Strona internetowa może działać bez zarzutu, wyświetlać wszystkie informacje i przyjmować zamówienia, a mimo to być narażona na atak. I właśnie w tym tkwi problem. Brak widocznych błędów nie oznacza, że wszystko jest bezpieczne.
W lipcu 2026 roku ujawniono dwie poważne podatności w samym WordPressie. Nie chodzi o błędy w pojedynczych wtyczkach czy dodatkowych funkcjach. Problem dotyczy podstawowego oprogramowania, na którym działa strona. Co gorsza, atakujący nie muszą nawet posiadać konta w WordPressie.
Dwie podatności, które mogą doprowadzić do przejęcia strony!
Pierwsza z nich, oznaczona jako CVE-2026-63030, to krytyczna podatność umożliwiająca zdalne wykonanie kodu (RCE).
Ta podatność powoduje, że osoba atakująca może uruchomić własny kod na serwerze i to bez logowania się! Nie musi wcześniej logować się do panelu administracyjnego ani znać hasła administratora. Nie trzeba chyba mówić jak poważne jest to w skutkach.
Podatność dotyczy WordPressa w wersjach:
- 6.9.0–6.9.4
- 7.0.0–7.0.1
Druga podatność, CVE-2026-60137, dotyczy ataku typu SQL Injection. Pozwala ona na manipulowanie zapytaniami do bazy danych, a w konsekwencji na uzyskanie nieuprawnionego dostępu do przechowywanych w niej informacji.
Dotyczy wersji:
- 6.8.0–6.8.5
- 6.9.0–6.9.4
- 7.0.0–7.0.1
Co to oznacza dla właściciela strony?
Wyobraźmy sobie, że prowadzisz firmową stronę internetową. Ktoś wykorzystuje lukę w zabezpieczeniach i umieszcza na serwerze złośliwy kod.
Może zmienić zawartość strony, przejąć dane z bazy, utworzyć dodatkowe konto administratora albo wykorzystać Twoją witrynę do dalszych ataków. W przypadku sklepu internetowego dochodzi jeszcze ryzyko utraty danych klientów i zakłócenia sprzedaży.
Najważniejsze jest jednak to, że te dwie opisane wyżej podatności to combo, które łącznie pozwalają na zdewastowanie strony internetowej, reputacji firmy i zniszczenie rankingu domeny. Bo to to jest w tym przypadku największą karą. Wraz z przejęciem strony internetowej nie tylko ona jest narażona i nie tylko ona ucierpi. Może ucierpieć jakość domeny i może ona trafić na listy spamowe. Wtedy jest pozamiatane i nie mówię tego jako czcze ostrzeżenie. To poważny uszczerbek na domenie i „łatka”, którą bardzo ciężko odpiąć, a konsekwencje tego są katastrofalne. Nikt nie chciałby aby antywirus systemowy blokował użytkownikowi wejście na naszą stronę firmową bo stanowi zagrożenie. W gruncie rzeczy o to najłatwiej. A wartość domeny w takim przypadku spada na łeb na szyję. Maile nie dochodzą do odbiorcy. Strona się nie otwiera… Requiescat in pace.
To nie jest już kwestia estetyki strony czy nowych funkcji. Chodzi o bezpieczeństwo Twojej firmy i klientów. Strona, konto mailowe stają się bezużyteczne.
Jak zabezpieczyć WordPressa?
Twórcy WordPressa przygotowali poprawki dla wszystkich wymienionych wersji. Zalecane jest przejście na odpowiednie wydanie:
- WordPress 6.8 — wersja 6.8.6
- WordPress 6.9 — wersja 6.9.5
- WordPress 7.0 — wersja 7.0.2
Jeżeli Twoja strona działa na starszej wersji, również warto ją zaktualizować. Ogólnie mówiąc zaktualizuj do najnowszej jeśli tylko możesz.
Przed aktualizacją należy wykonać kopię zapasową strony i bazy danych, a po jej zakończeniu sprawdzić, czy wszystko działa prawidłowo.
Dawno nie aktualizowałeś strony albo nie jesteś pewien czy strona jest w dobrej formie? Koniecznie weź udział w Akcji Serwisowej!
WordPress jest regularnie aktualizowany właśnie dlatego, że odkrywane są nowe błędy i zagrożenia. To normalna część utrzymania strony internetowej. Problem zaczyna się wtedy, gdy aktualizacje są odkładane miesiącami, a strona pozostaje na wersji, dla której istnieją już publicznie znane podatności.Jeżeli nie wiesz, na jakiej wersji WordPressa działa Twoja strona, warto to sprawdzić. A jeśli od dawna nie była aktualizowana, nie odkładajmy tego na później. Lepiej poświęcić chwilę na aktualizację niż później znacznie więcej czasu na odzyskiwanie strony.
Jeśli nie jesteś czegokolwiek pewnym, po prostu weź udział w akcji serwisowej którą organizuję. W najbliższej – zimowej – właśnie na tym skupiam się najbardziej. Sprawdzam, czy strona nie ma przestarzałego oprogramowania i przez to największych podatności. Poczekaj na maila ode mnie, jak przyjdzie – po prostu odeślij z treścią TAK i gotowe. W najbliższych tygodniach sprawdzę i załatam Twoją stronę.
źródła: