WordPress ma krytyczną lukę – zaktualizuj stronę jak najszybciej

WordPress to najpopularniejszy system do budowy stron na świecie, więc jedna dziura w jego rdzeniu potrafi dotknąć naraz miliony witryn. Właśnie taki przypadek mamy teraz. Świeżo opisana luka w WordPressie to w praktyce dwa osobne błędy, a ich zestawienie daje efekt znacznie groźniejszy niż każdy z nich z osobna. Połączone w łańcuch pozwalają nieproszonemu gościowi przejąć kontrolę nad stroną, i to bez konta ani hasła. Poprawka jest już gotowa, ale kod ataku krąży publicznie, więc liczy się każda godzina zwłoki.

Dwie dziury, które razem otwierają drzwi

Pierwsza z luk to klasyczne wstrzyknięcie do zapytania bazy danych, ukryte w jednym z parametrów, przez które WordPress filtruje wpisy po autorze. Sama w sobie brzmi niegroźnie. Druga jest znacznie poważniejsza: to błąd w tym, jak silnik obsługuje zbiorcze żądania do swojego interfejsu programistycznego, czyli endpointu, którym aplikacje rozmawiają ze stroną. Ta druga dostała ocenę 9,8 na 10 w skali zagrożenia i w części konfiguracji potrafi być groźna nawet w pojedynkę.

Prawdziwy kłopot pojawia się jednak, gdy zestawi się je razem. Ten łańcuch pozwala obejść uwierzytelnianie i doprowadzić do zdalnego wykonania kodu, czyli sytuacji, w której obca osoba uruchamia własne polecenia na twoim serwerze. Mówiąc bez ogródek: nie chodzi o podmianę jednego wpisu, tylko o realne przejęcie całej witryny.

Obie luki siedzą przy tym w samym rdzeniu WordPressa, nie w jakiejś wtyczce z drugiej ręki. To znaczy, że problem dotyczy zwykłej, czystej instalacji, niezależnie od tego, jak porządnie masz wysprzątany panel.

Kogo to dotyczy i jak sprawdzić swoją stronę

Zagrożone są konkretne wersje, więc zanim wpadniesz w panikę, warto ustalić, na czym stoisz. Najgroźniejszy jest łańcuch prowadzący do przejęcia serwera i dotyczy wydań z gałęzi 6.9 oraz 7.0, a także testowej odsłony 7.1. Starsza gałąź 6.8 łapie tylko słabszą z dwóch luk, ale i tak wypada ją załatać. Bezpieczne wersje, które domykają problem, to 6.8.6, 6.9.5 i 7.0.2, a jeśli akurat testujesz odsłonę 7.1, zaktualizuj ją do najnowszej wersji beta. Jeśli masz cokolwiek starszego z tych linii, twoja strona jest na liście.

Gdzie sprawdzić numer wersji

Wersję WordPressa zobaczysz w kilka sekund. Zaloguj się do panelu administracyjnego, a numer znajdziesz na dole ekranu głównego (Kokpit) albo w zakładce Aktualizacje. Jeśli zarządzasz stroną u dostawcy hostingu z gotowym panelem, ta sama informacja zwykle widnieje w sekcji poświęconej twojej instalacji.

Warto pamiętać o jednej pułapce. WordPress od lat sam instaluje drobne aktualizacje bezpieczeństwa, a twórcy uruchomili je tym razem przymusowo, więc część stron została już załatana bez udziału właściciela. To dobra wiadomość, ale nie powód, żeby odpuścić sprawdzenie. Automatyczne aktualizacje bywają wyłączone, na przykład przez wtyczkę, ustawienia hostingu albo ręczną decyzję sprzed lat, o której nikt już nie pamięta.

Co zrobić w najbliższych minutach

Naprawa jest prostsza niż sam problem. Najlepszym ruchem jest ręczne wymuszenie aktualizacji do bezpiecznej wersji. Wejdź w panelu w zakładkę Aktualizacje i uruchom ją od razu, zamiast czekać, aż zrobi się sama. Jeśli korzystasz z zarządzanego hostingu WordPressa, sprawdź, czy dostawca już wgrał łatkę, bo wiele firm robi to za klientów przy tak poważnych zgłoszeniach.

Zanim klikniesz, zrób kopię zapasową strony, zwłaszcza jeśli masz sporo wtyczek albo mocno przerobiony szablon. Aktualizacje rdzenia zwykle przechodzą gładko, ale kopia to tania polisa, która ratuje wieczór. Po wszystkim zaloguj się jeszcze raz i potwierdź, że numer wersji faktycznie się zmienił. Jeżeli z jakiegoś powodu nie możesz zaktualizować od ręki, potraktuj to jako sygnał alarmowy i zajmij się tym dziś, a nie po weekendzie.

Na koniec rozejrzyj się szerzej. Ta sama dyscyplina, o której pisaliśmy przy okazji pilnej łatki na lukę w 7-Zip, obowiązuje tu w dwójnasób, bo strona internetowa jest wystawiona na świat non stop.

Frontend Master 2026 · Kodożercy

Zrozum, co się dzieje pod spodem twojej strony

Frontend Master 2026 to sześć kursów Kodożerców z HTML, CSS, JS i Git. Z fundamentami przestajesz kopiować bez zrozumienia, zaczynasz świadomie poprawiać, łączyć i rozszerzać każdy projekt.

Zobacz program →

Dlaczego akurat u nas to poważna sprawa

WordPress jest w Polsce wszędzie. Stoją na nim strony małych firm, blogi, sklepy, witryny gmin, fundacji i lokalnych mediów. Często postawione lata temu przez kogoś, kto dawno zniknął z kontaktów. Taka strona zwykle działa bez zarzutu, więc nikt do niej nie zagląda, a to najgorszy scenariusz przy luce, która karmi się właśnie zaniedbaniem. Przejęta witryna rzadko przestaje działać z hukiem. Częściej po cichu rozsyła spam, podstawia lewe treści albo służy jako przystanek do dalszych ataków. O wszystkim właściciel dowiaduje się zwykle od zdenerwowanego klienta.

Jeśli odpowiadasz za stronę w małej firmie albo pomagasz komuś z rodziny prowadzić serwis, to jest ten moment, żeby po prostu wejść i sprawdzić. Pięć minut dziś oszczędza tygodni sprzątania później.

Podsumowanie

Sprawa jest poważna, ale na szczęście łatwa do zamknięcia. W rdzeniu WordPressa znaleziono dwie luki, które w połączeniu pozwalają przejąć stronę bez logowania, a ocena zagrożenia sięga niemal maksimum. Producent wydał już poprawki, więc cała robota sprowadza się do aktualizacji do wersji 6.8.6, 6.9.5 lub 7.0.2 i potwierdzenia, że faktycznie się wgrała. Część stron załatała się sama dzięki wymuszonym aktualizacjom, ale tam, gdzie ktoś je kiedyś wyłączył, trzeba zadziałać ręcznie. Zrób kopię, kliknij aktualizację, sprawdź numer wersji i przy okazji przypomnij o tym każdemu, kto ma własną witrynę.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.