Krytyczne luki w WordPressie (wp2shell): CVE-2026-63030 i CVE-2026-60137 — zaktualizuj do 7.0.2

W rdzeniu WordPressa wykryto dwie poważne luki bezpieczeństwa, które w połączeniu (atakujący nazwali ten łańcuch „wp2shell") pozwalają na przejęcie strony bez logowania. Publiczny kod exploita jest już dostępny, a zespół WordPress uznał sprawę za najwyższy priorytet i uruchomił wymuszone automatyczne aktualizacje. Jeśli prowadzisz stronę na WordPressie, sprawdź wersję i zaktualizuj ją do 7.0.2 najszybciej, jak to możliwe.

Informacja: artykuł zawiera link afiliacyjny. Jeśli skorzystasz z niego, możemy otrzymać prowizję — nie ma to wpływu na cenę ani na naszą ocenę.

Co dokładnie wykryto

Chodzi o dwie luki w rdzeniu WordPressa (nie w konkretnej wtyczce), które można połączyć w atak prowadzący od anonimowego żądania aż do wykonania kodu na serwerze.

CVE-2026-63030 (krytyczna) — zdalne wykonanie kodu

To główny element łańcucha „wp2shell". Luka pozwala nieuwierzytelnionemu atakującemu wykonać kod poprzez zbiorczy (batch) endpoint REST API — w scenariuszu, w którym witryna nie korzysta z trwałego cache obiektów (persistent object cache). W praktyce oznacza to możliwość przejęcia kontroli nad stroną (Remote Code Execution).

• Podatne wersje: 6.9.0–6.9.4 oraz 7.0.0–7.0.1.

CVE-2026-60137 (wysokie zagrożenie) — SQL Injection

Podatność typu SQL Injection w rdzeniu — nieprawidłowo obsługiwane dane wejściowe w parametrze zapytania WP_Query pozwalają zmodyfikować zapytanie do bazy danych i uzyskać nieautoryzowany dostęp do danych. Sama w sobie jest groźna, a w połączeniu z powyższą luką domyka łańcuch przejęcia witryny.

• Podatne wersje: 6.8.0–6.8.5, 6.9.0–6.9.4 oraz 7.0.0–7.0.1.

Dlaczego to jest pilne

Trzy powody, dla których nie warto zwlekać:

• Atak przed uwierzytelnieniem. Napastnik nie potrzebuje konta ani hasła — wystarczy, że strona jest dostępna z internetu.
• Publiczne exploity. Kod proof-of-concept jest już jawny, więc skanowanie i próby ataków na masową skalę są tylko kwestią czasu.
• Rdzeń, nie wtyczka. Problem dotyczy samego WordPressa, więc potencjalnie każdej niezałatanej instalacji w podatnym zakresie wersji.

Automatyczne aktualizacje to nie wszystko

Zespół WordPress traktuje te luki jako swoją najwyższą kategorię zagrożenia i wymusza automatyczne aktualizacje bezpieczeństwa dla podatnych instalacji — dlatego większość stron zostanie załatana samoczynnie. Problem w tym, że nie każda witryna aktualizuje się automatycznie: automatyczne aktualizacje bywają wyłączone (ręcznie, przez wtyczkę, przez stałą w wp-config.php albo przez konfigurację hostingu), a część instalacji jest „zamrożona". Dlatego sprawdź wersję samodzielnie.

Co zrobić teraz — checklist

1. Zaktualizuj WordPress do 7.0.2 (poprawki trafiły też do gałęzi podatnych: 6.9.5 i 6.8.6 — jeśli z jakiegoś powodu zostajesz na starszej linii, wybierz najnowszą wersję poprawkową swojej gałęzi).
2. Sprawdź wersję ręcznie: Kokpit → Aktualizacje, albo w stopce panelu administracyjnego. Jeśli widzisz 6.8.0–6.8.5, 6.9.0–6.9.4 lub 7.0.0–7.0.1 — jesteś w grupie ryzyka.
3. Zaktualizuj motywy i wtyczki oraz usuń nieużywane rozszerzenia — mniej kodu to mniejsza powierzchnia ataku.
4. Zrób kopię zapasową przed i po aktualizacji — najlepiej plików oraz bazy danych. Jeśli traktujesz backup po macoszemu, zajrzyj do naszego poradnika dlaczego backup samych plików to za mało.
5. Aktualizuj na środowisku testowym, jeśli je masz — jak to zrobić bez psucia strony, opisaliśmy w poradniku o stagingu WordPressa.

Rola hostingu i reguł WAF

Wielu dostawców hostingu zareagowało prewencyjnie, dokładając reguły ModSecurity / WAF, które utrudniają wykorzystanie tych podatności. Przykładowo SEOHOST.pl poinformował klientów, że wdrożył dodatkowe reguły ModSecurity ograniczające możliwość wykorzystania opisanych luk. To dobra praktyka i realna dodatkowa warstwa ochrony — jeśli szukasz hostingu, który aktywnie reaguje na takie zagrożenia, możesz sprawdzić ofertę SEOHOST (więcej w naszej recenzji SEOHOST).

Ważne zastrzeżenie: reguły WAF nie zastępują aktualizacji i nie gwarantują pełnej ochrony przed wszystkimi wariantami ataku. Traktuj je jako bufor, który daje czas — a nie jako powód, by odkładać aktualizację. Więcej o tym, kiedy WAF ma sens, piszemy w artykule WAF dla zwykłej strony.

Ciekawostka techniczna: cache obiektów a ekspozycja

Warto odnotować niuans z CVE-2026-63030: opisywana ścieżka RCE dotyczy sytuacji, w której witryna nie używa trwałego cache obiektów (persistent object cache). Witryny z włączonym np. Redisem są w tym konkretnym wektorze w lepszej sytuacji — ale to nie jest zabezpieczenie, lecz efekt uboczny konfiguracji. Jedynym właściwym rozwiązaniem pozostaje aktualizacja. (Jeśli zastanawiasz się nad object cache z innych powodów, mamy osobny tekst: Redis object cache w WordPressie — kiedy warto.)

Podsumowanie

Dwie luki w rdzeniu WordPressa — CVE-2026-63030 (krytyczne RCE) i CVE-2026-60137 (SQL Injection) — razem umożliwiają przejęcie strony bez logowania, a exploity są już publiczne. Poprawka jest dostępna w WordPress 7.0.2. Zaktualizuj rdzeń, motywy i wtyczki, usuń zbędne rozszerzenia, zrób kopię zapasową i nie polegaj wyłącznie na WAF. To jedna z tych sytuacji, w których kilka minut na aktualizację dziś oszczędza bardzo kosztowny incydent jutro.