Is WordPress safe in 2026?

Krótka odpowiedź: WordPress może być bezpieczny, ale w 2026 roku warunek brzmi inaczej niż rok temu - ktoś musi go aktualizować w ciągu godzin, nie tygodni. Przez lata powtarzano wygodne zdanie: „rdzeń jest pilnowany, ryzyko siedzi we wtyczkach". W tym roku obie części tego zdania dostały po łapach.

Co się wydarzyło w 2026 roku

Czerwiec: sześć luk 9.8 naraz, 1,14 mln instalacji

W czerwcu jednocześnie exploitowano sześć podatności z oceną CVSS 9.8 (najwyższa praktycznie spotykana skala) w popularnych wtyczkach i motywie. Łącznie 1,14 miliona instalacji:

Wtyczka / motyw	Instalacji	Skala ataków
Breeze Cache (Cloudways)	400 000+	-
Kirki Customizer Framework	500 000 (150 000 podatnych)	-
Burst Statistics	200 000 (115 000 podatnych)	7 400+ ataków dziennie
Everest Forms Pro	4 000	29 300+ prób exploitu dziennie
WP Maps Pro	15 800	3 600+ ataków dziennie
Motors (motyw)	22 000	23 000+ prób od 7 czerwca

Zwróć uwagę na Everest Forms Pro: cztery tysiące instalacji i prawie trzydzieści tysięcy prób ataku dziennie. Boty nie sprawdzają, czy jesteś dużą firmą. Skanują wszystko, co odpowiada na porcie 443.

Lipiec: wp2shell, czyli luka w samym WordPressie

Miesiąc później pojawiło się coś, czego nie da się zrzucić na wtyczki. Dwie krytyczne luki w rdzeniu WordPressa - CVE-2026-63030 (pomylenie tras w zbiorczym punkcie REST API) i CVE-2026-60137 (wstrzyknięcie SQL w parametrze author__not_in) - połączone w łańcuch dają zdalne wykonanie kodu bez logowania. Badacze nazwali to wp2shell.

Najważniejsze zdanie z analizy: atak nie ma żadnych warunków wstępnych i może go przeprowadzić anonimowy użytkownik na czystej instalacji WordPressa, bez żadnych wtyczek. Podatne są wersje od 6.8 wzwyż (SQL injection), a pełne wykonanie kodu od 6.9, gdy nie działa trwały cache obiektów.

Po opublikowaniu gotowego kodu exploita skanowanie ruszyło w godziny: badacze odnotowali dziesiątki tysięcy prób na pułapkach honeypot, z adresów w siedmiu krajach.

Ile realnie masz czasu

Z rocznego raportu Patchstack o stanie bezpieczeństwa WordPressa (dane za 2025, publikacja 2026):

• 11 334 nowe podatności w ekosystemie w skali roku - o 42 procent więcej niż rok wcześniej,
• 91 procent z nich we wtyczkach, 9 procent w motywach,
• mediana czasu od ujawnienia do pierwszej próby exploitu: 5 godzin,
• 46 procent luk nie miało łatki w dniu publikacji,
• tempo na wejściu w 2026: ponad 250 nowych podatności wtyczek tygodniowo.

Pięć godzin. Tyle trwa okno między „opublikowano informację o luce" a „ktoś już próbuje jej użyć na Twojej stronie". Żadna firma nie ma kogoś, kto siedzi i czeka na te komunikaty - i to jest sedno problemu, nie sam WordPress.

Dlaczego to nie jest „wina WordPressa"

WordPress napędza ogromną część internetu i właśnie dlatego jest celem numer jeden. Rzecz w architekturze, która powstała w innej epoce:

• Strona jest budowana od nowa przy każdym wejściu. Serwer wyciąga teksty z bazy, uruchamia motyw i wszystkie wtyczki po kolei - to jak gotowanie obiadu od zera dla każdego gościa. Im więcej dodatków, tym więcej ruchomych części, które mogą być dziurawe.
• Każda funkcja to cudzy kod z pełnym dostępem. Formularz, galeria, opinie, cookies, cache - osobna wtyczka od innego autora, a każda ma dostęp do bazy i plików. Przeciętna strona firmowa ma ich kilkanaście do dwudziestu.
• Wtyczki są porzucane. Autor przestaje ją rozwijać, a ona dalej siedzi na tysiącach stron. Twoja strona nie dostaje wtedy żadnego sygnału.
• Po kilku wykonawcach narasta bałagan. Przeróbki, obejścia, nieaktualne wtyczki. Nowa osoba zwykle mówi, że taniej postawić od nowa - i zwykle ma rację.

Co zrobić dziś, jeśli masz WordPressa

1. Sprawdź wersję i zaktualizuj rdzeń. Po lipcowych lukach to nie jest zadanie „na później". Włącz automatyczne aktualizacje bezpieczeństwa.
2. Usuń wtyczki, których nie używasz. Nieaktywna wtyczka to nadal kod na serwerze. Najtańsza i najskuteczniejsza czynność z całej listy.
3. Sprawdź daty aktualizacji tych, które zostają. Rok bez nowej wersji to sygnał ostrzegawczy, dwa lata - powód do wymiany.
4. Włącz dwuskładnikowe logowanie i skasuj konto admin oraz konta byłych wykonawców.
5. Zrób kopię, która leży poza serwerem. Kopia na tym samym hostingu ginie razem z hostingiem, a kopia sprzed pół roku to nie kopia.

Nie wiesz, co siedzi w Twojej stronie? Napisz do mnie - przejrzę listę wtyczek i powiem, które mają dziś publicznie znane luki. Zajmuje mi to kilkanaście minut i nic za to nie biorę.

Czym różni się strona NEO

Nie napiszę, że strona NEO jest nie do zhakowania, bo nic takiego nie istnieje. Napiszę, czym różni się jej powierzchnia ataku:

• Nie ma warstwy wtyczek. Funkcje są częścią silnika. Nie ma dwudziestu autorów, z których każdy może przestać aktualizować swój kawałek.
• Aktualizacja idzie raz, do wszystkich. Gdy wychodzi poprawka, wprowadzam ją u siebie i pojawia się u wszystkich klientów naraz - bez dopłat i bez czekania, aż ktoś kliknie „aktualizuj" w swoim panelu. To jest odpowiedź na te pięć godzin z raportu.
• Pod adresem strony nie ma panelu logowania. Panel to osobna aplikacja pod innym adresem, więc automaty łomoczące do /wp-login.php nie mają w co uderzać.
• Mniej ruchomych części na wejściu. Strona renderuje się na krawędzi sieci i czyta dane przez API zamiast uruchamiać kilkanaście wtyczek przy każdym odwiedzeniu.

I uczciwie: strona NEO też ma backend. Renderuje się w czasie rzeczywistym i czyta bazę. Kto pisze, że „nic się nie uruchamia na serwerze", ten albo nie wie, jak to działa, albo sprzedaje coś innego. Dopiero zamrożona, statyczna kopia strony nie ma backendu - i taką kopię można z NEO zrobić, gdyby kiedyś trzeba było działać beze mnie.

Kiedy mimo wszystko robię klientowi WordPressa

Bo czasem to jest właściwy wybór: sklep z setkami produktów i integracją z hurtownią, zespół przyzwyczajony do panelu, wymóg konkretnej wtyczki branżowej. Wtedy robię stronę na WordPressie i mówię wprost, ile kosztuje jej utrzymanie w ryzach: aktualizacje, kopie, monitoring, przeglądy. Rozpisałem to szerzej w zaletach WordPressa.

Bezpieczna strona na WordPressie to nie jest strona zrobiona bezpiecznie. To strona utrzymywana bezpiecznie - co miesiąc, przez kogoś konkretnego.

Najczęstsze pytania

Czy po lukach z lipca 2026 WordPress nadal można polecać? Tak, pod warunkiem, że ktoś pilnuje aktualizacji. Luki w rdzeniu zostały załatane - problemem są instalacje, których nikt nie zaktualizował.

Czy moja mała strona kogoś obchodzi? Boty nie wybierają. Everest Forms Pro miał cztery tysiące instalacji i notował prawie trzydzieści tysięcy prób ataku dziennie.

Ile wtyczek to za dużo? Nie ma progu. Zasada brzmi: każda wtyczka musi mieć powód, aktywnego autora i kogoś, kto sprawdza jej aktualizacje.

Czy przeniesienie na lepszy hosting rozwiązuje problem? Nie. Hosting może dołożyć zaporę, ale luka we wtyczce jedzie razem ze stroną. Pomaga natomiast aktualny plan opieki i kopie poza serwerem.