3 listopada 2026 r. amerykańska agencja CISA dopisała lukę CVE-2026-119977 w WordPressie do katalogu luk aktywnie wykorzystywanych w atakach. To nie jest błąd w żadnej wtyczce, tylko w samym rdzeniu WordPressa, więc dotyczy praktycznie każdej strony, która nie ma jeszcze wersji 7.1.4. Wyjaśniam, na czym polega i co sprawdzić.
Na czym polega luka?
To tak zwany „wyścig” (ang. race condition). Gdy WordPress aktualizuje się do nowej wersji, rozpakowuje nowe pliki do przewidywalnego katalogu w wp-content/upgrade, a dopiero potem przenosi je na miejsce. Przez tych kilka sekund atakujący, bez logowania, może podrzucić w to miejsce własny plik, który instalator potraktuje jak swój. Efekt: obcy kod na serwerze, czyli w praktyce przejęcie strony.
Paradoks polega na tym, że luka „otwiera się” właśnie podczas aktualizacji, czyli czynności, która ma stronę chronić. Atakujący musi trafić w krótkie okno czasowe, dlatego ocena to 8,1 na 10, a nie maksymalne 10. Mimo to ataki już trwają: według Wordfence pierwsza próba pojawiła się 9 minut po wdrożeniu reguły ochronnej, a w ciągu doby zablokowano ponad 60 tysięcy prób. To próby, nie potwierdzone włamania, ale pokazują, że boty skanują strony masowo.
Kogo dotyczy?
- Podatne są wersje WordPressa od 4.7 do 7.1.3.
- Poprawka jest w WordPressie 7.1.4 (wydanym 28 października 2026 r.), a dla starszych gałęzi m.in. w wersjach 7.0.8, 6.9.11 i 6.8.12.
- Strony na WordPressie 4.6 i starszym poprawki nie dostaną. Takie strony trzeba przenieść na aktualną wersję.
Co zrobić?
- Wejść w Kokpit → Aktualizacje i sprawdzić numer wersji. Powinno być 7.1.4 albo poprawiona wersja starszej gałęzi. Nie warto zakładać, że automatyczna aktualizacja się udała, bo czasem blokuje ją hosting, wtyczka albo uprawnienia do plików.
- Jeśli strona stoi na starym WordPressie, którego nikt nie aktualizuje, zająć się tym teraz. Taka strona jest dla botów łatwym celem.
- Jeśli coś budzi podejrzenia: przejrzeć listę administratorów, zainstalowane wtyczki i pliki PHP w katalogu
wp-content/upgrade. Nowe, nieznane konto administratora to sygnał alarmowy. - Dodatkowo można zablokować publiczny dostęp do
wp-content/upgrade/w konfiguracji serwera. To jednak tylko dodatkowe zabezpieczenie, nie zamiennik aktualizacji, i najlepiej przetestować je najpierw na kopii strony.
Uwaga dla osób, które polegają na darmowej wersji wtyczki Wordfence: reguła chroniąca przed tą luką trafi do niej z opóźnieniem (według Wordfence 27 listopada). Wtyczka bezpieczeństwa nie zastąpi więc aktualizacji.
Nie masz pewności, czy Twoja strona jest zaktualizowana i czysta? Zrobię audyt bezpieczeństwa (od 200 zł netto): sprawdzę wersję WordPressa, wtyczki, konta i pliki na serwerze. Jeśli strona już została zainfekowana, usunę infekcję (od 500 zł netto). Napisz do mnie.