Luki we wtyczkach WordPress: październik 2026, co sprawdzić

W październiku 2026 roku trzy wtyczki WordPressa dostały pilne poprawki bezpieczeństwa, a jedna z nich jest atakowana od 7 października. Do tego 28 października wyszedł WordPress 7.1.4, który łata błąd w samym mechanizmie aktualizacji. Jeśli Twoja firmowa strona działa na WordPressie, poświęć jej dziś 15 minut.

Piszę, co się stało, jak bez programisty sprawdzić, czy Twoja strona jest narażona, co zrobić od razu i co zlecić hostingowi albo wykonawcy strony. Stan wiedzy: 30 października 2026 roku. Wersje z poprawkami mogą się jeszcze zmienić, więc przed aktualizacją zajrzyj na stronę producenta wtyczki.

Co się stało: trzy wtyczki, jedna już atakowana

Wtyczki to dodatki, które dają WordPressowi formularze, rezerwacje czy szybsze ładowanie. Każda z nich to cudzy kod działający na Twoim serwerze. Gdy autor popełni błąd, obca osoba może go wykorzystać, często bez logowania.

Bricksforge (CVE-2026-85097): atakowana od 7 października

Bricksforge to płatny dodatek do kreatora stron Bricks, kupowany u producenta, a nie w katalogu wordpress.org. Błąd w module formularzy Pro Forms pozwalał osobie bez konta wgrać plik na serwer i uruchomić własny kod PHP, czyli w praktyce przejąć stronę. Firma Patchstack, która opisała ataki, oceniła lukę na 10 w skali CVSS od 0 do 10, a Wordfence, który nadał jej numer CVE, na 9,8. W ostrzeżeniu Patchstack czytam, że pierwsze próby ataku zarejestrowano 7 października późnym wieczorem, z 63 różnych adresów IP.

Patchstack podaje jako wersję z poprawką 3.1.8.10. Według listy zmian producenta poprawka jest też w 4.0.0, wersja 4.0.1 z 8 października łata kolejny błąd w wysyłaniu plików przez Pro Forms, a 4.0.2 z 13 października dodaje dalsze zabezpieczenia, m.in. folderu na pliki tymczasowe formularzy. Dlatego zalecam aktualizację do 4.0.2 (najnowsza wersja na 30 października) albo nowszej.

LatePoint (CVE-2026-110653): konta klientów systemu rezerwacji

LatePoint służy do rezerwacji wizyt i według strony wtyczki na wordpress.org ma ponad 100 tys. aktywnych instalacji. W wersjach do 5.7.4 osoba, która znała e-mail albo numer telefonu klienta, mogła obejść limit prób przy logowaniu jednorazowym kodem i wejść na jego konto: zobaczyć rezerwacje i dane osobowe. Poprawka jest w wersji 5.7.5 z 16 października. Wersja 5.7.6 z 26 października łata kolejny, mniej groźny błąd, więc najlepiej od razu zainstaluj najnowszą. W bazie Patchstack do 30 października nie ma informacji o atakach.

10Web Booster (CVE-2026-108587): wgrywanie plików bez logowania

10Web Booster przyspiesza stronę i kompresuje zdjęcia. Według wordpress.org działa na ponad 60 tys. stron. W wersjach do 2.34.10 osoba z zewnątrz mogła w pewnych warunkach wgrać plik na serwer i uruchomić kod. Opisy luki wiążą ją ze wstrzymaną masową optymalizacją zdjęć, ale nie zakładaj, że Ciebie to nie dotyczy. Poprawka: wersja 2.34.11. Patchstack ocenia, że ataki są prawdopodobne, choć do 30 października nie były potwierdzone.

Kogo to dotyczy

• Stron z którąkolwiek z tych wtyczek, także wyłączoną. Wyłączona wtyczka nadal leży na serwerze.
• Stron robionych przez agencję albo freelancera, do których panelu nikt nie zagląda. Bricksforge to narzędzie dla osób budujących strony w Bricks, więc zwykle instaluje go wykonawca, a właściciel firmy może nawet nie wiedzieć, że go ma.
• Stron z płatnymi wtyczkami po wygaśnięciu licencji. Płatne dodatki spoza wordpress.org zwykle aktualizują się tylko z aktywnym kluczem licencji. Bez niego panel może w ogóle nie pokazać, że jest nowa wersja.

Jeśli Twoja strona nie stoi na WordPressie, ta porada Cię nie dotyczy. Nie wiesz, na czym działa? Wyjaśniam to w nadchodzącej poradzie „Jak sprawdzić wersję PHP i na czym działa Twoja strona”.

Jak sprawdzić swoją stronę w 15 minut, bez programisty

Potrzebujesz konta administratora w WordPressie. Nazwy pozycji menu podaję dla panelu po polsku.

1. Lista wtyczek. Wejdź w Wtyczki → Zainstalowane wtyczki. Przy każdej wtyczce widać jej wersję. Poszukaj Bricksforge, LatePoint i 10Web Booster i porównaj wersję z tabelą wyżej.
2. Czekające aktualizacje. W Kokpit → Aktualizacje zobaczysz wersję WordPressa i wtyczki, które mają nowsze wydania. Jeśli coś czeka tam od tygodni, to znak, że nikt nie pilnuje strony.
3. Automatyczne aktualizacje. Na liście wtyczek jest kolumna „Automatyczne aktualizacje”. Sprawdź, przy których wtyczkach są włączone. Według dokumentacji WordPress instaluje je dwa razy dziennie, ale tylko wtedy, gdy działa jego harmonogram zadań (WP-Cron). Problemy z harmonogramem pokaże Narzędzia → Stan witryny.
4. Konta administratorów. Wejdź w Użytkownicy → Wszyscy użytkownicy i kliknij filtr „Administrator”. Każde konto, którego nie rozpoznajesz, to powód do niepokoju. Częsty ślad włamania to nowy administrator o nazwie udającej techniczną, na przykład „support” albo „wpadmin”.
5. Skaner bezpieczeństwa. Jeśli masz wtyczkę bezpieczeństwa (np. Wordfence) albo skaner w panelu hostingu, uruchom pełne skanowanie. Szukasz zmienionych plików WordPressa i plików PHP w katalogu na zdjęcia (wp-content/uploads). Tam pliki PHP nie powinny się pojawiać.

Gdy wszystkie wtyczki są w bezpiecznych wersjach, administratorów znasz, a skaner nic nie znalazł, możesz odetchnąć. Jeśli coś się nie zgadza, przejdź do kolejnych sekcji.

Co zrobić dziś

• Zrób kopię zapasową plików i bazy, najlepiej w panelu hostingu albo wtyczką do kopii. Przy wtyczce atakowanej od kilku tygodni nie odkładaj aktualizacji „na po weekendzie”: kopia i aktualizacja to kwestia minut.
• Zaktualizuj wtyczki z tabeli. Bricksforge pobierasz z konta u producenta albo aktualizujesz w panelu po wpisaniu klucza licencji. Przejście z wersji 3.x na 4.x to duża zmiana, więc potem wyślij próbną wiadomość przez każdy formularz.
• Usuń wtyczki, których nie używasz. Samo wyłączenie nie wystarczy. Mniej wtyczek to mniej miejsc, w których może pojawić się luka.
• Włącz automatyczne aktualizacje prostych wtyczek, jeśli masz codzienną kopię. Wtyczki od rezerwacji, płatności i sklepu aktualizuję ręcznie, ale poprawki bezpieczeństwa instaluję w ciągu dnia lub dwóch. Kolejność kroków i plan awaryjny opisałem w poradniku jak bezpiecznie zaktualizować WordPress.
• Zmień hasła administratorów i włącz logowanie dwuskładnikowe, jeśli Bricksforge w wersji z luką działał u Ciebie po 7 października. Do tego zleć skan plików opisany niżej, bo sama zmiana haseł nie usunie pliku podrzuconego przez intruza.

Przy okazji: WordPress 7.1.4 z 28 października

28 października wyszedł WordPress 7.1.4, który naprawia 22 luki. Najpoważniejsza to błąd w trakcie aktualizacji rdzenia, który mógł prowadzić do uruchomienia obcego kodu na serwerze. Wordfence informuje, że próby jej wykorzystania pojawiły się już kilka godzin po wydaniu poprawki. Według opisu wydania na wordpress.org poprawki trafiły też do starszych gałęzi, np. 7.0.8 i 6.9.11, a WordPress 4.6 i starsze nie dostają już łatek bezpieczeństwa.

Sprawdź w Kokpit → Aktualizacje, jaką masz wersję. Takie poprawki zwykle instalują się same, ale tylko wtedy, gdy nikt nie wyłączył automatycznych aktualizacji rdzenia.

Co zlecić hostingowi albo wykonawcy strony

Część rzeczy wymaga dostępu do serwera. To zadania dla hostingu albo osoby, która opiekuje się stroną:

• przejrzenie dzienników serwera pod kątem zapytań do formularzy Bricksforge od 7 października (Patchstack wskazuje adres /wp-json/bricksforge/v1/form_submit),
• przeszukanie katalogu wp-content/uploads pod kątem plików PHP, w tym folderu wp-content/uploads/bricksforge/tmp/ i plików o nazwach zaczynających się od login_admin_,
• zablokowanie uruchamiania PHP w katalogu na zdjęcia, czyli prosta reguła serwera, która utrudnia wiele ataków tego typu,
• włączenie zapory aplikacji (WAF) z regułami dla nowych luk; darmowa wersja Wordfence dostaje nowe reguły z 30-dniowym opóźnieniem (regułę dla luki z WordPressa 7.1.4 dostanie 27 listopada), więc przy trwających atakach najważniejsza jest aktualizacja,
• potwierdzenie kopii zapasowej poza serwerem strony i podanie daty ostatniej udanej kopii.

Wiadomość, którą możesz skopiować:

Dzień dobry, w październiku wyszły poprawki bezpieczeństwa wtyczek Bricksforge (CVE-2026-85097), LatePoint (CVE-2026-110653) i 10Web Booster (CVE-2026-108587) oraz WordPress 7.1.4. Proszę o sprawdzenie, czy nasza strona [adres] ma którąś z tych wtyczek i czy jest zaktualizowana, o przegląd kont administratorów i skan plików oraz o informację, kiedy powstała ostatnia kopia zapasowa. Proszę o krótkie potwierdzenie mailem, co zostało zrobione.

Jeśli nie wiesz, kto u Ciebie odpowiada za aktualizacje, wracam do tego w nadchodzącej poradzie „Aktualizacja strony: kto odpowiada, hosting czy wykonawca?”.

Gdy widzisz ślady włamania

Nieznany administrator, pliki PHP w katalogu na zdjęcia, dziwne przekierowania albo ostrzeżenie w Google to znaki, że ktoś już był na Twojej stronie. Wtedy sama aktualizacja nie wystarczy: zamyka drzwi, ale nie wyrzuca intruza. Plan na pierwszą godzinę opisałem w poradzie zhakowany WordPress: co robić.

Jeśli na stronie są konta klientów, na przykład w LatePoint, i ktoś mógł mieć do nich dostęp, porozmawiaj z osobą odpowiedzialną w firmie za RODO. Naruszenie ochrony danych osobowych zgłasza się do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko naruszenia praw lub wolności osób, których dane dotyczą (art. 33 RODO). To nie jest porada prawna, tylko sygnał, żeby nie przegapić terminu.

Podsumowanie

W październiku jedna wtyczka trafiła pod ataki, a dwie kolejne dostały pilne łaty. Sprawdź listę wtyczek, konta administratorów i wersję WordPressa, usuń to, czego nie używasz, i ustal, kto u Ciebie odpowiada za aktualizacje.

Jeśli wolisz nie pilnować tego samodzielnie, biorę to na siebie w ramach opieki technicznej. W pakiecie Czuwanie (od 149 zł netto miesięcznie) pilne aktualizacje bezpieczeństwa instaluję w 2 dni i co tydzień robię kopię poza serwerem, Standard (od 349 zł netto) daje codzienną kopię i reakcję w 1 dzień roboczy, a Pro (od 749 zł netto) reakcję w 4 godziny. Stan zabezpieczeń sprawdzę w audycie bezpieczeństwa (od 990 zł netto), a serwer i aplikację utwardzę w usłudze cyberbezpieczeństwo projektu. Napisz do mnie, odpowiadam w 24 godziny.