Początek października 2026 roku przyniósł kolejne poważne ostrzeżenia dotyczące bezpieczeństwa stron internetowych, sklepów online i aplikacji webowych. W popularnych rozszerzeniach WordPressa wykryto podatności pozwalające przesyłać złośliwe pliki na serwer, wykonywać kod PHP, omijać mechanizmy logowania i przejmować konta administratorów. Część luk jest już aktywnie wykorzystywana w atakach, co potwierdzają analizy publikowane przez serwis bezpieczeństwa Patchstack. Nowe zgłoszenia obejmują również moduły Drupala, a pod koniec września aktualizacje bezpieczeństwa otrzymała Joomla. Wcześniej poprawki udostępniono także dla PrestaShop. Jeżeli korzystasz z tych systemów, sprawdź, czy na Twojej stronie nie działa jedna z wymienionych podatnych wersji oprogramowania.
Uwaga! Niektóre opisane podatności są już wykorzystywane w rzeczywistych atakach. Szczególnie pilnej uwagi wymagają instalacje WordPressa z nieaktualnymi wersjami wtyczek Bricksforge, WPC Product Bundles for WooCommerce oraz Ninja Forms. Jeżeli korzystasz z tych rozszerzeń, niezwłocznie zainstaluj dostępne poprawki i sprawdź, czy na stronie nie doszło wcześniej do nieautoryzowanych zmian.
WordPress 7.1.3 – siedem poprawek bezpieczeństwa
6 października 2026 roku udostępniono WordPress 7.1.3, kolejną aktualizację bezpieczeństwa po wrześniowym wydaniu 7.1.2. Nowa wersja usuwa siedem podatności oraz cztery błędy związane z działaniem systemu.
Poprawiono między innymi podatności XSS w panelu komentarzy i obsłudze materiałów Imgur, SQL Injection w mechanizmie eksportu WXR oraz błąd pozwalający niezalogowanym użytkownikom odczytywać komentarze z prywatnych i nieopublikowanych wpisów. Usunięto również problem mogący prowadzić do odmowy usługi (DoS).
WordPress 7.1.3 jest aktualizacją bezpieczeństwa, której nie powinieneś odkładać. Szczegółową listę usuniętych podatności oraz instrukcję instalacji znajdziesz w naszym artykule: WordPress 7.1.3 – aktualizacja bezpieczeństwa usuwa 7 podatności i 4 błędy. Poniżej opisujemy inne zagrożenia wykryte w popularnych wtyczkach, motywach i systemach CMS, na które warto zwrócić uwagę w pierwszej połowie października.
Bricksforge – krytyczna luka pozwala wykonać kod na serwerze
Zacznijmy od tego, że 8 października opublikowano ostrzeżenie dotyczące podatności CVE-2026-85097 w Bricksforge, rozszerzeniu kreatora stron Bricks Builder. Błąd otrzymał maksymalną ocenę CVSS 10.0, a pierwsze próby jego wykorzystania zarejestrowano już 7 października.
Problem dotyczy obsługi plików przesyłanych przez formularze. Nieprawidłowa walidacja danych pozwala niezalogowanemu użytkownikowi umieścić na serwerze plik PHP, a następnie doprowadzić do wykonania jego zawartości. W ten sposób atakujący może uzyskać możliwość modyfikowania plików witryny, instalowania złośliwego oprogramowania lub utrzymywania nieautoryzowanego dostępu.
- Zagrożone są wersje Bricksforge do 3.1.8.9 włącznie. Poprawka została udostępniona w wersji 3.1.8.10.
Wykryto zautomatyzowane próby ataków wymierzone w podatne instalacje. Jeżeli korzystasz z Bricksforge, zaktualizuj rozszerzenie i sprawdź katalog wp-content/uploads/, szczególnie pod kątem nieznanych plików PHP. Warto również przejrzeć historię żądań do formularzy.
Bricksforge – krytyczna podatność CVSS 10.0 i potwierdzone próby ataków. Jeżeli używasz wersji 3.1.8.9 lub starszej, niezwłocznie zainstaluj wersję 3.1.8.10 lub nowszą. Podatność dotyczy rozszerzenia Bricksforge, a nie wszystkich stron korzystających z Bricks Buildera.
WooCommerce i Ninja Forms – atakujący tworzą ukryte konta administratorów
6 października opisano kampanię wykorzystującą dwie niezależne podatności Stored XSS we wtyczkach WPC Product Bundles for WooCommerce oraz Ninja Forms. Ataki rozpoczęły się odpowiednio 4 i 5 października.
Wykorzystanie tych błędów rozpoczynało się od przesłania odpowiednio przygotowanych danych przez formularz lub mechanizm zamówienia. Gdy zalogowany administrator przeglądał zgłoszenie, jego przeglądarka wykonywała złośliwy skrypt JavaScript.
- Uwaga! Kod korzystał z aktywnej sesji administratora, aby przeprowadzić operacje wymagające wysokich uprawnień.
W analizowanej kampanii instalowano fałszywą wtyczkę WP Smart Thumbnails oraz tworzono dodatkowe konta administracyjne. Część z nich ukrywano przed standardową listą użytkowników WordPressa. Złośliwe mechanizmy utrzymujące dostęp umieszczano również w katalogu wp-content/mu-plugins/, którego zawartość WordPress automatycznie ładuje podczas działania aplikacji.
Oznacza to, że właściciel strony mógł nie zauważyć nieautoryzowanego konta nawet po sprawdzeniu listy administratorów w panelu WordPressa.
| Rozszerzenie | Podatne wersje | Wersja z poprawką | Ocena CVSS |
|---|---|---|---|
| WPC Product Bundles for WooCommerce | Do 8.6.6 | 8.6.7 | 7.1 |
| Ninja Forms | Do 3.15.3 | 3.15.4; zalecana co najmniej 3.15.5 | 7.1 |
Jeżeli na Twojej stronie działała podatna wersja którejś z tych wtyczek, sama aktualizacja rozszerzenia nie wystarcza do wykluczenia wcześniejszego włamania. Aktualizacja usuwa lukę w oprogramowaniu, ale nie likwiduje automatycznie kont utworzonych przez atakującego, fałszywych wtyczek ani innych mechanizmów utrzymujących dostęp. Sprawdź obecność nieznanych administratorów, podejrzanych plików PHP i dodatkowych rozszerzeń.
Szczególnej uwagi wymaga katalog wp-content/mu-plugins/. Złośliwe pliki mogły otrzymać celowo zmienione daty modyfikacji, dlatego wyszukiwanie wyłącznie ostatnio zmienionych plików nie daje pewności wykrycia infekcji. W razie podejrzenia przejęcia witryny należy również skontrolować konta użytkowników bezpośrednio w bazie danych.
Inne krytyczne podatności we wtyczkach WordPress i WooCommerce
Bricksforge, WPC Product Bundles i Ninja Forms nie wyczerpują listy zagrożeń. W pierwszej połowie października ujawniono również podatności w narzędziach obsługujących sklepy internetowe, formularze kontaktowe, konta użytkowników i mechanizmy uwierzytelniania.
Część otrzymała ocenę CVSS 9.8, oznaczającą krytyczny poziom zagrożenia. Nie dla wszystkich przypadków potwierdzono jednak aktywne wykorzystywanie przez cyberprzestępców.
| Wtyczka | Podatność | Poziom zagrożenia | Wersja z poprawką |
|---|---|---|---|
| Booster for WooCommerce | CVE-2026-42718 – PHP Object Injection | Krytyczny – CVSS 9.8 | 8.5.0 |
| 3D Product Configurator (Expivi) | CVE-2026-103889 – zdalne wykonanie kodu | Krytyczny – CVSS 9.8 | 2.16.3 |
| Extensions For CF7 | CVE-2026-94589 – nieautoryzowane przesyłanie plików | Krytyczny – CVSS 9.8 | 3.4.6 |
| Ultimate Multisite | CVE-2026-103646 – obejście uwierzytelniania | Krytyczny – CVSS 9.8 | 2.17.0 |
| Frontend Dashboard | CVE-2026-103692 – przejęcie uprawnień administratora | Krytyczny – CVSS 9.8 | 3.0.5 |
| Divi Membership | CVE-2026-19652 i CVE-2026-19660 – eskalacja uprawnień | Krytyczny | 3.0.0 |
| Advanced IP Blocker | CVE-2026-104732 – obejście mechanizmu uwierzytelniania | Krytyczny – CVSS 9.8 | 8.13.14 |
Ocena CVSS nie jest informacją o liczbie przeprowadzonych ataków. Wartość 9.8 lub 10.0 oznacza krytyczną wagę podatności, ale nie potwierdza automatycznie, że została już wykorzystana. Dlatego przy ocenie ryzyka sprawdzaj zarówno poziom zagrożenia, jak i informacje o aktywnych atakach oraz dostępności poprawki.
Szczególnie istotne są błędy w rozszerzeniach obsługujących publiczne formularze i logowanie. Extensions For CF7 pozwala w podatnej wersji przesyłać niebezpieczne pliki bez konieczności logowania. Z kolei Advanced IP Blocker pokazuje, że poważne luki występują również w narzędziach przeznaczonych do ochrony WordPressa.
Osobnej uwagi wymaga Divi Membership. Pierwszą z dwóch podatności naprawiono w wersji 2.3.0, ale kolejną dopiero w 3.0.0. Administratorzy powinni więc zainstalować najnowsze poprawione wydanie, zamiast poprzestawać na pierwszej aktualizacji wymienionej w starszym komunikacie.
Niebezpieczne motywy WordPressa i rozszerzenia builderów
Poważne podatności wykryto również w motywach WordPressa. 8 października opublikowano zgłoszenia błędów PHP Object Injection, które w wielu przypadkach otrzymały ocenę CVSS 9.8.
Wśród zagrożonych motywów znalazły się między innymi Original, Education Center, Anesta, Gutentype, Invetex oraz Let's Play. W chwili publikacji zgłoszeń dla wskazanych podatnych wersji nie były dostępne oficjalne poprawki.
Gdy producent nie udostępnia aktualizacji, administrator powinien zweryfikować dostępne zabezpieczenia tymczasowe, a w razie potrzeby zastąpić podatny motyw innym rozwiązaniem. Nie wystarczy zakładać, że wyłączenie motywu usuwa problem. Jego pliki nadal mogą znajdować się na serwerze, a rzeczywista możliwość wykorzystania luki zależy od sposobu działania podatnego kodu.
W październiku poprawki otrzymały również Avada 7.16.2 i Divi Plus 2.4.1. Pierwsza aktualizacja usuwa błędy XSS, druga podatność pozwalającą na nieautoryzowany odczyt określonych plików serwera.
Nie oznacza to, że każda strona zbudowana za pomocą Avady, Divi czy Bricks Buildera jest zagrożona. Decydują konkretne zainstalowane rozszerzenia, motywy i ich wersje.
Drupal – krytyczne podatności w modułach
7 października zespół bezpieczeństwa Drupala opublikował serię ostrzeżeń dotyczących modułów rozwijanych przez społeczność. Jedno z najpoważniejszych dotyczy Block AJAX, narzędzia umożliwiającego asynchroniczne ładowanie bloków zawartości.
Podatność CVE-2026-107249 została oceniona jako Highly critical – 20/25 w skali bezpieczeństwa Drupala. W określonych konfiguracjach prowadzi do PHP Object Injection, a nawet zdalnego wykonania kodu. Poprawkę udostępniono w wersji Block AJAX 3.0.2.
Inne istotne zgłoszenia dotyczą następujących modułów:
- Entity Reference Manager – nieuprawnione usuwanie treści i mediów; poprawka w wersji 1.0.3.
- Restrict route by IP – obejście ograniczeń dostępu opartych na adresach IP; poprawki w wersjach 1.3.1 i 2.0.1.
- Authenticator Login Plus – błędy w egzekwowaniu uwierzytelniania dwuskładnikowego; poprawka w wersji 1.0.1.
- ECA Helper i Orphans Media – zgłoszone podatności i zakończone wsparcie bezpieczeństwa; zalecane usunięcie lub zastąpienie modułów.
Szczególnie niebezpieczne są rozszerzenia, dla których zakończono wsparcie. Gdy producent lub społeczność nie rozwija już modułu, użytkownicy nie zawsze otrzymają poprawkę nawet po publicznym ujawnieniu poważnej podatności.
Joomla i PrestaShop – sprawdź aktualność instalacji
Pod koniec września poprawki bezpieczeństwa otrzymała również Joomla, a wcześniej nowe wersje przygotowano dla PrestaShop. Nie są to te same zdarzenia co październikowe ataki na rozszerzenia WordPressa, ale właściciele starszych instalacji powinni je uwzględnić podczas przeglądu bezpieczeństwa.
Joomla 5.4.9 i 6.1.4, opublikowane 29 września, zawierają poprawki 16 problemów bezpieczeństwa. Dotyczą między innymi nieautoryzowanego tworzenia kont użytkowników, mechanizmów uwierzytelniania wieloskładnikowego, kontroli dostępu do API oraz wykonywania skryptów XSS.
W Joomla 5.4.9 producent odnotował również problem z obsługą żądań PATCH w Web Services API. Administratorzy serwisów korzystających z takich integracji powinni sprawdzić dostępne obejście i zgodność przed wdrożeniem aktualizacji.
PrestaShop 8.2.8 i 9.1.5 otrzymały poprawki bezpieczeństwa 18 sierpnia. Z kolei udostępniony pod koniec września PrestaShop 9.2 jest przede wszystkim nowym wydaniem funkcjonalnym. Właściciele sklepów powinni kontrolować również moduły płatności, dostaw i filtrowania produktów, w tym wcześniej poprawioną podatność w module ps_facetedsearch.
Jak sprawdzić, czy Twoja strona jest zagrożona?
Nie każda podatność dotyczy wszystkich instalacji danego CMS-a. Znaczenie ma wersja konkretnego komponentu, jego konfiguracja, a niekiedy także uprawnienia użytkowników. Dlatego samo sprawdzenie numeru wersji WordPressa, Joomla czy PrestaShop nie wystarcza do oceny bezpieczeństwa całej strony.
Jeżeli samodzielnie zarządzasz stroną internetową lub sklepem, wykonaj następujące czynności:
- Sprawdź wersje CMS-a, wtyczek i motywów. Porównaj je z informacjami o podatnościach i zwróć uwagę również na nieaktywne rozszerzenia pozostawione na serwerze.
- Zainstaluj dostępne poprawki bezpieczeństwa. Zacznij od luk aktywnie wykorzystywanych w atakach, podatności pozwalających wykonywać kod oraz błędów umożliwiających przejęcie kont administratorów.
- Wykonaj kopię zapasową plików i bazy danych. Upewnij się, że masz możliwość jej przywrócenia. W przypadku rozbudowanych sklepów sprawdź większe aktualizacje na środowisku testowym.
- Sprawdź ślady ewentualnego włamania. Przejrzyj konta administratorów, katalogi wtyczek, podejrzane pliki PHP i logi serwera. Jeżeli doszło do przejęcia strony, konieczne jest usunięcie także mechanizmów utrzymujących dostęp.
- Usuń niepotrzebne i niewspierane rozszerzenia. Jeżeli od dawna nie korzystasz z danej wtyczki lub producent zakończył jej rozwój, usuń komponent albo zastąp go aktywnie utrzymywanym rozwiązaniem.
Nie zapominaj również o bezpieczeństwie samego systemu CMS. Aktualne wtyczki nie zastąpią poprawek WordPressa, Drupala czy Joomla, podobnie jak zaktualizowany CMS nie naprawi błędów w zewnętrznych rozszerzeniach.
Jeżeli korzystasz z hostingu SEOHOST, przygotowaliśmy instrukcje, które pomogą Ci zabezpieczyć dane przed aktualizacją i samodzielnie odtworzyć je w razie potrzeby:
- Jak wykonać kopię zapasową w DirectAdmin? – instrukcja ręcznego tworzenia backupu konta hostingowego.
- Jak przywrócić kopię zapasową na koncie hostingowym? – obsługa SEOHOST Tools: Backup Manager i przywracanie plików oraz baz danych.
- Jak skonfigurować kopię zapasową WordPress w Softaculous? – ustawienia backupu instalacji WordPressa.
Przywrócenie kopii zapasowej nie zastępuje usunięcia podatności. Jeżeli źródłem włamania była nieaktualna wtyczka, odtworzenie strony bez jej naprawienia pozostawia ten sam problem. Zwróć również uwagę na datę kopii – backup wykonany już po infekcji może zawierać złośliwy kod.
Szybki hosting z ochroną Monarx Security
Regularne aktualizacje ograniczają ryzyko wykorzystania znanych podatności, ale równie istotna pozostaje ochrona działająca po stronie serwera. Zapora aplikacyjna, monitorowanie wykonywania skryptów PHP oraz wykrywanie złośliwego oprogramowania stanowią dodatkowe warstwy zabezpieczeń witryn internetowych.
Na hostingu SEOHOST wykorzystujemy Monarx Security, który łączy Antivirus + Active Protection, ThreatShield oraz SmartWAF. System analizuje pliki i określone działania aplikacji PHP, a także reaguje na rozpoznane próby ataków. Nie zastępuje aktualizacji CMS-a ani jego rozszerzeń, ale pomaga ograniczać ryzyko związane z malware i złośliwą aktywnością.
Więcej informacji o działaniu ochrony znajdziesz w naszych poradnikach:
- Co obejmuje ochrona Monarx i czego nie skanuje? – działanie Antivirus, ThreatShield i SmartWAF oraz zakres skanowania.
- Co oznaczają zdarzenia i blokady widoczne w Monarx? – interpretacja statusów BLOCKED, MALICIOUS, COMPROMISED oraz pozostałych zdarzeń.
Hosting SEOHOST wykorzystuje dyski NVMe, serwer LiteSpeed, bezpłatne certyfikaty SSL oraz ochronę Monarx Security. Udostępniamy także narzędzia do zarządzania instalacjami aplikacji i przywracania kopii zapasowych.
Zadbaj o bezpieczeństwo swojej strony internetowej. Wybierz hosting SEOHOST z ochroną Monarx lub przenieś obecną witrynę, korzystając z bezpłatnej migracji do SEOHOST.
Komentarze