Krytyczna luka w rdzeniu WordPressa: co zrobić po wydaniu wersji 7.1.2

Spis treści

1. Czy to dotyczy Twojej strony?
2. Dlaczego nie każda strona zaktualizuje się sama?
3. Co zrobić teraz?
4. Rdzeń to nie jedyne słabe ogniwo
5. Źródła

Według komunikatu zespołu WordPressa osoba bez konta na stronie może w określonych warunkach sprawić, że system załaduje wybrany plik PHP z serwera, spoza katalogów aktywnego motywu. Gdy po stronie serwera i motywu spełnione są dodatkowe warunki, może to prowadzić do uruchomienia obcego kodu na stronie. Zespół WordPressa uznał tę lukę za krytyczną.

Wersja z poprawką

7.1.2, wydana 22 września 2026

Waga

Krytyczna, według oceny zespołu WordPressa

Kogo dotyczy

Strony na WordPressie bez tej poprawki. Poprawkę przeniesiono też do starszych gałęzi objętych aktualizacjami bezpieczeństwa

Aktualizacja automatyczna

Nie jest wymuszona. Same aktualizują się strony, które mają włączone aktualizacje w tle

Źródło

wordpress.org, WordPress 7.1.2 Release

Czy to dotyczy Twojej strony?

Jeśli Twoja strona lub sklep działa na WordPressie i nie ma tej poprawki, tak. Wersję zobaczysz w panelu administracyjnym: w Kokpicie, w zakładce Aktualizacje, oraz w prawym dolnym rogu panelu.

Warto też wiedzieć, że od 6 października jest dostępna wersja 7.1.3. Zawiera siedem poprawek bezpieczeństwa i cztery poprawki błędów, więc celem jest najnowsza wersja, a nie sama 7.1.2.

Dlaczego nie każda strona zaktualizuje się sama?

Zespół WordPressa nie wymusił tej aktualizacji. Same zaktualizują się tylko strony, które mają włączone automatyczne aktualizacje w tle, pozostałe trzeba zaktualizować ręcznie. Zdarza się, że właściciele wyłączają je celowo, bo boją się, że aktualizacja zepsuje działający sklep. Wtedy luka zostaje otwarta tak długo, aż ktoś o niej przypomni.

Co zrobić teraz?

1. Zrób kopię zapasową plików i bazy danych, zanim cokolwiek zmienisz.
2. Zaktualizuj rdzeń WordPressa do najnowszej dostępnej wersji.
3. Zaktualizuj też wtyczki i motyw. Rdzeń to tylko jedna z dróg, którymi wchodzi atakujący.
4. Usuń wtyczki i motywy, których nie używasz. Każdy dodatkowy element to kolejne miejsce na lukę.
5. Sprawdź, czy nie ma objawów wirusa, jeśli strona była bez poprawki dłuższy czas. Lista objawów jest w artykule Jak rozpoznać wirusa na stronie lub w sklepie.

Rdzeń to nie jedyne słabe ogniwo

Luki w samym rdzeniu WordPressa zdarzają się rzadko, a większość problemów leży gdzie indziej. Według raportu Patchstack za 2025 rok 91% nowych podatności w ekosystemie WordPressa dotyczyło wtyczek. W rdzeniu systemu było ich 6 na 11 334, a niemal połowa (46%) nie doczekała się poprawki przed publicznym ujawnieniem.

Dlatego dobra opieka nad stroną to nie jednorazowa aktualizacja po głośnej wiadomości, tylko stałe pilnowanie rdzenia, wtyczek i motywu. Jeśli chcesz wiedzieć, w jakim stanie jest Twoja strona, pomoże audyt bezpieczeństwa strony lub sklepu.

Źródła

1. WordPress 7.1.2 Release, wordpress.org, 22.09.2026.
2. Wydania bezpieczeństwa WordPressa, wordpress.org (lista wydań, w tym 7.1.3 z 6.10.2026).
3. State of WordPress Security in 2026, Patchstack.