Krytyczna luka w WordPressie. Pilna aktualizacja WordPressa

W WordPressie wykryto dwie poważne podatności, które mogą umożliwić dostęp do bazy danych, a w określonych wersjach również zdalne wykonanie kodu na serwerze. Atak nie wymaga wcześniejszego zalogowania do panelu administratora.

Co szczególnie ważne, problem znajduje się w rdzeniu systemu. Zagrożone mogą być więc także strony, które nie mają zainstalowanych żadnych dodatkowych rozszerzeń. Brak wtyczek WordPress nie oznacza w tym przypadku, że strona jest bezpieczna.

Jeżeli Twoja witryna korzysta z jednej z podatnych wersji, aktualizacja WordPressa powinna zostać wykonana natychmiast.

Dlaczego aktualizacja WordPressa jest konieczna?

Pierwsza podatność umożliwia przeprowadzenie ataku SQL injection, czyli wykonanie nieautoryzowanych zapytań do bazy danych WordPressa.

Druga luka łączy nieprawidłową obsługę zapytań zbiorczych REST API z podatnością SQL injection. W efekcie atakujący może doprowadzić do Remote Code Execution, czyli zdalnego wykonania kodu na serwerze.

Podatności zostały oznaczone jako:

CVE-2026-60137,

CVE-2026-63030.

WordPress określił jedną z nich jako krytyczną, a drugą jako podatność wysokiego ryzyka. Zespół odpowiedzialny za system zaleca natychmiastową instalację aktualizacji bezpieczeństwa.

Które wersje WordPressa należy zaktualizować?

Podatne są następujące wydania:

WordPress 6.9 jest podatny na oba opisane problemy. W gałęzi WordPress 6.8 występuje podatność SQL injection. Wersje wcześniejsze niż 6.8 nie są objęte tymi konkretnymi lukami, ale oficjalnie aktywnie wspierana jest tylko najnowsza wersja systemu.

Aktualną wersję można sprawdzić w panelu administratora:

Kokpit → Aktualizacje

Jeżeli widzisz jedną z podatnych wersji, wykonaj aktualizację WordPressa możliwie szybko.

Jak bezpiecznie zaktualizować WordPress?

Samo kliknięcie przycisku „Aktualizuj teraz” nie zawsze jest wystarczające. Aktualizacja wersji systemu CMS powinna zostać wykonana według bezpiecznej procedury.

1. Wykonaj kopię zapasową

Przed rozpoczęciem prac wykonaj kopię zapasową plików oraz bazy danych. Pełna kopia zapasowa WordPress powinna zawierać:

bazę danych,

katalog wp-content,

plik wp-config.php,

pozostałe pliki witryny.

Kopię zapasową najlepiej przechowywać poza serwerem, na którym działa strona. Umożliwi to przywrócenie kopii zapasowej, gdy aktualizacja spowoduje błąd.

2. Sprawdź dostępne aktualizacje

Sprawdź dostępne aktualizacje rdzenia, motywu oraz rozszerzeń. Aktualizacja wtyczek WordPress jest równie istotna, ponieważ nieaktualne dodatki często zawierają znane podatności.

Niepotrzebne wtyczki WordPress należy całkowicie usunąć. Samo wyłączenie rozszerzenia nie usuwa jego plików z serwera.

3. Przetestuj aktualizację WordPressa

W przypadku sklepu internetowego lub rozbudowanej strony firmowej warto najpierw przetestować aktualizację WordPressa na kopii witryny.

Test powinien obejmować między innymi:

formularze kontaktowe,

logowanie użytkowników,

działanie wersji mobilnej,

wysyłkę wiadomości e-mail,

koszyk i płatności WooCommerce,

integracje z zewnętrznymi systemami.

4. Przeprowadź aktualizację WordPressa

Po wykonaniu kopii i testów można przeprowadzić aktualizację WordPressa z poziomu panelu administracyjnego, hostingu albo przy użyciu WP-CLI.

Po zakończeniu operacji należy wyczyścić pamięć podręczną strony i sprawdzić, czy nowa wersja została prawidłowo zainstalowana.

5. Sprawdź działanie witryny

Po aktualizacji zweryfikuj najważniejsze podstrony, formularze, panel administratora oraz logi serwera.

Jeżeli strona przez dłuższy czas korzystała z podatnej wersji, sama instalacja poprawki może nie wystarczyć. Należy wtedy sprawdzić pliki, bazę danych, konta administratorów i historię logowań.

Aktualizacja WordPressa i wtyczek

Regularna aktualizacja WordPress oraz aktualizacja wtyczek WordPress ograniczają ryzyko wykorzystania znanych luk.

Proces aktualizacji wtyczek powinien obejmować:

wykonanie kopii zapasowej,

sprawdzenie zgodności rozszerzeń,

instalację dostępnych aktualizacji,

kontrolę działania strony.

Automatyczna aktualizacja wtyczek może być przydatna w prostych witrynach. W sklepach WooCommerce i stronach korzystających z indywidualnych integracji aktualizację warto jednak najpierw przetestować.

Aktualizacja motywu WordPress i wersji PHP

Aktualizacja motywu WordPress również może zawierać poprawki bezpieczeństwa. Przed rozpoczęciem prac należy sprawdzić, czy motyw nie był modyfikowany bezpośrednio w jego plikach. Aktualizacja motywu mogłaby wtedy nadpisać wprowadzone zmiany.

Ważna jest również aktualizacja PHP WordPress. Oficjalne wymagania WordPressa rekomendują obecnie PHP 8.3 lub nowsze. Starsze wersje PHP mogą nie otrzymywać poprawek bezpieczeństwa i zwiększać ryzyko ataku.

Zmianę wersji PHP również należy poprzedzić wykonaniem pełnej kopii zapasowej oraz testami zgodności wtyczek i motywu.

Automatyczne aktualizacje WordPress – czy wystarczą?

Ze względu na wagę podatności WordPress uruchomił wymuszone automatyczne aktualizacje dla zagrożonych instalacji. Nie oznacza to jednak, że każda strona została skutecznie zaktualizowana.

Automatyczna aktualizacja WordPressa może nie zostać wykonana między innymi z powodu:

błędnych uprawnień plików,

braku wolnego miejsca,

wyłączonych aktualizacji,

problemów z komunikacją z serwerami WordPressa,

błędów konfiguracji hostingu.

Dlatego nawet gdy włączone są automatyczne aktualizacje WordPress, należy zalogować się do panelu i sprawdzić aktualną wersję systemu.

Warto włączyć automatyczne aktualizacje poprawek bezpieczeństwa, ale nie zastępują one monitoringu i regularnej opieki technicznej.

Czy aktualizacja może zepsuć stronę?

Aktualizacja może spowodować konflikt pomiędzy WordPressem, wtyczką, motywem lub wersją PHP. Najczęstsze problemy z aktualizacjami to:

niedziałający panel administratora,

błędy PHP,

nieprawidłowy wygląd strony,

problemy z formularzami,

awarie płatności lub integracji.

Nie jest to jednak powód, aby pozostawiać podatny system. Rozwiązaniem jest wykonanie kopii zapasowej, przetestowanie aktualizacji i przygotowanie możliwości szybkiego wycofania zmian.

Potrzebujesz aktualizacji WordPressa?

Nie masz pewności, czy Twoja strona korzysta z bezpiecznej wersji? Cered może sprawdzić stan witryny, przeprowadzić aktualizację WordPressa oraz zapewnić stałą opiekę nad stroną WordPress. Oferujemy również bezpieczny hosting i profesjonalną administrację serwerami, dzięki czemu możemy odpowiadać zarówno za aktualizacje samej strony, jak i za środowisko, na którym działa.

Zakres usługi może obejmować:

sprawdzenie wersji WordPressa, PHP, motywu i wtyczek,

wykonanie pełnej kopii zapasowej,

aktualizację systemu i rozszerzeń,

testy działania strony,

kontrolę podstawowych zabezpieczeń,

stałą opiekę i regularne aktualizacje WordPressa.

W przypadku podejrzenia włamania możemy dodatkowo przeanalizować pliki strony, konta administratorów, bazę danych i dostępne logi serwera.

Podsumowanie – aktualizacje WordPress

Najnowsza podatność pokazuje, że zagrożenie może znajdować się bezpośrednio w rdzeniu systemu. Strona może być podatna nawet wtedy, gdy nie korzysta z żadnych dodatkowych wtyczek.

Sprawdź wersję swojej witryny i zainstaluj odpowiednie poprawki bezpieczeństwa WordPress:

WordPress 7.0.2,

WordPress 6.9.5,

WordPress 6.8.6.

Regularna aktualizacja WordPress, aktualizacja wtyczek, motywu i PHP to podstawowe działania, które pomagają zabezpieczyć stronę przed wykorzystaniem znanych podatności.