Eksperci z CERT Polska ostrzegają przed krytyczną luką w WordPressie, która pozwala hakerom przejąć kontrolę nad stroną bez konieczności logowania. Ataki są już prowadzone, a publiczne exploity trafiły do sieci. Sprawdź, czy twoja strona jest bezpieczna, zanim padniesz ofiarą.
Dlaczego ta luka jest tak groźna?
Luka oznaczona CVE-2026-63030 (nazwana „wp2shell”) umożliwia zdalne wykonanie kodu bez uwierzytelniania. Oznacza to, że haker nie potrzebuje hasła ani konta administratora, by przejąć witrynę. Wystarczy, że serwer korzysta z podatnej wersji WordPressa. Co więcej, atakujący nie musi mieć zainstalowanych żadnych wtyczek ani niestandardowej konfiguracji – zagrożone są nawet domyślne instalacje. Druga luka (CVE-2026-60137) to SQL injection, która pozwala na kradzież danych z bazy. CERT Polska podkreśla, że spodziewa się masowego wykorzystania tych podatności w najbliższych godzinach.
Które wersje WordPressa są zagrożone?
Pierwsza luka (RCE) dotyczy wersji: WordPress 6.9.0-6.9.4 oraz 7.0.0-7.0.1. Druga (SQL injection) występuje także w starszej gałęzi: 6.8.0-6.8.5. Jeśli używasz którejkolwiek z tych wersji, twoja strona jest bezpośrednio narażona na przejęcie. Publiczne exploity są już dostępne, co oznacza, że nawet mniej zaawansowani hakerzy mogą przeprowadzić atak.
Jak się zabezpieczyć? Dwa proste kroki
WordPress.org uruchomił wymuszone aktualizacje za pośrednictwem automatycznego mechanizmu, ale – jak ostrzega CERT – nie zawsze działają one poprawnie. Dlatego samodzielnie sprawdź, czy twoja strona została zaktualizowana do bezpiecznej wersji:
- Gałąź 6.8 → 6.8.6
- Gałąź 6.9 → 6.9.5
- Gałąź 7.0 → 7.0.2
- Gałąź 7.1 → 7.1 beta2
Jeśli nie możesz natychmiast zaktualizować, tymczasowym rozwiązaniem jest zablokowanie dostępu do REST API – na przykład za pomocą wtyczki lub reguły WAF na ścieżce /wp-json/batch/v1 oraz parametru ?rest_route=/batch/v1. Pamiętaj jednak, że może to zakłócić działanie niektórych funkcji serwisu.
Co zrobić, jeśli nie aktualizowałeś od dawna?
Jeśli nie pamiętasz, jaką masz wersję WordPressa, zaloguj się do panelu administracyjnego i sprawdź w sekcji „Aktualizacje”. W przypadku braku dostępu do panelu skontaktuj się z hostingiem. Nie zwlekaj – ataki mogą nastąpić w każdej chwili. Zaniedbanie aktualizacji grozi nie tylko utratą strony, ale także kradzieżą danych odwiedzających, co może mieć poważne konsekwencje prawne i finansowe.
Pamiętaj: jedynym pełnym zabezpieczeniem jest aktualizacja do najnowszej dostępnej wersji. Tymczasowe blokady API to tylko plaster na ranę. Działaj teraz, zanim hakerzy wykorzystają twoją stronę do rozsyłania malware, wyłudzeń lub kradzieży tożsamości.
