WordPress 7.0.3 jest już dostępny. Najnowsza aktualizacja bezpieczeństwa usuwa 12 podatności wykrytych w WordPress Core, w tym lukę XSS na ekranie logowania, która w określonych warunkach może prowadzić do wykonania kodu PHP.
Wersja opublikowana 6 sierpnia jest aktualizacją bezpieczeństwa. Nie wprowadza nowych funkcji ani zmian w obsłudze CMS-a. Jej głównym zadaniem jest usunięcie 12 problemów bezpieczeństwa wykrytych w WordPress Core. Najpoważniejszym z nich jest luka XSS występująca na ekranie logowania, której wykorzystanie w odpowiednich warunkach może prowadzić do wykonania kodu PHP.
Ważne! WordPress obsługuje automatyczne instalowanie drobnych aktualizacji bezpieczeństwa i maintenance. Jeżeli mechanizm ten nie został wyłączony lub ograniczony w konfiguracji serwera, aktualizacja powinna zostać zainstalowana automatycznie. Sprawdź to. Po zalogowaniu do panelu WordPress przejdź do Kokpit → Aktualizacje, gdzie zobaczysz aktualnie używaną wersję CMS-a.
Przeczytaj także: Jak ręcznie zaktualizować WordPress?
Jakie podatności zostały wykryte?
WordPress 7.0.3 usuwa łącznie 12 problemów bezpieczeństwa. Nie wszystkie mają taki sam poziom zagrożenia, jednak kilka z nich może mieć istotny wpływ na bezpieczeństwo strony.
Najwięcej uwagi poświęcono podatności CVE-2026-64638, określanej również jako XSS2Shell. Dotyczy ona ekranu logowania WordPress i umożliwia przeprowadzenie ataku typu reflected XSS bez wcześniejszego zalogowania do serwisu.
Mówiąc prościej, odpowiednio przygotowany link może doprowadzić do uruchomienia złośliwego kodu w przeglądarce osoby korzystającej z WordPressa. Jeżeli celem ataku jest zalogowany administrator i spełnione zostaną dodatkowe warunki, możliwe jest rozwinięcie ataku aż do wykonania kodu PHP na serwerze.
Podatność została oceniona jako High, z wynikiem CVSS 8.9.
Aktualizacja usuwa również:
- kilka podatności XSS związanych z edycją i wyświetlaniem treści,
- możliwość eskalacji uprawnień w instalacjach WordPress Multisite,
- problemy prowadzące do ujawnienia części informacji,
- możliwość obejścia mechanizmu potwierdzania adresu e-mail,
- podatność SSRF związaną z walidacją adresów URL.
Nie oznacza to, że każda z tych luk pozwala od razu przejąć stronę. Część wymaga posiadania konta o określonych uprawnieniach, dodatkowej konfiguracji WordPressa albo interakcji użytkownika. Aktualizacja usuwa jednak wszystkie opisane problemy, dlatego nie ma powodu, aby odkładać jej instalację.
W jaki sposób zespół WordPress naprawił podatności?
W przypadku najpoważniejszej podatności związanej z ekranem logowania problem dotyczył sposobu przetwarzania danych wprowadzanych podczas nieudanej próby logowania.
Odpowiednio przygotowana wartość mogła przejść przez mechanizmy filtrowania HTML i zostać ponownie zinterpretowana przez przeglądarkę. W efekcie możliwe było uruchomienie kodu w kontekście zaatakowanej strony.
W WordPress 7.0.3 zmieniono sposób obsługi tych danych. Wprowadzona poprawka powoduje ich prawidłowe kodowanie jeszcze przed przekazaniem do dalszego przetwarzania, dzięki czemu przygotowany przez atakującego fragment nie jest interpretowany jako aktywny kod HTML.
Pozostałe poprawki dotyczą między innymi kontroli uprawnień, filtrowania danych, walidacji adresów URL oraz mechanizmów odpowiedzialnych za udostępnianie informacji.
Zespół WordPress udostępnił poprawki nie tylko dla najnowszej gałęzi 7.0. Podatności zostały również załatane w obsługiwanych starszych wydaniach CMS-a. Użytkownikom korzystającym z aktualnej wersji WordPressa rekomendowana jest jednak aktualizacja do 7.0.3 lub nowszej.
Co powinien zrobić właściciel strony WordPress?
Najważniejsze jest sprawdzenie aktualnie używanej wersji CMS-a i upewnienie się, że strona korzysta już z wersji zawierającej poprawki bezpieczeństwa. Sama aktualizacja WordPressa to jednak nie wszystko. Warto przy okazji sprawdzić pozostałe elementy instalacji.
1. Wykonaj kopię zapasową
Przed ręczną aktualizacją wykonaj kopię zapasową strony oraz bazy danych. Pozwoli ona szybko wrócić do poprzedniej wersji serwisu, jeśli po instalacji aktualizacji pojawi się problem z działaniem strony, wtyczki lub motywu.
Jeżeli korzystasz z Softaculous, zobacz poradnik: Jak skonfigurować kopię zapasową WordPress w Softaculous?
2. Zaktualizuj WordPressa
Jeżeli Twoja strona nadal działa na WordPress 7.0.2, przejdź w panelu administracyjnym do Kokpit → Aktualizacje i zainstaluj najnowszą dostępną wersję.
W przypadku stron, na których automatyczne aktualizacje bezpieczeństwa są aktywne, WordPress 7.0.3 powinien zostać pobrany w tle. Nie zakładaj jednak, że proces zakończył się poprawnie. Sprawdź numer wersji widoczny w panelu administratora.
Pełną instrukcję znajdziesz tutaj: Jak zaktualizować WordPress do nowej wersji?
3. Zaktualizuj wtyczki i motyw
Sprawdź również dostępność aktualizacji dla używanego motywu oraz zainstalowanych wtyczek. WordPress Core jest tylko jednym z elementów strony, a aktualne wersje rozszerzeń są równie ważne dla jej bezpieczeństwa i prawidłowego działania.
Informacje o aktualizacjach znajdziesz w panelu WordPress w sekcji Kokpit → Aktualizacje. Nie używasz już któregoś rozszerzenia? Zamiast pozostawiać je nieaktywne, rozważ jego usunięcie.
Więcej informacji znajdziesz w naszym Kompleksowym poradniku optymalizacji WordPress, w którym opisujemy aktualizację WordPressa, motywów i wtyczek oraz dalszą konserwację strony.
4. Sprawdź działanie strony
Po wykonaniu aktualizacji otwórz stronę i sprawdź jej najważniejsze funkcje. Zwróć uwagę przede wszystkim na panel administracyjny, formularze, menu oraz najważniejsze podstrony.
Jeżeli prowadzisz sklep WooCommerce, sprawdź dodatkowo koszyk, proces składania zamówienia i płatności. W przypadku rozbudowanych serwisów lub stron ważnych dla działalności firmy aktualizacje warto wcześniej przetestować na środowisku testowym.
Przeczytaj także: Co to jest Staging Site i dlaczego warto z niego korzystać?
W jaki sposób SEOHOST dba o bezpieczeństwo stron WordPress?
Bezpieczeństwo naszych klientów traktujemy priorytetowo.
Po opublikowaniu informacji o nowych podatnościach analizujemy sposób ich wykorzystania oraz możliwości ograniczenia ryzyka na poziomie infrastruktury hostingowej. Tam, gdzie jest to możliwe i uzasadnione, wdrażamy dodatkowe reguły ModSecurity (WAF) mające ograniczać możliwość wykorzystania znanych technik ataku.
Web Application Firewall stanowi dodatkową warstwę ochrony pomiędzy stroną internetową a ruchem przychodzącym z sieci. Pozwala wykrywać i blokować część podejrzanych żądań jeszcze zanim zostaną przetworzone przez WordPress.
Pamiętaj, że WAF nie zastępuje aktualizacji WordPressa.
Reguły bezpieczeństwa mogą utrudnić lub zablokować określone sposoby wykorzystania podatności, ale nie usuwają błędu znajdującego się w kodzie CMS-a. W przypadku WordPress 7.0.3 właściwym rozwiązaniem pozostaje instalacja wersji zawierającej oficjalne poprawki.
Dlatego wszystkim użytkownikom WordPressa rekomendujemy sprawdzenie używanej wersji CMS-a i aktualizację do WordPress 7.0.3 lub nowszej.
Dlaczego regularne aktualizacje WordPressa są ważne?
Aktualizacja WordPressa nie zawsze oznacza nowe funkcje czy zmiany w panelu administracyjnym. Część wydań powstaje przede wszystkim po to, aby usunąć błędy i podatności odkryte już po publikacji wcześniejszej wersji.
Informacje o lukach bezpieczeństwa są często publikowane w momencie udostępnienia poprawki. Oznacza to, że szczegóły problemu stają się znane nie tylko administratorom stron i specjalistom ds. bezpieczeństwa, ale również osobom próbującym wykorzystać podatność.
Dlatego odkładanie aktualizacji zwiększa okres, w którym strona działa na wersji zawierającej publicznie znany problem.
Dotyczy to nie tylko sklepów internetowych czy dużych serwisów. Aktualny WordPress jest równie ważny dla strony firmowej, bloga, wizytówki lokalnej firmy czy niewielkiego serwisu informacyjnego.
Przeczytaj także: Dlaczego warto regularnie aktualizować WordPressa?
Komentarze