W WordPressie ujawniono właśnie dwie poważne podatności typu SQL Injection. Najgroźniejsza z nich pozwala w skrajnym przypadku na zdalne wykonanie kodu – czyli w praktyce na przejęcie strony przez atakującego. Bez logowania, bez żadnej wtyczki, na czystej instalacji WordPressa.
Poprawka już jest. Pytanie tylko, czy na Twoich stronach faktycznie się zainstalowała.
O co chodzi
17 lipca 2026 zespół WordPressa wydał aktualizację bezpieczeństwa, która łata dwie luki w samym rdzeniu:
CVE-2026-63030 (krytyczna) – SQL Injection prowadzące do zdalnego wykonania kodu (RCE). Atakujący nie potrzebuje konta na stronie ani żadnej podatnej wtyczki. Badacze nazwali tę lukę „wp2shell”. Podatne wersje: 6.9.0–6.9.4 oraz 7.0.0–7.0.1.
CVE-2026-60137 (wysoka) – SQL Injection pozwalająca na nieuprawniony odczyt danych z bazy strony. Podatne wersje: 6.8.0–6.8.5, 6.9.0–6.9.4 oraz 7.0.0–7.0.1.
Co oznacza przejęcie strony w praktyce? Podmienione treści, wstrzyknięte przekierowania na spamerskie strony, wykradziona konfiguracja, nowe konto administratora albo backdoor, który zostaje na miesiące. Czyli wszystko to, czego nie chcesz tłumaczyć klientce w poniedziałek rano.
Techniczne szczegóły ataku i kod proof-of-concept są już publicznie dostępne. To znaczy, że masowe skanowanie podatnych stron to kwestia dni, nie tygodni.
Poprawka jest już dostępna. Zaktualizuj do 7.0.2
Wersje starsze niż 6.8 nie są dotknięte tymi konkretnymi lukami – ale jeśli masz stronę na WordPressie sprzed 6.8, to problem nadal istnieje – bieżące aktualizacje zwiększają bezpieczeństwo Twojej strony.
„Przecież WordPress aktualizuje się sam”
Twórcy WordPressa rozsyłają automatyczne aktualizacje bezpieczeństwa – przy tej luce włączyli je nawet wymuszenie, bo sprawa jest poważna. Ale na wielu stronach automatyczne aktualizacje są wyłączone lub zablokowane przez konfigurację.
Wystarczy jedna linijka w wp-config.php (DISALLOW_FILE_MODS, AUTOMATIC_UPDATER_DISABLED), wtyczka „optymalizująca”, która wyłączyła aktualizacje w tle, hosting z własnym systemem zarządzania albo poprzedni wykonawca, który coś kiedyś „usprawnił”. Strona wygląda normalnie, a aktualizacje po cichu nie działają od miesięcy.
Dlatego jeśli:
- masz pod opieką strony klientów,
- niedawno przejęłaś strony po kimś innym,
- masz swoją stronę lub kilka, które dawno nie były aktualizowane,
SPRAWDŹ, czy ta aktualizacja się zrobiła. Nie zakładaj. Sprawdź.
Jak sprawdzić w 30 sekund
- Zaloguj się do kokpitu i wejdź w Kokpit → Aktualizacje. Zobaczysz tam numer zainstalowanej wersji.
- Jeśli widzisz 7.0.2 jest ok.
- Jeśli widzisz cokolwiek z zakresu 6.8.0–6.8.5, 6.9.0–6.9.4 albo 7.0.0–7.0.1 – zaktualizuj teraz, nie po weekendzie.
- Masz dostęp przez WP-CLI?
wp core versionpowie Ci to samo w dwie sekundy – przydatne, gdy stron jest kilkanaście.
I ważne: sprawdź każdą stronę osobno. Produkcyjną, testową, zapomnianą subdomenę z wersją demo sprzed dwóch lat. Atakujących nie obchodzi, że o niej nie pamiętasz.
Update:
Wersja 7.0.3 dostępna – zaktualizuj swojego WordPressa ponownie. Ta wersja naprawia:
- podatności, które mogły pozwolić na uruchomienie niebezpiecznego kodu na stronie logowania,
- kilka luk umożliwiających wstrzyknięcie szkodliwego kodu do treści i elementów strony,
- problemy związane z funkcją szybkiej edycji stron przy dużej liczbie użytkowników,
- błąd pozwalający na uzyskanie zbyt szerokich uprawnień w sieci wielu witryn,
- problem z ujawnianiem treści komentarzy przy wpisach chronionych hasłem,
- możliwość ujawnienia dodatkowych informacji za pośrednictwem komentarzy,
- błąd związany z informacjami wyświetlanymi w kanałach komentarzy,
- lukę pozwalającą na dodanie niepożądanego kodu do wyglądu strony,
- problem z procesem potwierdzania adresu e-mail,
- lukę umożliwiającą wykorzystanie strony do wykonywania niepożądanych połączeń z innymi adresami.
Wersja 7.0.4 dostępna – zaktualizuj swojego WordPressa ponownie.
Ta wersja naprawia uwierzytelnione zdalne wykonywanie kodu Author+ za pomocą złośliwego przesyłania plików w witrynach, które używają Imagick i Ghostscript.
Na koniec
Ta sytuacja to dobry moment, żeby raz na zawsze ustalić, kto odpowiada za aktualizacje Twoich stron. Bo „chyba robią się same” to nie jest odpowiedź – to jest właśnie ten stan, w którym strony wiszą na podatnej wersji tygodniami.
Prześlij ten artykuł komuś, komu ta informacja się przyda. Serio – jedna wiadomość może komuś oszczędzić przejętej strony.
