W WordPressie ujawniono właśnie dwie poważne podatności typu SQL Injection. Najgroźniejsza z nich pozwala w skrajnym przypadku na zdalne wykonanie kodu – czyli w praktyce na przejęcie strony przez atakującego. Bez logowania, bez żadnej wtyczki, na czystej instalacji WordPressa.
Poprawka już jest. Pytanie tylko, czy na Twoich stronach faktycznie się zainstalowała.
17 lipca 2026 zespół WordPressa wydał aktualizację bezpieczeństwa, która łata dwie luki w samym rdzeniu:
CVE-2026-63030 (krytyczna) – SQL Injection prowadzące do zdalnego wykonania kodu (RCE). Atakujący nie potrzebuje konta na stronie ani żadnej podatnej wtyczki. Badacze nazwali tę lukę „wp2shell”. Podatne wersje: 6.9.0–6.9.4 oraz 7.0.0–7.0.1.
CVE-2026-60137 (wysoka) – SQL Injection pozwalająca na nieuprawniony odczyt danych z bazy strony. Podatne wersje: 6.8.0–6.8.5, 6.9.0–6.9.4 oraz 7.0.0–7.0.1.
Co oznacza przejęcie strony w praktyce? Podmienione treści, wstrzyknięte przekierowania na spamerskie strony, wykradziona konfiguracja, nowe konto administratora albo backdoor, który zostaje na miesiące. Czyli wszystko to, czego nie chcesz tłumaczyć klientce w poniedziałek rano.
Techniczne szczegóły ataku i kod proof-of-concept są już publicznie dostępne. To znaczy, że masowe skanowanie podatnych stron to kwestia dni, nie tygodni.
Wersje starsze niż 6.8 nie są dotknięte tymi konkretnymi lukami – ale jeśli masz stronę na WordPressie sprzed 6.8, to problem nadal istnieje – bieżące aktualizacje zwiększają bezpieczeństwo Twojej strony.
Twórcy WordPressa rozsyłają automatyczne aktualizacje bezpieczeństwa – przy tej luce włączyli je nawet wymuszenie, bo sprawa jest poważna. Ale na wielu stronach automatyczne aktualizacje są wyłączone lub zablokowane przez konfigurację.
Wystarczy jedna linijka w wp-config.php (DISALLOW_FILE_MODS, AUTOMATIC_UPDATER_DISABLED), wtyczka „optymalizująca”, która wyłączyła aktualizacje w tle, hosting z własnym systemem zarządzania albo poprzedni wykonawca, który coś kiedyś „usprawnił”. Strona wygląda normalnie, a aktualizacje po cichu nie działają od miesięcy.
Dlatego jeśli:
SPRAWDŹ, czy ta aktualizacja się zrobiła. Nie zakładaj. Sprawdź.
wp core version powie Ci to samo w dwie sekundy – przydatne, gdy stron jest kilkanaście.I ważne: sprawdź każdą stronę osobno. Produkcyjną, testową, zapomnianą subdomenę z wersją demo sprzed dwóch lat. Atakujących nie obchodzi, że o niej nie pamiętasz.
Ta sytuacja to dobry moment, żeby raz na zawsze ustalić, kto odpowiada za aktualizacje Twoich stron. Bo „chyba robią się same” to nie jest odpowiedź – to jest właśnie ten stan, w którym strony wiszą na podatnej wersji tygodniami.
Prześlij ten artykuł komuś, komu ta informacja się przyda. Serio – jedna wiadomość może komuś oszczędzić przejętej strony.
Ps. Chcesz wiedzieć więcej o WordPressie i o tym jak tworzyć funkcjonalne, czytelne i skuteczne strony WWW – z przemyślaną architekturą, dobrą obsługą klienta i sprawdzonym procesem współpracy? Nauczę Cię tego!
Ps. Chcesz wiedzieć więcej o WordPressie i o tym jak tworzyć funkcjonalne, czytelne i skuteczne strony WWW – z przemyślaną architekturą, dobrą obsługą klienta i sprawdzonym procesem współpracy? Nauczę Cię tego!
Sprawdź kurs WordPressPLUS w którym daję Ci wiedzę nie tylko o samym WordPressie, ale także o strategii planowania strony, rozwiewam wątpliwości o technikaliach i pokazuję, jak wygląda proces pracy z klientem! A nawet dam Ci swoją własną checklistę podsumowującą pracę!
