1. WordPress 7.1.4: wydanie bezpieczeństwa, aktualizuj od razu
28 października wyszedł WordPress 7.1.4. To wydanie wyłącznie bezpieczeństwa: łata kilkanaście problemów, w tym:
- słabość w procesie aktualizacji, która może prowadzić do zdalnego wykonania kodu w trakcie aktualizacji,
- serię luk typu stored XSS (bloki, Interactivity API, Customizer, loginy użytkowników),
- wyciek niepublikowanych zmian z Customizera do niezalogowanych użytkowników.
Poprawki są przenoszone także do starszych gałęzi, aż do 4.7 (według zespołu WordPressa backporty trafiają tam stopniowo). Zespół WordPressa pisze wprost, że aktywnie wspierana jest tylko najnowsza wersja.
Co to znaczy dla Twojej strony: jeśli masz włączone automatyczne aktualizacje drobnych wersji, strona powinna zaktualizować się sama. Sprawdź to w Kokpit → Aktualizacje. Jeśli auto-aktualizacje są wyłączone (często robią to page buildery albo hosting), zaktualizuj ręcznie, po zrobieniu kopii zapasowej.
2. Krytyczna luka w PHP (CVE-2026-109618): już wykorzystywana
21 października PHP wydał awaryjne poprawki 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Usuwają dwie luki, CVE-2026-109618 i CVE-2026-109619, które pozwalają na zdalne wykonanie kodu bez logowania (CVSS v4.0: 9.2). Szczegóły wyciekły dzień przed planowaną publikacją. Według watchTowr ataki zaczęły się tego samego dnia, a 26 października CISA dopisała CVE-2026-109618 do katalogu aktywnie wykorzystywanych podatności (KEV). Badacze nazwali tę parę luk „PHP2Shell”.
Według zespołu PHP żadna zmiana konfiguracji nie zabezpiecza w pełni, jedynym rozwiązaniem jest aktualizacja.
Co to znaczy dla Twojej strony: tu aktualny WordPress nie pomoże. Luka siedzi poziom niżej, w PHP na serwerze. Wersję PHP sprawdzisz w Narzędzia → Kondycja witryny → Informacje → Serwer. Hostingi często łatają PHP bez zmiany numeru wersji, więc najpewniej będzie zapytać supportu, czy poprawki z 21 października są wdrożone. PHP 8.1 i starsze nie dostaną już oficjalnych poprawek, więc jeśli Twoja strona na nich działa, to ostatni dzwonek na migrację. Przy okazji: PHP 8.2 traci wsparcie 31 grudnia 2026.
3. Okno na aktualizację to już nie tygodnie, tylko godziny
Według raportu Patchstack „State of WordPress Security in 2026″ w przypadku najczęściej atakowanych luk w WordPressie mediana czasu do masowego wykorzystania wynosiła 5 godzin. Ciekawostka: jedną z luk załatanych w WordPressie 7.1.4 (stored XSS w żądaniach usunięcia danych osobowych) zgłosił Anthropic, twórca modeli AI Claude. AI pracuje dziś po obu stronach.
Co to znaczy dla Twojej strony: „zaktualizuję w przyszłym tygodniu” przestaje być bezpieczną strategią. Jak ograniczyć ryzyko, zanim zdążysz zaktualizować, opisaliśmy w tekście Jak zabezpieczyć stronę na WordPressie.
Porada tygodnia: sprawdź, kto aktualizuje Twoją stronę
Zrób dziś 5-minutowy test:
- Zaloguj się do panelu i sprawdź wersję WordPressa: czy to 7.1.4 lub nowsza?
- W Kondycji witryny sprawdź wersję PHP.
- Zobacz, kiedy ostatnio aktualizowano wtyczki.
Jeśli na którekolwiek pytanie odpowiedź brzmi „nie wiem” albo „dawno”, to znak, że nikt tego realnie nie pilnuje. A jeśli podejrzewasz, że ktoś już wykorzystał lukę, przejdź do instrukcji WordPress zhakowany – co robić krok po kroku.
W przyszłym tygodniu: AI a branża WordPress
Tematy z tego numeru łączą się w większy obraz. AI przyspiesza pracę programistów i może obniżyć koszty dla klientów, ale tak samo przyspiesza atakujących. W przyszły piątek opublikujemy dłuższy tekst o tym, jak AI zmienia branżę WordPress i co to oznacza dla właścicieli stron.
Nie chcesz pilnować tego sam?
Pakiety stałej opieki WordPress
Wybierz poziom wsparcia dopasowany do Twoich potrzeb
Wszyscy klienci pakietów opieki otrzymują nawet do 150 zł zniżki na każdą godzinę konsultacji miesięcznie – dodatkowe wsparcie i doradztwo w preferencyjnej cenie.
