7 aktualizacji bezpieczeństwa WordPressa w 4 miesiące. Czy Twoja strona nadąża?

WordPress 7.0 pojawił się wiosną tego roku. Od tamtej pory, w niecałe cztery miesiące, wyszło siedem wydań poprawiających bezpieczeństwo: od 7.0.2 do 7.0.8. Prawie każde z nich zamykało luki, które pozwalały przejąć stronę. Jeśli Twoja strona nie jest regularnie aktualizowana i pilnowana, to jest to dobry moment, żeby to zmienić.

Co naprawiano w ostatnich wydaniach WordPressa

Poniżej krótki przegląd wydań bezpieczeństwa z ostatnich miesięcy. Wszystkie opisy pochodzą z oficjalnych informacji o wydaniach na wordpress.org.

• 7.0.2 (17 lipca 2026): wstrzyknięcie SQL oraz błąd w REST API prowadzący do zdalnego wykonania kodu. Sprawa była na tyle poważna, że WordPress włączył wymuszone automatyczne aktualizacje.
• 7.0.3 (6 sierpnia 2026): dwanaście poprawek, między innymi kilka podatności XSS w blokach edytora, obejście potwierdzenia adresu e-mail i podniesienie uprawnień w sieciach multisite.
• 7.0.4 (12 sierpnia 2026): zdalne wykonanie kodu przez wgranie spreparowanego pliku na serwerach z Imagick i Ghostscript. Poprawki wydano także dla starszych gałęzi, aż do wersji 6.5.
• 7.0.5 (17 września 2026): kilka poprawek, w tym nadpisywanie cudzych wpisów przez użytkownika z rolą Współpracownik i przechodzenie po ścieżkach w REST API szablonów.
• 7.0.6 (22 września 2026): przechodzenie po ścieżkach bez logowania przy wyborze szablonu strony, w określonych warunkach prowadzące do zdalnego wykonania kodu.
• 7.0.7 (6 października 2026): siedem poprawek, między innymi XSS na stronie komentarzy w panelu, wstrzyknięcie SQL w eksporcie WXR oraz ujawnianie komentarzy z prywatnych wpisów.
• 7.0.8 (28 października 2026): kolejne poprawki, w tym wyścig podczas aktualizacji rdzenia, który mógł prowadzić do zdalnego wykonania kodu, oraz ujawnianie nieopublikowanych zmian z Personalizacji osobom niezalogowanym.

To nie jest znak, że WordPress jest dziurawy. To znak, że zespół bezpieczeństwa pracuje, a badacze zgłaszają błędy, zanim zrobią to przestępcy. Problem zaczyna się wtedy, gdy poprawka jest gotowa, a strona nadal działa na starej wersji.

Dlaczego kilka dni zwłoki ma znaczenie

Każde wydanie bezpieczeństwa to też publiczna informacja, co dokładnie zostało naprawione. Kilka godzin po publikacji boty zaczynają skanować internet w poszukiwaniu stron, które jeszcze nie zainstalowały poprawki. Nikt nie wybiera Twojej strony osobiście. Skrypt sprawdza miliony adresów i atakuje te, które odpowiadają na znaną podatność.

Dlatego tydzień opóźnienia w aktualizacji to realne ryzyko, a nie teoria. Skutki to zwykle to, z czym trafiają do nas klienci: podmieniona strona, złośliwe przekierowania, spam wysyłany z serwera, ostrzeżenie w Google, zablokowane konto na hostingu albo wyciek danych klientów ze sklepu.

Aktualizacja rdzenia to tylko część pracy

Większość włamań na strony WordPress nie idzie przez sam rdzeń, tylko przez wtyczki i motywy. Rdzeń ma zespół bezpieczeństwa i automatyczne aktualizacje. Wtyczka napisana lata temu przez jedną osobę często nie ma ani jednego, ani drugiego. Do tego dochodzi serwer: stara wersja PHP, złe uprawnienia plików, brak zapory i brak kopii zapasowych.

Bezpieczna strona to więc nie jedno kliknięcie w „Aktualizuj”, tylko stały proces. Składa się na niego kilka prostych, ale regularnych czynności.

Co warto robić regularnie

• Włącz automatyczne aktualizacje drobnych wydań WordPressa. Wydania 7.0.x instalują się same i prawie nigdy nie psują strony. To najtańsze zabezpieczenie, jakie istnieje.
• Aktualizuj wtyczki i motyw co tydzień. Większe zmiany testuj najpierw na kopii strony, a nie na produkcji.
• Usuń to, czego nie używasz. Wyłączona wtyczka nadal leży na serwerze i nadal może mieć lukę.
• Zabezpiecz logowanie. Logowanie dwuskładnikowe, limit nieudanych prób, brak konta „admin” i mocne hasła dla wszystkich użytkowników, nie tylko dla Ciebie.
• Rób kopie zapasowe i sprawdzaj, czy da się z nich przywrócić stronę. Kopia, której nikt nigdy nie testował, często okazuje się bezużyteczna w dniu awarii.
• Monitoruj stronę. Dostępność, zmiany w plikach, pojawienie się malware. O włamaniu lepiej dowiedzieć się z alertu niż od klienta.
• Zadbaj o serwer. Aktualna wersja PHP, zapora aplikacyjna, poprawne uprawnienia plików i aktualny certyfikat SSL.

Kiedy warto oddać to komuś

Wszystko powyżej da się robić samemu. Problem w tym, że trzeba to robić co tydzień, bez przerw na urlop i bez odkładania na później. W praktyce większość właścicieli stron aktualizuje je dopiero wtedy, gdy coś przestaje działać albo gdy strona już została zaatakowana.

Jeśli nie masz na to czasu, możesz oddać stronę pod stałą opiekę. Pilnujemy aktualizacji, kopii zapasowych i monitoringu, a o problemach dowiadujemy się z alertów, zanim zauważą je Twoi klienci. Jeśli nie wiesz, w jakim stanie jest Twoja strona, zacznij od audytu bezpieczeństwa. Dostaniesz listę konkretnych problemów z oceną ryzyka i planem naprawy. A jeśli strona już została zaatakowana, naprawimy ją i zamkniemy lukę, przez którą doszło do włamania.

Podsumowanie

Siedem wydań bezpieczeństwa w cztery miesiące pokazuje jedno: strona na WordPressie nie jest produktem, który raz się kupuje i ma spokój. To system, który trzeba utrzymywać. Aktualizacje, kopie, monitoring i podstawowe zabezpieczenia logowania kosztują niewiele. Naprawa po włamaniu i odzyskiwanie zaufania klientów kosztują znacznie więcej.

Źródła: oficjalne informacje o wydaniach WordPress 7.0.2, 7.0.3, 7.0.4, 7.0.5, 7.0.6, 7.0.7 i 7.0.8.