Druga połowa października 2026 roku przyniosła kolejne poprawki bezpieczeństwa dla popularnych wtyczek WordPress. Nowe podatności wykryto między innymi w LiteSpeed Cache, Duplicator, OttoKit, LearnPress i Theme My Login. Część błędów pozwala na przejęcie uprawnień administratora lub niebezpieczne operacje na serwerze. Producenci udostępnili już poprawki, dlatego warto sprawdzić, czy korzystasz z aktualnych wersji rozszerzeń. Przypominamy również o aktualizacji samego WordPressa, który na początku października otrzymał kolejne poprawki bezpieczeństwa.
Korzystasz z WordPressa? Sprawdź dostępność aktualizacji w panelu administracyjnym w sekcji Kokpit → Aktualizacje. Jeśli używasz jednej z wymienionych poniżej wtyczek, porównaj jej wersję z wydaniem zawierającym poprawkę. Samo posiadanie rozszerzenia nie oznacza, że Twoja strona została zaatakowana.
LiteSpeed Cache – trzy poprawki bezpieczeństwa
23 października producent LiteSpeed poinformował o trzech podatnościach w popularnej wtyczce LiteSpeed Cache, służącej do przyspieszania stron WordPress. Dwie z nich dotyczą wykonywania złośliwych skryptów JavaScript (XSS), a trzecia niewłaściwej kontroli uprawnień użytkowników.
Podatności XSS występują w określonych konfiguracjach, między innymi przy włączonych wybranych ustawieniach CDN lub optymalizacji czcionek, gdy strona publikuje odpowiednio przygotowane komentarze. Trzeci błąd pozwala użytkownikowi z rolą Subskrybent na usuwanie określonych powiadomień administracyjnych wtyczki, ale nie daje mu dostępu do danych ani uprawnień administratora.
Co zrobić? Zaktualizuj LiteSpeed Cache do wersji 7.9.2 lub nowszej. Poprawka została udostępniona 19 października. Pamiętaj, że zgłoszone problemy dotyczą wtyczki WordPress, a nie samego oprogramowania serwera LiteSpeed.
- Więcej informacji znajdziesz w oficjalnym komunikacie bezpieczeństwa LiteSpeed.
Duplicator – krytyczna podatność w narzędziu do kopii zapasowych
21 października ujawniono podatność CVE-2026-82814 w Duplicator, popularnej wtyczce służącej do tworzenia kopii zapasowych i przenoszenia stron WordPress. Błąd PHP Object Injection otrzymał ocenę CVSS 9.8 i umożliwia przesłanie odpowiednio przygotowanych danych bez wcześniejszego zalogowania.
Potencjalne skutki zależą od dostępnego kodu oraz konfiguracji witryny. W określonych warunkach podatność może doprowadzić do wykonania niebezpiecznych operacji na serwerze.
Co zrobić? Zaktualizuj Duplicator do wersji 5.0.0 lub nowszej. Poprawka dotyczy zarówno bezpłatnej edycji Duplicator, jak i Duplicator Pro.
OttoKit – zagrożenie przejęciem uprawnień
W połowie października opublikowano ostrzeżenie dotyczące wtyczki OttoKit, dawniej SureTriggers, wykorzystywanej do automatyzacji działań pomiędzy WordPressem i zewnętrznymi usługami.
Podatność CVE-2026-110372 (CVSS 9.8) dotyczyła nieprawidłowego przydzielania uprawnień i umożliwiała ich nieautoryzowane podniesienie. Problem usunięto w wersji 1.1.41. Następnie zgłoszono również odrębny błąd związany z uwierzytelnianiem połączeń.
Co zrobić? Zainstaluj OttoKit w wersji 1.1.42 lub nowszej, aby uwzględnić obie poprawki. Jeśli korzystasz z automatyzacji połączonych z zewnętrznymi usługami, sprawdź także konfigurację integracji i dostępne uprawnienia.
LearnPress – podatności w platformach kursowych
LearnPress to wtyczka umożliwiająca prowadzenie kursów internetowych i obsługę uczestników szkoleń. W październiku wykryto w niej kilka podatności, w tym CVE-2026-104736 (CVSS 9.8), związaną z niebezpiecznym przetwarzaniem danych podczas składania zamówienia.
Problem dotyczył między innymi mechanizmu PHP Object Injection. Odnotowano także błędy XSS, kontroli uprawnień oraz udostępniania określonych informacji użytkownikom.
LearnPress to jedno z rozszerzeń, które przedstawialiśmy w naszym poradniku Jak utworzyć stronę kursów online na WordPress?. Jeśli korzystasz z tej wtyczki do prowadzenia szkoleń internetowych, sprawdź jej wersję i zainstaluj dostępne poprawki bezpieczeństwa.
Co zrobić? Zaktualizuj LearnPress do wersji 4.4.11 lub nowszej. Po aktualizacji sprawdź działanie rejestracji, płatności, zapisów na kursy oraz uprawnienia kont prowadzących szkolenia.
Theme My Login – luka umożliwiająca podniesienie uprawnień
15 października opublikowano również informację o krytycznej podatności CVE-2026-89079 (CVSS 9.8) w Theme My Login, rozszerzeniu służącym do obsługi logowania i rejestracji użytkowników WordPressa.
Problem dotyczył mechanizmu przydzielania uprawnień i mógł prowadzić do ich nieautoryzowanego podniesienia, bez konieczności wcześniejszego uwierzytelnienia.
Co zrobić? Upewnij się, że korzystasz z wersji 7.2.2 lub nowszej. Jeżeli na stronie była wcześniej zainstalowana podatna wersja, sprawdź również listę kont administratorów.
Pamiętaj również o aktualizacji WordPress
Aktualizowanie wtyczek nie zastępuje aktualizacji samego systemu CMS. Przypominamy, że 6 października udostępniono WordPress 7.1.3, który usuwa siedem podatności bezpieczeństwa oraz cztery błędy w działaniu systemu.
Poprawiono między innymi błędy XSS, SQL Injection oraz nieautoryzowany dostęp do komentarzy przypisanych do prywatnych wpisów.
Jeżeli nie przeprowadzałeś ostatnio aktualizacji WordPressa, zaloguj się do panelu administracyjnego i przejdź do sekcji Kokpit → Aktualizacje. Sprawdź, czy korzystasz z najnowszego stabilnego wydania systemu.
Więcej informacji o poprawkach i sposobie instalacji znajdziesz w naszym wcześniejszym artykule: WordPress 7.1.3 – aktualizacja bezpieczeństwa usuwa 7 podatności i 4 błędy.
Uwaga! Aktualizacja usuwa znaną podatność, ale nie cofa skutków wcześniejszego włamania. Jeżeli zauważysz nieznane konta administratorów, podejrzane wtyczki lub nieautoryzowane zmiany w plikach, sprawdź stronę pod kątem obecności złośliwego oprogramowania.
Jak zadbać o bezpieczeństwo swojej strony WordPress?
Nie musisz instalować dodatkowych narzędzi, aby sprawdzić podstawowy stan aktualizacji swojej witryny. Zacznij od kilku czynności:
- Sprawdź dostępne aktualizacje. Zaloguj się do WordPressa i przejdź do sekcji Kokpit → Aktualizacje oraz Wtyczki → Zainstalowane wtyczki.
- Wykonaj kopię zapasową. Przed instalacją poprawek przygotuj backup plików i bazy danych.
- Zainstaluj poprawki. Zaktualizuj WordPressa, wtyczki i motywy, zwracając szczególną uwagę na komponenty z wykrytymi podatnościami.
- Sprawdź działanie witryny. Przetestuj logowanie, formularze i najważniejsze funkcje. Usuń również nieużywane rozszerzenia.
Jeśli potrzebujesz dodatkowych informacji, skorzystaj z naszych poradników:
- Dlaczego powinieneś aktualizować WordPressa?
- Jak skonfigurować kopię zapasową WordPress w Softaculous?
- Złośliwe malware w WordPress – jak je rozpoznać i jak się chronić?
SEOHOST – hosting WordPress z dodatkową ochroną Monarx Security. Regularne aktualizacje i kopie zapasowe to podstawa bezpieczeństwa strony internetowej. Na hostingu SEOHOST zapewniamy również dodatkową ochronę Monarx Security, która pomaga wykrywać złośliwe oprogramowanie i blokować określone próby ataków. Jeśli nie jesteś jeszcze naszym klientem, sprawdź ofertę hostingu SEOHOST z dyskami NVMe i LiteSpeed. Swoją obecną stronę możesz przenieść, korzystając z bezpłatnej migracji do SEOHOST.
Komentarze