22.10.2026
Мы привыкли мерить технологии их распространённостью. Если на PHP работает большинство сайтов в интернете — значит, это проверенное, надёжное решение, правда? Правда, но с оговоркой: популярность измеряет не качество, а инерцию. Подавляющая доля PHP-сайтов — это наследие 2000-х, когда выбора фактически не было. Сегодня выбор есть. И он часто оказывается в пользу Python и Django.
PHP: язык, который победил количеством, а не качеством
PHP появился в 1995 году как набор скриптов для персональной домашней страницы — отсюда и расшифровка Personal Home Page. Он решал одну задачу: быстро собрать сайт «на коленке». С этой задачей язык справлялся блестяще, и за 30 лет вокруг него выросла гигантская экосистема: хостинги, шаблоны, сборки вроде XAMPP, тысячи фрилансеров, готовых поправить код за три копейки.
Но у этой скорости и дешевизны есть оборотная сторона. PHP спроектирован так, что логика размазывается по шаблонам и «самодельным» модулям, а типовая связка «Apache + PHP + MySQL» поощряет написание кода без архитектуры вообще. Язык развивался — появились PHP 8, строгая типизация, Composer, — однако наследие, ради которого его выбирали, осталось: миллионы сайтов живут на устаревших версиях интерпретатора и копипастных решениях десятилетней давности.
Четыре кита PHP-интернета
WordPress. На нём держится значительная часть всех сайтов мира — от блогов до крупных СМИ. Огромный выбор плагинов и шаблонов, порог входа почти нулевой. Обратная сторона — та же: плагины пишут все подряд, каждая установка превращается в комбинацию из десятков компонентов, где уязвимость в любом из них открывает весь сайт. Ботнеты сканируют WordPress-сайты буквально круглосуточно.
ModX. Более гибкая CMS для тех, кому WordPress тесен. Среда разработки ближе к «чистому» коду, но и порог входа выше, а сообщество и marketplace заметно скромнее. Долгоживущие проекты на ModX часто превращаются в лоскутное одеяло из кастомных сниппетов, поддерживать которое решительно никто не хочет.
Joomla. Третий игрок классической тройки. Мощнее WordPress в плане структуры, тяжелее в настройке. Плюс — зрелые компоненты. Минус — та же безопасность «сборной солянки»: компоненты от разных авторов, разные стандарты кода, регулярные волны CVE.
Bitrix. Корпоративный тяжеловес, особенно популярный в России: интернет-магазины, порталы, CRM. Функционален, но легендарно сложен внутри: переплетения legacy-кода, собственные абстракции, высокие требования к серверу. Переезд с Bitrix — один из самых частых запросов, с которыми сталкиваются команды, решившие освежить проект.
Общий знаменатель у всех четырёх один: приложение живёт внутри чужой архитектуры, и чем дольше живёт, тем труднее в неё вносится что-то новое.
Уязвимости: это касается каждого, а не «когда-нибудь потом»
Самая неприятная особенность PHP-мира в том, что ваш сайт может быть взломан, даже если вы сами ничего не написали. Виноват не ваш код, а сам интерпретатор или CMS, установленная «по умолчанию».
Яркий пример — совсем недавний. 20 октября 2026 года в сеть утекла информация о двух критических уязвимостях в ядре PHP, получивших название PHP2Shell — CVE-2026-109618 и CVE-2026-109619. Уже на следующий день, 21 октября, команда PHP выпустила экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а исследователи из watchTowr подтвердили воспроизведение одной из уязвимостей; эксплойты быстро появились на GitHub, и атаки начались ещё до выхода патчей. comss.ru +2
Обе ошибки получили 9,2 балла по CVSS v4.0 и позволяют выполнить произвольный код на сервере удалённо и без аутентификации. Суть в следующем: если запрос к PHP-приложению прерывается (например, из-за нехватки памяти), интерпретатор оставляет в памяти частично инициализированные структуры, а затем обращается к ним как к валидным — атакующий может подстроить содержимое этой памяти и превратить сбой в запуск своей команды. Уязвимость CVE-2026-109619, помимо выполнения кода, даёт ещё и доступ к уже освобождённой памяти, а подтверждённая цепочка атаки использует механизм отслеживания прогресса загрузки файлов, который включён в PHP по умолчанию.
Самое пугающее — масштаб затронутых версий: по данным исследователей, под ударом установки вплоть до PHP 5.4, а официальные патчи существуют только для четырёх поддерживаемых веток — 8.2, 8.3, 8.4 и 8.5. Всё, что старше, — без исправлений от разработчиков языка. По подсчётам компании Mallory, около 884 000 доступных из интернета хостов всё ещё крутили PHP 8.1 и старше — то есть почти 60% из полутора миллионов хостов, которые вообще сообщают версию. Причём под угрозой все конфигурации, обрабатывающие веб-запросы: PHP-FPM, php-cgi, FrankenPHP, LiteSpeed, а наивысший риск — у Apache с mod_php, где атака срабатывает ещё до запуска кода самого сайта.
Это не единичный случай. Обновление внутри ядра языка само по себе не спасает сайты, живущие на «вечной» связке WordPress + полусотни плагинов: обновить интерпретатор недостаточно, когда архитектура проекта сама генерирует риски. Хостинг и CMS — не страховка, а зона ответственности.
Что предлагает взамен: Python и Django
Чистая архитектура. Django — это фреймворк, где правильные решения встроены по умолчанию: чёткое разделение моделей, представлений и шаблонов (паттерн MTV), ORM вместо ручных SQL-запросов, встроенная защита от SQL-инъекций, XSS и CSRF с первого дня. Проект на Django остаётся читаемым и через год, и через пять — потому что структура навязывается не discipline-разработчика, а самим фреймворком. Это принципиальная разница с ситуацией «вот шаблон WordPress, допиливайте его в файле functions.php».
Высокая производительность. Миф о медленном Python устарел: Python 3.11+ ускорился на десятки процентов, а Django в связке с ASGI-серверами, кэшированием Redis и Celery для фоновых задач уверенно держит серьёзную нагрузку. Instagram на Django обслуживал сотни миллионов пользователей. Задачи, которые в PHP требуют «танцев» вокруг воркеров и демонов, в Python решаются нативными асинхронными средствами.
Любые базы данных. Django ORM из коробки работает с PostgreSQL, MySQL, MariaDB, SQLite и Oracle, а если нужна NoSQL — Redis, MongoDB, Elasticsearch или ClickHouse подключаются через экосистему пакетов без боли. Модель данных описывается один раз в коде, миграции генерируются автоматически, и база перестаёт быть чёрным ящиком.
Интеграции и библиотеки. Python — язык номер один для всего, что выходит за пределы «сайт с формой»: аналитика данных, машинное обучение, интеграция с внешними API, обработка документов, автоматизация. Появилась задача «прикрутить рекомендательную систему» или «разбирать выгрузки из 1С»? В Python-стеке это обычная работа, а не отдельный проект с наймом экзотического специалиста. PyPI насчитывает сотни тысяч готовых библиотек, и Django без трения встраивается в этот мир.
Итог
Популярность — это не гарантия качества, а often просто показатель того, как долго технология держится за счёт инерции. PHP сделал своё дело: дал интернету взлёт. Но сегодня, когда требования к безопасности и скорости разработки выросли на порядок, а в ядре PHP одна за другой находятся дыры вроде PHP2Shell, разумнее строить новое на современных основах.
Ваш переезд — на нас
Компания ssh66 (Soft Hosting) специализируется на том самом переходе, о котором мы поговорили: мы возьмём ваш проект на PHP — WordPress, Bitrix, ModX, Joomla или самописный код — и перенесём его на современный стек Python + Django.
Что вы получаете:
- бесплатную консультацию и аудит текущего сайта: где узкие места, какие риски безопасности, что переносить, а что переписать;
- сохранение всех данных, структуры и SEO-позиций при миграции;
- чистую архитектуру, которую вы потом сможете развивать силами любых Python-разработчиков;
- сопровождение и поддержку после запуска.
Пока вы читали эту статью, в мире сканировались сотни тысяч устаревших PHP-хостов. Не позволяйте своему сайту быть среди них. Напишите нам — ssh66 проведёт проект от первого аудита до стабильного Django в продакшене.
Поделитесь мнением