Podatność w WordPressie. Zaktualizuj do 7.0.2

W WordPressie ujawniono właśnie dwie poważne podatności typu SQL Injection. Najgroźniejsza z nich pozwala w skrajnym przypadku na zdalne wykonanie kodu – czyli w praktyce na przejęcie strony przez atakującego. Bez logowania, bez żadnej wtyczki, na czystej instalacji WordPressa.

Poprawka już jest. Pytanie tylko, czy na Twoich stronach faktycznie się zainstalowała.

O co chodzi

17 lipca 2026 zespół WordPressa wydał aktualizację bezpieczeństwa, która łata dwie luki w samym rdzeniu:

CVE-2026-63030 (krytyczna) – SQL Injection prowadzące do zdalnego wykonania kodu (RCE). Atakujący nie potrzebuje konta na stronie ani żadnej podatnej wtyczki. Badacze nazwali tę lukę „wp2shell”. Podatne wersje: 6.9.0–6.9.4 oraz 7.0.0–7.0.1.

CVE-2026-60137 (wysoka) – SQL Injection pozwalająca na nieuprawniony odczyt danych z bazy strony. Podatne wersje: 6.8.0–6.8.5, 6.9.0–6.9.4 oraz 7.0.0–7.0.1.

Co oznacza przejęcie strony w praktyce? Podmienione treści, wstrzyknięte przekierowania na spamerskie strony, wykradziona konfiguracja, nowe konto administratora albo backdoor, który zostaje na miesiące. Czyli wszystko to, czego nie chcesz tłumaczyć klientce w poniedziałek rano.

Techniczne szczegóły ataku i kod proof-of-concept są już publicznie dostępne. To znaczy, że masowe skanowanie podatnych stron to kwestia dni, nie tygodni.

Poprawka jest już dostępna. Zaktualizuj do 7.0.2

Wersje starsze niż 6.8 nie są dotknięte tymi konkretnymi lukami – ale jeśli masz stronę na WordPressie sprzed 6.8, to problem nadal istnieje – bieżące aktualizacje zwiększają bezpieczeństwo Twojej strony.

„Przecież WordPress aktualizuje się sam”

Twórcy WordPressa rozsyłają automatyczne aktualizacje bezpieczeństwa – przy tej luce włączyli je nawet wymuszenie, bo sprawa jest poważna. Ale na wielu stronach automatyczne aktualizacje są wyłączone lub zablokowane przez konfigurację.

Wystarczy jedna linijka w wp-config.php (DISALLOW_FILE_MODS, AUTOMATIC_UPDATER_DISABLED), wtyczka „optymalizująca”, która wyłączyła aktualizacje w tle, hosting z własnym systemem zarządzania albo poprzedni wykonawca, który coś kiedyś „usprawnił”. Strona wygląda normalnie, a aktualizacje po cichu nie działają od miesięcy.

Dlatego jeśli:

• masz pod opieką strony klientów,
• niedawno przejęłaś strony po kimś innym,
• masz swoją stronę lub kilka, które dawno nie były aktualizowane,

SPRAWDŹ, czy ta aktualizacja się zrobiła. Nie zakładaj. Sprawdź.

Jak sprawdzić w 30 sekund

1. Zaloguj się do kokpitu i wejdź w Kokpit → Aktualizacje. Zobaczysz tam numer zainstalowanej wersji.
2. Jeśli widzisz 7.0.2 jest ok.
3. Jeśli widzisz cokolwiek z zakresu 6.8.0–6.8.5, 6.9.0–6.9.4 albo 7.0.0–7.0.1 – zaktualizuj teraz, nie po weekendzie.
4. Masz dostęp przez WP-CLI? wp core version powie Ci to samo w dwie sekundy – przydatne, gdy stron jest kilkanaście.

I ważne: sprawdź każdą stronę osobno. Produkcyjną, testową, zapomnianą subdomenę z wersją demo sprzed dwóch lat. Atakujących nie obchodzi, że o niej nie pamiętasz.

Na koniec

Ta sytuacja to dobry moment, żeby raz na zawsze ustalić, kto odpowiada za aktualizacje Twoich stron. Bo „chyba robią się same” to nie jest odpowiedź – to jest właśnie ten stan, w którym strony wiszą na podatnej wersji tygodniami.

Prześlij ten artykuł komuś, komu ta informacja się przyda. Serio – jedna wiadomość może komuś oszczędzić przejętej strony.