Lietuvos įmonių svetainės 2026 m. spalį: WordPress, PHP, DMARC – ką rodo vieši duomenys

Tai skaičiavimas, o ne auditas. 2026 m. spalio 24 d. kiekvienos mūsų potencialių klientų sąrašuose esančios svetainės viešą pagrindinį puslapį užklausėme vieną kartą, perskaitėme atsakymą ir viešus domeno DNS įrašus. Rezultatas rodo tai, ką mato kiekvienas, turintis naršyklę ir DNS užklausą, ir nieko, kas yra už prisijungimo.

Tai nėra atsitiktinė Lietuvos įmonių imtis: svetainės priklauso įmonėms, kurios jau yra mūsų sąrašuose, o juose vyrauja įsitvirtinusios gamybos, logistikos, didmeninės prekybos ir paslaugų įmonės. Kiekvienas toliau pateiktas procentas apibūdina šią imtį, o ne šalį.

Ką ir kaip žiūrėjome

• Aibė. 932 Lietuvos svetainių adresai, kiekvienas susietas su įmonės kodu mūsų sąrašuose. 19 buvo nepasiekiami, 9 savo robots.txt faile neleido mūsų naudotojo agento ir buvo praleisti, 14 atsakė, bet jokios atpažįstamos technologijos neparodė. Lieka 890 svetainių, kuriose aptikta bent viena technologija (890 ÷ 932 = 95,5 %) – tai visų svetainių lygmens rodiklių vardiklis.
• Viena užklausa vienam adresui. Vienas viešo pagrindinio puslapio GET su įvardytu naudotojo agentu, siunčiamas tik perskaičius robots.txt. Užfiksavome atsakymo antraštes, HTML žymes („generator“ metažymę, išteklių kelius) ir DNS MX bei TXT įrašus. Jokio kito kelio neprašėme, nieko nebandėme, antros užklausos nesiuntėme. Įmonių nevardijame.
• Kaip skaityti skaičius. „WordPress“ reiškia, kad HTML buvo matomos jos žymės; svetainė gali veikti su „WordPress“ ir jas slėpti. PHP versija skaičiuojama tik tada, kai serveris ją pats atskleidė „X-Powered-By“ antraštėje. Tai apatinės ribos to, kas yra, ir tikslūs skaičiai to, kas matoma viešai.

Turinio valdymo sistemos

Šešios iš dešimties svetainių veikia su „WordPress“; kitos įvardytos sistemos kartu sudaro 50 iš 890 (5,6 %). Įskiepiai svarbūs todėl, kad „WordPress“ svetainė atnaujinama įskiepis po įskiepio, o kiekvienas jų – atskira eilutė, kuri gali likti neatnaujinta.

Kaip patikrinti savo svetainę pagal pranešimą apie įskiepio spragą, aprašyta gide „WordPress“ įskiepių spragos: kaip sužinoti per valandą.

„WordPress“ šakos

Versija buvo viešai matoma 356 iš 535 „WordPress“ svetainių (66,5 %). Šakų skaičiai sudėjus duoda 359 – trimis daugiau nei 356; neapdoroti duomenys šio skirtumo nepaaiškina, tad skaičius pateikiame tokius, kokie užfiksuoti, o dalis skaičiuojame nuo 359 rodmenų.

Kuri šaka yra dabartinė, pasitikrinome wordpress.org/news 2026 m. spalio 24 d.: naujausias leidimas buvo „WordPress“ 7.1.3 – priežiūros ir saugumo leidimas su 7 saugumo pataisomis, paskelbtas 2026-10-06; 7.2 buvo „Beta 1“ stadijos (2026-10-20). Taigi dabartinė šaka yra 7.1. Matoma šaka nepasako, ar svetainė turi būtent 7.1.3 leidimą.

Taigi 197 iš 359 rodmenų (54,9 %) yra senesnėje nei dabartinė šakoje, o 54 (15,0 %) – 5.x arba 4.x šakose. Tame pačiame 7.1.3 pranešime wordpress.org rašo, kad aktyviai palaikoma tik naujausia „WordPress“ versija, o saugumo pataisos, kur būtina, perkeliamos į senesnes šakas iki 4.7. Ar konkretus senos šakos diegimas tas pataisas gavo, iš išorės nematyti; skaičius rodo tik šaką.

179 „WordPress“ svetainės, kurios versiją slepia (535 − 356), dėl to nėra saugesnės – jos tiesiog nesuskaičiuotos.

PHP šakos ir palaikymo būsena

PHP versiją atskleidė 124 iš 890 svetainių (13,9 %). Palaikymo būsena – iš php.net, skaityta 2026-10-24: 8.2 šakos saugumo palaikymas baigiasi 2026-12-31, 8.3 – 2027-12-31, 8.4 – 2028-12-31, 8.5 – 2029-12-31.

8.1 šaka gyvavimo pabaigą pasiekė 2025-12-31, 8.0 – 2023-11-26, 7.4 – 2022-11-28, 7.3 – 2021-12-06, 7.2 – 2020-11-30, 7.1 – 2019-12-01, 7.0 – 2019-01-10, 5.6 – 2018-12-31, 5.4 – 2015-09-03, 5.3 – 2014-08-14, 5.2 – 2011-01-06.

Aritmetika: 12 + 5 + 14 + 4 + 4 + 7 = 46 iš 124 svetainių (37,1 %) veikia PHP šaka, kuri saugumo pataisų nebegauna; 78 (62,9 %) – palaikoma šaka. 30 svetainių su 8.2 šaka saugumo palaikymą praras 2026-12-31 – nepraėjus nė dešimčiai savaičių nuo stebėjimo dienos. Jei niekas nesikeis, 2027-01-01 nepalaikomų bus 46 + 30 = 76 iš 124 (61,3 %).

Tai šios dienos skaičių aritmetika, o ne prognozė. Kalendorius ir tai, ką „gyvavimo pabaiga“ reiškia praktiškai, – gide PHP versijų palaikymas 2026 m..

El. pašto autentiškumas: DMARC ir SPF

El. paštui skaitėme tik DNS. RFC 7489 apibrėžia tris DMARC politikos reikšmes: esant p=none, domeno savininkas neprašo imtis jokių konkrečių veiksmų dėl laiškų pristatymo; esant p=quarantine, tokie laiškai laikytini įtartinais; esant p=reject, gavėjų prašoma juos atmesti.

Tik „quarantine“ ir „reject“ ką nors daro su suklastotu laišku, kuris apsimeta siunčiamas iš jūsų domeno.

Aritmetika: 435 + 247 = 682 iš 890 domenų (76,6 %) neturi vykdomos politikos; 143 + 65 = 208 (23,4 %) turi. Iš 455 domenų, kurie įrašą paskelbė (890 − 435), 247 (54,3 %) sustojo ties p=none – stebėjimo pakopa. SPF įrašą turi 866 iš 890 domenų (97,3 %), tad problema ne žinojimas, o darbo užbaigimas.

378 domenų (42,5 %) paštą tvarko „Microsoft 365“, 76 (8,5 %) – „Google Workspace“. Kaip nuo „none“ pereiti prie „reject“ neprarandant teisėtų laiškų – gide DMARC p=reject įmonei: kaip nustatyti.

Trys mažesni signalai

• HSTS – antraštė, kuria, kaip aprašyta RFC 6797, svetainė pareiškia, kad pasiekiama tik saugiu ryšiu: 201 iš 890 svetainių (22,6 %).
• „Cloudflare“ priešais svetainę: 190 (21,3 %). Tai apibūdina tinklą priešakyje, o ne programinę įrangą už jo.
• „Server“ antraštė, atskleidžianti versiją: 66 (7,4 %). Nedaug, ir lengva sumažinti iki nulio.

Ką tai reiškia (vertinimas)

Visos keturios lentelės rodo tą patį: pirmas žingsnis žengtas plačiai, paskutinis – ne. SPF turi 97 % domenų, vykdomą DMARC politiką – 23 %. „WordPress“ yra visur, dabartinė šaka – mažiau nei pusėje matomų diegimų. Palaikoma PHP šiandien veikia 63 % versiją rodančių svetainių, o pagal dabartinius skaičius nuo sausio – 39 %.

Nė vienas šių skaičių nėra verdiktas konkrečiai įmonei: senos šakos svetainę gali būti užlopęs prieglobos tiekėjas, o naujausios šakos svetainėje gali veikti apleistas įskiepis. Skaičiai rodo, kur yra nebaigtas darbas – vien iš viešų duomenų.

Įmonėms, kurioms taikomas į Lietuvos teisę perkeltas NIS2 reguliavimas, tai ir signalai, kuriuos priežiūros institucija gali perskaityti neklausdama; žr. NIS2 ir KSIS Lietuvoje: ar taikoma jūsų įmonei.

Trys veiksmai šiai savaitei

1. Paklauskite, kuria PHP šaka veikia jūsų svetainė, ir atsakymą užsirašykite. Prieglobos tiekėjas ar kūrėjas tai mato prieglobos skydelyje per minutę. 8.1 ar senesnė jau yra už saugumo palaikymo ribų; 8.2 reikia plano iki 2026-12-31.
2. Perskaitykite savo DMARC įrašą. Pasižiūrėkite TXT įrašą adresu _dmarc.jūsųdomenas.lt. Jei įrašo nėra arba jame p=none, jūsų politika suklastoto laiško iš jūsų domeno nesustabdo. Pereikite prie „quarantine“, kelias savaites skaitykite ataskaitas, tada – prie „reject“.
3. Gaukite raštu „WordPress“ šaką ir įskiepių sąrašą iš to, kas svetainę prižiūri. Dabartinis leidimas 2026-10-24 buvo 7.1.3. Vienos eilutės mėnesinis įrašas su branduolio versija ir įskiepių atnaujinimo datomis baigia spėliones.

Jei norėtumėte, kad šiuos viešus signalus kas mėnesį už jus perskaitytų kas nors kitas ir aiškia lietuvių kalba pasakytų, kas pasikeitė ir ką daryti pirmiausia, – tai Northwestern Tideline darbas.

Be jūsų rašytinio leidimo niekada neiname toliau nei viešas pagrindinis puslapis ir DNS; parašykite mums ir pradėsime nuo jūsų domeno. Platesnis kontekstas – gide Kibernetinis saugumas įmonei dirbtinio intelekto amžiuje.