Od kilkunastu lat robimy wyłącznie WordPressa i dawno nie widzieliśmy zmiany, która tak szybko przestawia całą branżę. Sztuczna inteligencja pisze kod, przegląda go, pomaga w migracjach i w dokumentacji. Dla programistów to najlepsze narzędzie od lat. Dla klientów może oznaczać szybsze i tańsze wdrożenia.
Jest jednak druga strona. Te same narzędzia trafiły do rąk ludzi, którzy szukają dziur w stronach. A dziur do znalezienia jest w ekosystemie WordPressa bardzo dużo.
W tym artykule opisujemy obie strony: co AI daje, co odbiera i co z tego wynika dla właściciela strony albo sklepu.
W skrócie: AI przyspiesza tworzenie i utrzymanie stron WordPress, co może obniżyć koszty dla klientów. Jednocześnie ułatwia atakującym znajdowanie luk: w 2025 roku wykryto 11 334 nowe podatności w ekosystemie WordPressa (+42% rok do roku, według Patchstacka), a najczęściej atakowane luki były masowo wykorzystywane po medianie 5 godzin. Dla właściciela strony oznacza to jedno: poprawki bezpieczeństwa trzeba wdrażać w ciągu godzin, nie tygodni.
Co AI zmienia w pracy programisty WordPress
Szybsze pisanie kodu
Rzeczy, które kiedyś zajmowały dzień, np. nowa sekcja strony, integracja z systemem kuriera czy prosta wtyczka, dziś z pomocą AI powstają w kilka godzin. Doświadczony programista nie musi przekopywać dokumentacji przy każdej drobnej rzeczy. Opisuje, czego potrzebuje, dostaje szkic, poprawia go i testuje.
Kluczowe jest słowo „doświadczony”. AI pisze kod przekonujący, ale nie zawsze poprawny. Ktoś, kto wie, jak zabezpieczyć formularze i dane przed atakiem, wyłapie problemy w kilka sekund. Ktoś bez tej wiedzy wdroży je na produkcję.
Code review i szukanie błędów
AI dobrze sprawdza się jako druga para oczu. Przegląda zmiany, wskazuje brakujące zabezpieczenia, niebezpieczne zapytania SQL, nieobsłużone przypadki brzegowe. Nie zastępuje ludzkiego review, ale sprawia, że więcej błędów wyłapujemy przed wdrożeniem, a nie po.
Migracje i praca ze starym kodem
Przejęcie strony po innym wykonawcy to często godziny analizy cudzego, nieudokumentowanego kodu. AI skraca to drastycznie: streszcza, co robi dany plik, wskazuje zależności, pomaga przepisać przestarzałe fragmenty pod nowsze PHP. To samo przy migracjach, np. z PrestaShop na WooCommerce, gdzie trzeba mapować dane i przepisywać logikę.
Dokumentacja i testy
Rzeczy, na które zwykle „nie było czasu”, czyli testy, dokumentacja techniczna i changelogi, przestają być kosztowne. To przekłada się na jakość: kod z testami łatwiej bezpiecznie aktualizować.
Co to daje klientom
Szybciej i potencjalnie taniej
Jeśli programista robi to samo w krótszym czasie, część tej oszczędności może trafić do klienta: krótsze terminy, niższe koszty drobnych modyfikacji, opłacalność rzeczy, które wcześniej były „za drogie, żeby się tym zajmować”.
Rozwiązania szyte na miarę stają się bardziej dostępne. Zamiast instalować ciężką wtyczkę, która robi 50 rzeczy i spowalnia stronę, z czego potrzebujesz jednej, coraz częściej opłaca się napisać lekki, dedykowany kod.
Ale: „zrobię to sam z ChatGPT” ma swoją cenę
AI daje też właścicielom stron złudzenie, że programista nie jest potrzebny. Łatwo jest wkleić do pliku functions.php kod podpowiedziany przez czatbota. Trudniej ocenić, czy ten kod nie otwiera strony na atak, nie spowalnia jej i nie wysypie się przy następnej aktualizacji.
Widzimy to coraz częściej przy przejmowaniu stron: fragmenty kodu z AI bez walidacji danych, bez sprawdzania uprawnień, z zapytaniami do bazy podatnymi na SQL injection. Działają, dopóki ktoś ich nie znajdzie.
Jak AI pomaga atakującym strony WordPress
Więcej znalezionych dziur
Ekosystem WordPressa to dziesiątki tysięcy wtyczek i motywów. Wiele z nich ma kilkuset albo kilka tysięcy instalacji i rozwija je jedna osoba po godzinach. Przez lata takie wtyczki były w praktyce „bezpieczne przez zapomnienie”: nikt nie miał czasu ani motywacji, żeby ręcznie przeglądać ich kod w poszukiwaniu luk. Nagroda była za mała w stosunku do wysiłku.
AI zmienia tę ekonomię. Analiza kodu niszowej wtyczki, która kiedyś zajmowała badaczowi godziny, dziś może być w dużej mierze zautomatyzowana. Skoro koszt znalezienia luki spada, opłaca się szukać także tam, gdzie wcześniej nikt nie zaglądał.
Skalę problemu dobrze widać w liczbach. Według raportu Patchstack „State of WordPress Security in 2026″:
- w 2025 roku w ekosystemie WordPressa wykryto 11 334 nowe podatności, o 42% więcej niż w 2024,
- 91% z nich dotyczyło wtyczek, 9% motywów,
- 46% luk nie miało poprawki od autora w momencie publicznego ujawnienia.
Patchstack pisze też wprost, że atakujący dostają narzędzia AI coraz lepiej radzące sobie z samodzielnym znajdowaniem i wykorzystywaniem podatności. Jednocześnie zauważa, że te same narzędzia ma do dyspozycji strona broniąca się.
Masowe skanowanie botami
Atak na stronę WordPress rzadko jest osobisty. W praktyce działa to tak: pojawia się informacja o luce w popularnej (albo nawet niszowej) wtyczce, a automaty zaczynają skanować internet w poszukiwaniu stron z podatną wersją. Twoja strona nie musi być „ciekawa”. Wystarczy, że ma zainstalowaną wtyczkę w złej wersji.
AI przyspiesza każdy etap tego procesu: od analizy opublikowanej poprawki („co dokładnie zmieniono, więc gdzie była dziura?”), przez napisanie działającego exploita, po automatyzację ataku na skalę.
Okno na aktualizację: godziny, nie tygodnie
To najważniejsza zmiana dla właścicieli stron. Według Patchstacka w przypadku najczęściej atakowanych luk mediana czasu do masowego wykorzystania wynosiła 5 godzin, a mniej więcej połowa luk o dużym znaczeniu była atakowana w ciągu 24 godzin.
Dobrze widać to na przykładzie z października 2026. 21 października PHP wydał awaryjne poprawki dwóch krytycznych luk (CVE-2026-109618 i CVE-2026-109619) pozwalających na zdalne wykonanie kodu bez logowania. Według watchTowr pierwsze ataki zaobserwowano tego samego dnia. Zespół PHP podkreślał, że nie ma pełnego obejścia, a jedynym bezpiecznym wyjściem jest aktualizacja.
W praktyce każda poprawka bezpieczeństwa staje się aktualizacją „na dzień zero”: trzeba ją wdrożyć w dniu publikacji, bo atak może zacząć się, zanim właściciel strony w ogóle przeczyta maila z powiadomieniem. Więcej o październikowych lukach pisaliśmy w pierwszym numerze przeglądu „WordPress w tym tygodniu”.
AI pomaga też obrońcom
Żeby nie było jednostronnie: AI jest dziś także jednym z ważniejszych narzędzi do łatania dziur. W wydaniu bezpieczeństwa WordPress 7.1.4 z 28 października jedną z luk (stored XSS w żądaniach usunięcia danych osobowych) zgłosił Anthropic, firma rozwijająca modele AI Claude.
Problem w tym, że obrona działa tylko wtedy, gdy poprawka faktycznie trafi na Twoją stronę.
Co to oznacza dla właściciela strony WordPress
1. Aktualizacje muszą być natychmiastowe, nie „raz w miesiącu”
Model „ktoś zajrzy do panelu, jak będzie miał chwilę” przestaje wystarczać. Poprawki bezpieczeństwa rdzenia, wtyczek i PHP trzeba wdrażać w ciągu godzin od publikacji. Jak zrobić to bezpiecznie, opisaliśmy w artykule Aktualizacja WordPress krok po kroku.
2. Mniej wtyczek = mniejsza powierzchnia ataku
Każda wtyczka to potencjalny punkt wejścia, szczególnie te małe, porzucone albo rozwijane przez jedną osobę. Regularnie przeglądaj listę wtyczek. Wszystko, czego nie używasz, usuń (nie tylko dezaktywuj).
3. Pilnuj wersji PHP
Aktualny WordPress nie chroni przed lukami w PHP. Strona na PHP 8.1 albo starszym nie dostaje już oficjalnych poprawek bezpieczeństwa. PHP 8.2 traci wsparcie 31 grudnia 2026. Październikowe luki w PHP opisaliśmy w przeglądzie z 30 października.
4. WAF jako pierwsza linia obrony
Zapora aplikacyjna (WAF) na poziomie hostingu, CDN albo wtyczki potrafi zablokować znany atak, zanim zdążysz zaktualizować podatny element. To nie zastępuje aktualizacji, ale kupuje czas, gdy liczą się godziny. Pozostałe warstwy ochrony opisaliśmy w poradniku Jak zabezpieczyć stronę na WordPressie.
5. Monitoring i kopie zapasowe
Jeśli coś pójdzie nie tak, musisz się o tym dowiedzieć szybko i mieć z czego się podnieść. Monitoring dostępności i zmian w plikach plus zdalne, regularnie testowane kopie zapasowe to absolutne minimum. Więcej: Kopia zapasowa WordPress – jak i dlaczego oraz WordPress zhakowany – co robić krok po kroku.
6. Kod z AI: tylko po review
Jeśli Ty, Twój pracownik albo wykonawca korzystacie z AI do pisania kodu, nic nie trafia na produkcję bez przeglądu przez kogoś, kto rozumie bezpieczeństwo WordPressa.
Najczęściej zadawane pytania
Czy AI sprawi, że strona WordPress będzie tańsza?
Może. Programiści pracujący z AI wykonują wiele zadań szybciej, co może obniżyć koszt modyfikacji i wdrożeń. Nie zmniejsza to jednak kosztu odpowiedzialności: ktoś nadal musi zaprojektować rozwiązanie, sprawdzić kod i wziąć za niego odpowiedzialność.
Czy WordPress jest przez AI mniej bezpieczny?
Sam WordPress nie, ale zmienia się otoczenie. Luki są znajdowane i wykorzystywane szybciej. Strony aktualizowane na bieżąco są w podobnej sytuacji jak wcześniej. Strony zaniedbane są w znacznie gorszej, bo czas na reakcję skurczył się z tygodni do godzin.
Czy mogę sam pisać kod do swojej strony z pomocą ChatGPT albo innego AI?
Możesz, ale kod wygenerowany przez AI często pomija walidację danych, sprawdzanie uprawnień czy zabezpieczenie zapytań do bazy. Jeśli nie potrafisz ocenić tych elementów, zleć review komuś, kto potrafi, zanim kod trafi na stronę produkcyjną.
Jak szybko trzeba instalować poprawki bezpieczeństwa?
Najlepiej w ciągu kilku godzin od publikacji. Według Patchstacka mediana czasu do masowego wykorzystania najczęściej atakowanych luk to 5 godzin.
Czy AI zastąpi agencję WordPress?
Nie w zakresie odpowiedzialności. AI przyspiesza pisanie kodu, ale ktoś musi zaprojektować rozwiązanie, sprawdzić bezpieczeństwo, wdrożyć je i reagować na awarie.
Czy automatyczne aktualizacje wystarczą?
Pomagają, szczególnie przy drobnych wydaniach bezpieczeństwa rdzenia. Nie obejmują jednak PHP na serwerze, a automatyczne aktualizacje wtyczek bez kopii zapasowej i monitoringu mogą zepsuć stronę bez Twojej wiedzy. Najlepiej działa połączenie: automaty + kopie + monitoring + człowiek, który reaguje.
Szybkie aktualizacje to dziś podstawa bezpieczeństwa
AI to ogromna szansa dla branży WordPress i dla jej klientów. Ale skoro atakujący mają te same narzędzia, strona bez stałej opieki jest dziś bardziej narażona niż kiedykolwiek wcześniej.
W ramach stałej opieki WordPress reagujemy na poprawki bezpieczeństwa, robimy kopie zapasowe przed każdą zmianą, monitorujemy strony 24/7 i pilnujemy wersji PHP u hostingu.
Pakiety stałej opieki WordPress
Wybierz poziom wsparcia dopasowany do Twoich potrzeb
Klienci pakietów opieki płacą mniej za każdą dodatkową godzinę – zarówno za konsultacje i doradztwo, jak i za prace programistyczne. Stawka zależy od pakietu: od 150 zł/h netto zamiast 300 zł.
