Dnia 6 sierpnia 2026 roku oficjalnie zadebiutował WordPress 7.0.3. Choć zmiana numeracji wydaje się kosmetyczna, w świecie cyberbezpieczeństwa jest to jedno z tych wydań, których nie wolno pod żadnym pozorem zignorować. Aktualizacja nie dostarcza nowych funkcji czy ulepszeń interfejsu administratora, lecz łata aż 12 zgłoszonych luk bezpieczeństwa. Zespół ds. bezpieczeństwa rozwijający system wyraźnie zaleca natychmiastowe uaktualnienie wszystkich witryn. Dowiedz się, co dokładnie poprawiono i dlaczego musisz działać szybko!

Jakie luki załatano w WordPress 7.0.3?

Dokumentacja WordPress 7.0.3 wymienia 12 problemów bezpieczeństwa. Nie wszystkie mają ten sam poziom ryzyka i nie każda luka może zostać wykorzystana na każdej stronie. Ich różnorodność pokazuje jednak, dlaczego aktualizowanie rdzenia jest tak istotne.

• stored XSS w bloku Post Date dla użytkowników Contributor i wyższych,
• stored XSS w bloku Post Content,
• stored XSS wykorzystujący ustawienia emoji,
• stored XSS w funkcji Quick Edit na stronach z dużą liczbą użytkowników,
• reflected XSS na ekranie logowania dostępny przed uwierzytelnieniem,
• eskalacja możliwości w sieciach WordPress Multisite z włączoną rejestracją,
• SSRF w mechanizmie walidowania adresów URL,
• ujawnienie komentarzy dotyczących wpisów chronionych hasłem w bloku Latest Comments,
• możliwość enumeracji slugów wpisów,
• ujawnienie notatek w kanałach komentarzy,
• obejście mechanizmu potwierdzania adresu e-mail,
• możliwość wstrzyknięcia CSS przez użytkownika z rolą Author lub wyższą.

XSS na ekranie logowania może prowadzić do wykonania kodu PHP

Najbardziej newralgiczną łatką jest poprawka luki oznaczonej jako CVE-2026-64638 (wysoki priorytet, ocena podatności CVSS na poziomie 8.9). Jest to luka typu Reflected Cross-Site Scripting (XSS) zlokalizowana na ekranie logowania.

Co najgorsze, błąd ten występuje jeszcze przed uwierzytelnieniem (pre-authentication). Haker nie musiał więc posiadać żadnego konta na Twoim blogu czy sklepie – wystarczyło skłonienie administratora (np. poprzez socjotechnikę i fałszywą wiadomość) do kliknięcia w odpowiednio spreparowany link kontrolowany przez agresora. Potencjalnie mogło to prowadzić nawet do wykonania złośliwego kodu PHP na serwerze.

Stored XSS ma znaczenie szczególnie w serwisach z większym zespołem

Cztery spośród usuniętych problemów dotyczą stored XSS dostępnego dla użytkowników posiadających co najmniej rolę Contributor. Jeżeli na Twojej stronie działa wielu autorów, redaktorów, pracowników, klientów lub zewnętrznych współpracowników, poprawki te są szczególnie istotne.

Stored XSS polega na zapisaniu szkodliwej treści w serwisie, aby została później wykonana w przeglądarce innej osoby. Dlatego bezpieczeństwo WordPressa powinno obejmować nie tylko silne hasło administratora, lecz także rozsądny podział ról i ograniczanie uprawnień użytkowników do minimum potrzebnego do pracy.

SSRF i WordPress Multisite

WordPress 7.0.3 usuwa również podatność SSRF w walidacji adresów URL. Pozwalała ona na kierowanie żądań wykonywanych przez serwer do zakresów link-local. Przy SSRF atakujący próbuje wykorzystać sam serwer aplikacji jako pośrednika do komunikacji z zasobami, które normalnie nie są bezpośrednio dostępne z internetu.

Osobna poprawka dotyczy WordPress Multisite z włączoną rejestracją użytkowników. Problem pozwalał użytkownikowi utworzyć nową witrynę w sytuacji, w której nie powinien mieć takiej możliwości. Jeśli zarządzasz siecią stron, ta poprawka powinna znaleźć się wysoko na Twojej liście priorytetów.

Które wersje WordPressa trzeba zaktualizować?

Jeżeli korzystasz z gałęzi WordPress 7.0, poprawioną wersją jest 7.0.3. Podatność na ekranie logowania obejmuje wydania od 7.0.0 do 7.0.2.

Poprawki bezpieczeństwa trafiły także do starszych obsługiwanych gałęzi. Przykładowo WordPress 6.9 otrzymał wersję 6.9.6, 6.8 wersję 6.8.7, a 6.7 wersję 6.7.6. Backporty przygotowano aż do gałęzi WordPress 4.7. Wersje 4.6 i wcześniejsze nie otrzymują już takich aktualizacji bezpieczeństwa.

WordPress jednocześnie przypomina, że aktywnie wspierana jest najnowsza wersja systemu. Jeżeli działasz na starej gałęzi, instalacja backportowanej poprawki może zabezpieczyć Cię przed konkretnymi lukami, ale nie powinna zastępować planu przejścia na aktualną wersję WordPressa.

Dobra praktyka: Jeśli Twoja strona działa na bardzo starej wersji, nie rób ogromnego skoku wersji bez przygotowania. Wykonaj backup, przygotuj środowisko testowe i zweryfikuj kompatybilność PHP, motywu, wtyczek oraz własnych modyfikacji.

Jak bezpiecznie dbać o system? 5 przydatnych porad

Nie zostawiaj bezpieczeństwa swojej strony internetowej przypadkowi. Wdrożenie profilaktyki zapobiega kosztownym i stresującym problemom. Oto sprawdzone kroki, które pozwolą Ci spać spokojnie.

1. Zawsze twórz kopię zapasową przed aktualizacją

Niezależnie od tego, czy to duże wydanie, czy szybka poprawka zabezpieczeń – regularny backup to absolutna podstawa. Zanim naciśniesz przycisk aktualizacji w kokpicie, upewnij się, że masz świeżą kopię plików i bazy danych SQL. Jeśli korzystasz z zewnętrznych wtyczek lub chcesz zrobić to w 100% samodzielnie, sprawdź nasz dedykowany poradnik: Jak bezpiecznie wykonać aktualizację WordPress.

2. Postaw na bezpieczny hosting

Fundamentem każdej dobrze działającej i odpornej na masowe ataki witryny jest środowisko serwerowe. Mechanizmy takie jak zaawansowany WAF (Web Application Firewall), izolacja procesów, rutynowe backupy po stronie serwera czy filtry antyspamowe drastycznie zwiększają bezpieczeństwo. Jeśli zależy Ci na spokoju ducha, wybierz usługę hostingu WordPress. To wydajna przestrzeń stworzona do bezproblemowej i szybkiej obsługi tego systemu CMS.

3. Wdrażaj updaty z głową – proces krok po kroku

Dla wielu właścicieli mniejszych stron aktualizacje rdzenia mogą być powodem do stresu (zwłaszcza przy mocno obciążonym wtyczkami WooCommerce). Warto robić to spokojnie i w odpowiedniej kolejności. Zacznij od wtyczek, zaktualizuj motywy, a na koniec rdzeń WP.

4. Wzmocnij formularz i ekran logowania

Najgroźniejsza z luk (CVE-2026-64638) w wydaniu 7.0.3 celowała prosto w stronę logowania. Oczywiście aktualizacja niweluje ten konkretny wektor ataku, ale warto pójść krok dalej. Zmiana domyślnego adresu URL z /wp-admin na własny, niestandardowy link skutecznie odetnie automatyczne boty skanujące sieć. Przeczytaj, jak skutecznie zabezpieczyć stronę logowania w WP za pomocą zaledwie kilku kliknięć.

5. Zainstaluj wtyczkę ochronną (Firewall/Security)

Nawet najszybciej instalowane łatki nie uchronią Cię m.in. przed atakami słownikowymi lub DDoS. Aby proaktywnie odpierać złośliwy ruch lub skany malware z zewnątrz, potrzebujesz dobrego strażnika. Sprawdź jak możesz dodatkowo zabezpieczyć swojego WordPressa.

Nie zwlekaj i zachowaj czujność! Bezpieczny i uaktualniony ekosystem to pewność, że ciężka praca, jaką włożono w rozbudowę zawartości strony, jest odpowiednio i mądrze zabezpieczona.

A jeśli zależy Ci na środowisku dopasowanym do WordPressa, z ochroną WAF oraz regularnymi kopiami danych, sprawdź ofertę Zenbox.