с меньшим числом компонентов и понятным владельцем. Там, где сайт занимает центральное место в бизнесе, о собранном сайте с CMS сверху стоит поговорить.