Bezpieczeństwo WordPressa w czasach AI – więcej luk i szybsze ataki

Luk w WordPressie jest dziś więcej niż kiedykolwiek, a czas między ich ujawnieniem a pierwszymi atakami liczy się w godzinach, nie w tygodniach. Według raportu Patchstack w 2025 roku wykryto 11 334 nowe podatności w ekosystemie WordPressa, o 42% więcej niż rok wcześniej. Najgroźniejsze z nich były masowo atakowane średnio po 5 godzinach. Narzędzia AI przyspieszają zarówno szukanie luk, jak i pisanie gotowych ataków, więc aktualizacja „przy okazji, za kilka tygodni” przestaje wystarczać.

Poniżej wyjaśniam, co się zmieniło, skąd biorą się te liczby i co to oznacza w praktyce dla małej strony firmowej.

Co mówią liczby?

Najpełniejsze dane zbiera co roku firma Patchstack, która zajmuje się bezpieczeństwem WordPressa. Z jej raportu State of WordPress Security in 2026 wynika, że:

• w 2025 roku wykryto 11 334 nowe luki, o 42% więcej niż w 2024,
• 91% z nich dotyczyło wtyczek, 9% motywów, a w samym rdzeniu WordPressa znaleziono tylko 6,
• 46% luk nie miało gotowej poprawki w dniu, w którym informacja o nich stała się publiczna,
• około połowa groźnych podatności była atakowana w ciągu 24 godzin, a ważona mediana czasu do masowych ataków wyniosła 5 godzin,
• typowe zabezpieczenia po stronie hostingu zablokowały w testach tylko część ataków wymierzonych konkretnie w luki WordPressa.

Wniosek jest prosty: najsłabszym punktem strony nie jest sam WordPress, tylko wtyczki. A czasu na reakcję jest coraz mniej.

Co zmienia AI?

Modele AI potrafią dziś czytać kod wtyczek, szukać w nim błędów i pisać działające ataki. Dobrze pokazała to luka nazwana wp2shell, ujawniona w lipcu 2026 roku. Dotyczyła rdzenia WordPressa, a badacz, który ją znalazł, zrobił to z pomocą modelu AI w nieco ponad 10 godzin. Jak sam napisał, bez AI żaden badacz nie zbudowałby tego ataku w takim czasie. Po opublikowaniu gotowego kodu masowe próby włamań zaczęły się w ciągu kilku godzin.

To działa w obie strony. Te same narzędzia pomagają autorom wtyczek szybciej znajdować i łatać błędy. Problem w tym, że atakujący nie muszą czekać, aż właściciel strony zajrzy do panelu. Automatyczne skanery sprawdzają strony masowo i nie wybierają celów, więc mała strona firmowa jest dla nich tak samo dobrym celem jak duży sklep.

Jest też druga strona medalu. Coraz więcej kodu wtyczek i motywów powstaje z pomocą AI, często bez dokładnego przeglądu. Taki kod bywa działający, ale nie zawsze bezpieczny.

Co to oznacza dla właściciela strony?

Najważniejsza zmiana dotyczy tempa. Jeszcze kilka lat temu aktualizacja raz w miesiącu wystarczała większości stron. Dziś, gdy luka we wtyczce, której używasz, staje się publiczna, liczą się godziny.

W praktyce oznacza to trzy rzeczy:

• Regularne aktualizacje to minimum. Strona nieaktualizowana od kilku miesięcy prawie na pewno ma wtyczki ze znanymi lukami.
• Przy groźnej luce aktualizacja nie może czekać do najbliższej planowej serii. Trzeba ją zrobić najszybciej, jak to możliwe, gdy tylko autor wyda poprawkę.
• Trzeba wiedzieć, co się dzieje na stronie. Skoro część luk nie ma poprawki w dniu ujawnienia, warto mieć mechanizm, który zauważy podmienione lub dodane pliki, zanim zmiana zaszkodzi stronie.

Jak chronić stronę WordPress w 2026 roku?

1. Aktualizuj WordPressa, motyw i wtyczki regularnie, najlepiej w stałym rytmie, a nie wtedy, gdy przypomnisz sobie o panelu.
2. Usuń wtyczki, których nie używasz. Nieaktywna wtyczka też może mieć lukę, a każda mniej to mniej rzeczy do pilnowania.
3. Wybieraj wtyczki aktualizowane przez autorów. Wtyczka bez aktualizacji od ponad roku to ryzyko.
4. Rób kopie zapasowe poza serwerem strony, żeby w razie problemu dało się wrócić do działającej wersji.
5. Włącz monitorowanie zmian w plikach i powiadomienia o znanych lukach w używanych wtyczkach.
6. Zabezpiecz logowanie: mocne hasła, uwierzytelnianie dwuskładnikowe, ograniczenie prób logowania i osobne konta dla każdej osoby.

Więcej o samych typach ataków opisałem we wpisie o najczęstszych atakach na WordPressa.

Samodzielnie czy z pomocą?

Jeśli masz czas i wprawę, większość tych kroków zrobisz sam. Najtrudniejsze jest tempo reakcji: trzeba na bieżąco śledzić informacje o lukach we wtyczkach, których używasz, i zareagować tego samego dnia, a nie przy następnym logowaniu do panelu.

Dlatego w pakiecie Ochrona w ramach opieki technicznej WordPress nie czekam na kolejną serię aktualizacji. Gdy we wtyczce z Twojej strony zostanie wykryta podatność, aktualizuję ją w najszybszym możliwym terminie, a do tego monitoruję zmiany w plikach strony. Gdyby mimo to doszło do infekcji, usuwam ją bez dodatkowej opłaty. Jeśli strona już jest zainfekowana, zobacz usuwanie infekcji WordPress albo napisz do mnie.

FAQ

Ile luk wykryto w WordPressie w ostatnim roku?

Według raportu Patchstack w 2025 roku wykryto 11 334 nowe luki w ekosystemie WordPressa, o 42% więcej niż w 2024 roku. 91% z nich dotyczyło wtyczek, a w samym rdzeniu WordPressa znaleziono tylko 6.

Jak szybko atakujący wykorzystują nowe luki?

Bardzo szybko. Około połowa groźnych podatności była atakowana w ciągu 24 godzin od ujawnienia, a ważona mediana czasu do masowych ataków wyniosła 5 godzin.

Czy AI zwiększa ryzyko ataku na moją stronę?

Pośrednio tak. AI pomaga szybciej znajdować luki i pisać gotowe ataki, a automatyczne skanery sprawdzają strony masowo, bez wybierania celów. Dlatego liczy się tempo aktualizacji, a nie to, czy strona jest duża i znana.

Czy wystarczy zabezpieczenie po stronie hostingu?

Nie zawsze. W testach Patchstack typowe zabezpieczenia hostingu zablokowały tylko część ataków wymierzonych w luki WordPressa. Hosting pomaga, ale nie zastąpi aktualizacji wtyczek.

Jak często aktualizować wtyczki WordPress?

Planowo co najmniej dwa razy w miesiącu, a przy ujawnieniu groźnej luki we wtyczce, której używasz, od razu po wydaniu poprawki.