Krótka odpowiedź: sam WordPress jest pilnowany dobrze - w całym 2025 roku znaleziono w jego rdzeniu sześć podatności. Problem siedzi w tym, co się do niego dokłada: 91 procent wszystkich luk to wtyczki. Jeśli Twoja strona ma dwadzieścia wtyczek od dwudziestu autorów, to masz dwadzieścia obietnic, że ktoś jeszcze je aktualizuje.
Liczby, na których warto oprzeć decyzję
Z raportu „State of WordPress Security in 2026" (Patchstack, dane za 2025 rok):
| Co mierzone | Wynik |
|---|---|
| Nowe podatności w ekosystemie WordPressa w 2025 | 11 334 (o 42 procent więcej niż rok wcześniej) |
| Udział wtyczek | 91 procent (motywy 9 procent) |
| Podatności w rdzeniu WordPressa | 6 |
| Podatności wysokiego ryzyka | 1 966, czyli 17 procent |
| Czas do pierwszych ataków | połowa groźnych luk jest wykorzystywana w ciągu 24 godzin od ujawnienia, te najbardziej łakome - w ciągu 5 godzin |
| Luki bez łatki w dniu ujawnienia | 46 procent |
| Tempo na wejściu w 2026 | ponad 250 nowych podatności wtyczek tygodniowo |
Ostatni wiersz to ten, który robi największe wrażenie na właścicielach firm: 250 tygodniowo to około 36 dziennie. Nikt nie nadąży czytać takiej listy ręcznie.
Dlaczego to nie jest argument „WordPress jest zły"
WordPress napędza ogromną część internetu i właśnie dlatego jest celem. Sześć luk w rdzeniu przy tej skali to dobry wynik - lepszy niż w niejednym systemie, który reklamuje się jako „bezpieczniejszy".
Ryzyko bierze się z modelu: WordPress sam z siebie robi mało, więc dokładamy do niego wtyczki. Formularz, galeria, SEO, cache, sklep, kreator stron, kopie zapasowe, slider, cookies. Każda z nich to cudzy kod z pełnym dostępem do bazy danych i plików. Wystarczy jedna, której autor przestał się zajmować projektem trzy lata temu.
Dwa scenariusze, które widuję najczęściej:
- Strona zrobiona raz i zostawiona. Działa, więc nikt jej nie dotyka. Po dwóch latach ma kilkanaście wtyczek z lukami, o których wie cały internet.
- Strona aktualizowana automatycznie, bez kopii. Aktualizacja wtyczki wywraca układ albo zabija sklep, a cofnąć nie ma z czego.
Pięć rzeczy, które możesz zrobić dzisiaj za darmo
- Usuń wtyczki, których nie używasz. Nieaktywna wtyczka to nadal kod na serwerze. To najskuteczniejsza i najtańsza czynność z całej listy.
- Sprawdź daty aktualizacji. W panelu, przy każdej wtyczce: kiedy ostatnio wyszła nowa wersja. Rok bez zmian to sygnał ostrzegawczy, dwa lata - powód do wymiany.
- Włącz dwuskładnikowe logowanie dla wszystkich kont administratora. Większość włamań, które sprzątam, nie zaczyna się od wyrafinowanej luki, tylko od hasła.
- Skasuj konto o nazwie
admini konta byłych wykonawców. Zostaw tylu administratorów, ilu realnie potrzebujesz - czyli zwykle jednego. - Zrób kopię, która leży POZA serwerem. Kopia na tym samym hostingu ginie razem z hostingiem. Kopia sprzed pół roku to nie kopia.
Jeśli nie masz pewności, co siedzi w Twojej stronie, napisz do mnie - przejrzę listę wtyczek i powiem, które z nich mają dziś publicznie znane luki. To sprawdzenie zajmuje mi kilkanaście minut i nic za nie nie biorę.
Co robimy inaczej na stronach NEO
Nie napiszę Ci, że strona NEO jest „nie do zhakowania" - nic takiego nie istnieje. Napiszę, czym różni się jej powierzchnia ataku:
- Nie ma warstwy wtyczek. Funkcje, których strona używa, są częścią silnika i aktualizują się razem z nim - u wszystkich klientów naraz, a nie u każdego z osobna.
- Nie ma publicznego panelu logowania pod adresem strony. Panel to osobna aplikacja pod innym adresem, więc typowe automaty, które łomoczą do
/wp-login.php, nie mają w co uderzać. - Treść żyje w bazie za API, a strony renderują się na krawędzi sieci Cloudflare. To znaczy mniej ruchomych części na serwerze niż w klasycznym zestawie „PHP plus baza plus dwadzieścia wtyczek".
I uczciwie: strona NEO też ma backend. Renderuje się w czasie rzeczywistym i czyta dane z bazy. Kto pisze, że „nic się nie uruchamia na serwerze", ten albo nie wie, jak to działa, albo sprzedaje coś innego.
Kiedy mimo wszystko robię klientowi WordPressa
Bo czasem to jest właściwy wybór: sklep z setkami produktów i wtyczkami do integracji z hurtownią, zespół, który zna panel WordPressa i nie chce się uczyć nowego, wymóg konkretnego pluginu branżowego. Wtedy robię stronę na WordPressie i mówię wprost, ile kosztuje jej utrzymanie w ryzach: aktualizacje, kopie, monitoring, przeglądy.
Bezpieczna strona na WordPressie to nie jest strona zrobiona bezpiecznie. To strona utrzymywana bezpiecznie - co miesiąc, przez kogoś konkretnego.
Najczęstsze pytania
Czy sam WordPress jest dziurawy? Nie. W 2025 roku w jego rdzeniu znaleziono sześć podatności przy ponad jedenastu tysiącach w całym ekosystemie. Ryzyko wnoszą wtyczki i motywy.
Ile wtyczek to za dużo? Nie ma progu. Zasada brzmi: każda wtyczka musi mieć powód, aktualnego autora i kogoś, kto sprawdza jej aktualizacje.
Mam stronę na WordPressie, co teraz? Zacznij od usunięcia nieużywanych wtyczek i włączenia dwuskładnikowego logowania. To dwie czynności na kwadrans, które ucinają większość typowych ataków.
Czy przeniesienie na inny hosting rozwiąże problem? Nie. Hosting może dołożyć zaporę, ale luka we wtyczce jedzie razem ze stroną.