Открытые PHP-файлы в интернет-магазинах — риск для бизнеса в России
Новости
Разобрал свежий срез рейтинга «Еком-Радар» — за сентябрь 2026 года у 5,1% интернет-магазинов найдены открытые служебные PHP-файлы. Это не просто техническая оплошность, а реальный риск для бизнеса.
Что показал рейтинг: цифра и её значение
Срез за сентябрь 2026 года включил 103 579 сайтов. Из них у 5,1% обнаружены открытые служебные PHP-файлы — в основном info.php и подобные. Это не редкость. По моему опыту, такая проблема встречается регулярно, и она не исчезает сама. Среди интернет-магазинов она распространена не меньше, чем в других категориях. Я не считаю это низким показателем — наоборот, это сигнал: у многих сайтов есть уязвимости, которые можно обойти. И это не просто «неправильно настроено» — это доступ для злоумышленника.
Когда мы смотрим на такие цифры, важно понимать: это не про «всё хорошо», а про то, что у многих сайтов есть открытые двери. Даже если визуально всё работает, техническая уязвимость остаётся. И она не исчезает сама. Считаю, что 5,1% — это не уровень, который можно игнорировать. Особенно в отрасли, где доверие к сайту напрямую влияет на продажи.
Чем это опасно для интернет-магазина
Открытый PHP-файл — это не просто техническая деталь. Он раскрывает версию PHP, установленные модули, конфигурацию сервера. Это как оставить ключ от сервера под дверью. Злоумышленник может использовать это для подбора уязвимостей, атак на базу данных, внедрения вредоносного кода. В результате — утечка данных, подмена цен, фишинг, блокировка сайта в поиске.
Для интернет-магазина это значит: клиенты не доверяют, если сайт кажется ненадёжным. Поисковики могут понизить позиции, если обнаружат уязвимости. А если произойдёт утечка — это не только репутационный урон, но и возможные санкции. Даже если в текущий момент ничего не сломалось, риск остаётся. Я убеждён: безопасность — это не про «а вдруг» — это про профилактику.
Как проверить, есть ли это у вас
Если у вас есть доступ к серверу, проверьте корневую папку сайта. Ищите файлы с именами вроде info.php, phpinfo.php, config.php, server.php — особенно те, что не связаны с бизнес-логикой. Если такой файл существует и доступен по ссылке — он открыт. Это не зависит от того, насколько «чист» ваш сайт или сколько у вас продаж.
Не нужно искать вручную. В таких проектах мы сначала смотрим, как клиент находит нужное — в том числе, проверяем доступность служебных страниц. Если обнаруживается, сразу включаем в план работу по устранению. Проверка не требует сложных инструментов — главное, знать, что искать. И не ждать, пока что-то сломается.
Как мы это закрываем у клиентов
В нашей компании, в Cetera, мы в таких проектах смотрим прежде всего на безопасность. Сайт должен не только работать, но и быть защищён. Мы проверяем, что служебные файлы не доступны извне. Это часть регулярной поддержки — не разовое действие, а постоянная проверка.
Я поставил в план: при каждом обновлении, при каждом изменении в структуре сайта, проверять доступность служебных файлов. Это не только устранение уязвимостей — это часть культуры поддержки. Закрываем такие риски заранее, до того, как клиент заметит проблему. Уверен: безопасность — это не вопрос «а вдруг», а вопрос «а что, если уже есть».
Автор: Святослав Семенов из Cetera Labs
Новость для бизнеса в Мытищах, Россия