Luka bezpieczeństwa w WordPress jest aktywnie wykorzystywana przez atakujących podczas procesu aktualizacji stron. Firma cyberbezpieczeństwa Wordfence zablokowała ponad 240 000 prób wykorzystania luki do 6 listopada, a amerykańscy regulatorzy wyznaczyli federalnym agencjom termin na załatanie podatności. Luka, oznaczona jako CVE-2026-119977, nie opiera się na słabych hasłach ani przestarzałych wtyczkach. Zamiast tego tkwi w sposobie, w jaki WordPress obsługuje niektóre pełne aktualizacje oprogramowania.

Podczas tych aktualizacji WordPress przez krótki czas rozpakowuje pliki instalacyjne do folderu dostępnego publicznie. Okno trwa zaledwie sekundy, ale właśnie ten krótki moment atakujący starają się wychwycić.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Jak działa atak

Atakujący, który dotrze do tych plików we właściwym momencie, może być w stanie uruchomić złośliwy kod PHP. Nie musi wcześniej logować się na stronie, a słabe hasła ani nieaktualne wtyczki nie odgrywają żadnej roli w tym wykorzystaniu. Udany atak mógłby pozwolić na instalację backdoorów, zmianę treści strony, tworzenie nieautoryzowanych kont administratora lub kradzież poufnych informacji. Luki niewymagające poświadczeń zalicza się do najpoważniejszych klas podatności internetowych, ponieważ typowe zabezpieczenia logowania — silne hasła, uwierzytelnianie dwuskładnikowe, higiena wtyczek — w ogóle nie wchodzą do gry.

Luka ma wskaźnik ciężkości CVSS 8,1 na 10, co plasuje ją w kategorii wysokiego ryzyka standardowej skali podatności od 0 do 10. Według Wordfence dotyczy ona wersji WordPress od 4.7 do 7.1.3, czyli zakresu obejmującego niemal dekadę wydań. Ponieważ WordPress obsługuje około 39,5% wszystkich stron internetowych na świecie według W3Techs, populacja potencjalnie zagrożonych stron jest znaczna — pojedyncza luka w rdzeniu oprogramowania może wystawić blogi, media i firmy na to samo ryzyko, dopóki nie zostaną załatane.

Wordfence informuje, że atakujący rozpoczęli wykorzystywanie lukę 28 października, tego samego dnia, w którym WordPress wydał aktualizację bezpieczeństwa. W całej branży oprogramowania publikacja publicznej poprawki jest traktowana jako potencjalny sygnał startowy dla atakujących, ponieważ łatki mogą ujawniać naprawiane słabości — to jeden z powodów, dla których zespoły bezpieczeństwa nalegają na natychmiastową aktualizację, a nie na rutynowy harmonogram. Wczesny monitoring wykrył ponad 18 500 podejrzanych żądań w około 21 godzin, a liczby następnie stale rosły. Do 6 listopada zapora Wordfence zablokowała ponad 240 000 prób wykorzystania luki. Najgorszym dniem był 30 października, kiedy zablokowano ponad 74 000 złośliwych żądań.

Badacze zaobserwowali również, że atakujący wielokrotnie skanowali strony przez długi czas, najwyraźniej czekając, aż podatne strony wejdą w krótkie okno aktualizacji, w którym pliki instalacyjne stają się publicznie dostępne. Zablokowane żądania nie oznaczają potwierdzonych włamań. Wykorzystanie luki wymaga precyzyjnego timing, co sprawia, że przejęcie strony jest znacznie trudniejsze niż wysłanie żądania. Mimo to wolumen ruchu pokazuje duże zainteresowanie ze strony atakujących.

Poprawka, termin i zalecenia dla właścicieli stron

WordPress wydał wersję 7.1.4 28 października. Wydanie naprawia lukę wraz z kilkoma innymi problemami bezpieczeństwa, a łatki są również dostępne dla starszych wspieranych gałęzi, więc administratorzy starszych wersji również mogą zastosować poprawki.

3 listopada amerykańska agencja Cybersecurity and Infrastructure Security Agency (CISA) dodała lukę do swojego katalogu Known Exploited Vulnerabilities — listy zarezerwowanej dla luk potwierdzonych jako aktywnie wykorzystywane — i dała federalnym agencjom cywilnym czas do 6 listopada na naprawienie problemu. Wpisy w katalogu są obowiązkowe, a nie doradcze: zgodnie z Binding Operational Directive 22-01 agencje CISA federalne agencje cywilne są zobowiązane do usunięcia wymienionych podatności przed terminem przypisanym do każdej luki. CISA potwierdziła, że luka jest wykorzystywana w praktyce.

Badacze zwrócili również uwagę na pewien problem dla stron, które pozostają podatne. Ponieważ stary, niezałatany softver obsługuje pierwszy etap aktualizacji, strona może pozostać narażona nawet podczas instalacji tej samej aktualizacji, która naprawia lukę. Wordfence zaleca zablokowanie dostępu z sieci do plików PHP w katalogu /wp-content/upgrade/ przed rozpoczęciem aktualizacji.

Firma już dodała ochronę zapory dla klientów Premium, Care i Response, a użytkownicy darmowej wtyczki mają otrzymać tę samą ochronę 27 listopada. Administratorom zaleca się potwierdzenie zakończenia aktualizacji, sprawdzenie logów serwera oraz przegląd kont administratorów pod kątem nieautoryzowanych zmian.

Firmy krypto działające na WordPress są narażone na dodatkowe ryzyko, według doniesień. Giełdy, projekty blockchain i serwisy o kryptowalutach mogą doświadczyć manipulacji stroną lub wstrzyknięcia linków phishingowych. Luka nie wpływa bezpośrednio na sieci blockchain ani portfele, ale zhakowana strona może nadal wprowadzić odwiedzających w błąd, skłaniając ich do podłączenia portfela lub zatwierdzenia fałszywych transakcji — przypomnienie, że dla firm krypto strona internetowa przed łańcuchem jest częścią ich bezpieczeństwa operacyjnego.

Na dzień 6 listopada Wordfence zablokował ponad 240 000 prób wykorzystania podatności, a administratorom zaleca się instalację WordPress 7.1.4, zastosowanie zalecanej ochrony katalogów oraz weryfikację stron po aktualizacji. Daty, które pojawiły się w kalendarzu — federalny termin łatania 6 listopada i wdrożenie ochrony zapory dla użytkowników darmowej wtyczki 27 listopada — to widoczne punkty kontrolne w miarę rozwoju sytuacji, obok bieżącego licznika zablokowanych prób prowadzonego przez Wordfence.