Pod koniec sierpnia 2026 badacze z Wordfence i Patchstack ujawnili pięć krytycznych podatności w popularnych wtyczkach i motywach WordPressa. Wszystkie mają wspólną cechę: atakujący nie musi mieć żadnego konta na Waszej stronie, żeby je wykorzystać. Wystarczy, że witryna jest dostępna z internetu i ma zainstalowaną podatną wersję. Poprawki są już opublikowane, więc od bezpiecznej strony dzieli Was zwykle jedno wejście w panel aktualizacji.

Które wtyczki i motywy są na liście

GiveWP (CVE-2026-82222) dostał w skali CVSS ocenę 10.0, czyli najwyższą możliwą. Luka pozwala wykonać dowolne polecenia na serwerze każdej strony, która ma opublikowany choćby jeden formularz darowizny i aktywną bramkę płatności. Podatne są wersje do 4.16.7.1 włącznie, poprawka jest w 4.16.7.2. Autorzy zablokowali w niej przetwarzanie danych serializowanych przy obsłudze wpłat.

Motyw Avada (CVE-2026-18431, CVSS 9.8) pozwala nieuwierzytelnionemu atakującemu zapisać własny plik na serwerze. Stamtąd prowadzi prosta droga do uruchomienia kodu PHP i przejęcia całej witryny. ThemeFusion wydał poprawki 25 sierpnia 2026: Avada w wersji 7.16.1 oraz Fusion Builder w 3.16.1.

TranslatePress (CVE-2026-19632, CVSS 9.8) działa na ponad 400 tysiącach stron. Podatne są wszystkie wersje do 3.3.1, a błąd pozwala przejąć konto administratora bez znajomości hasła. Poprawka jest w wersji 3.3.2.

Pods (CVE-2026-19598) umożliwia nieuwierzytelnione podniesienie uprawnień w wersjach do 3.3.9. Autorzy wydali 3.3.9.1 i przenieśli poprawkę także do starszych gałęzi: 3.2.8.3, 3.1.4.2, 3.0.10.4, 2.9.19.4 oraz 2.8.23.4.

WPMU DEV Dashboard (CVE-2026-76581, CVSS 9.8) dotyczy około 350 tysięcy stron. Obejście uwierzytelniania działa tam, gdzie witryna jest podłączona do WPMU DEV Hub z włączonym logowaniem jednokrotnym (SSO) przypisanym do konta administratora. W takiej konfiguracji atakujący uzyskuje uprawnienia administratora i pełną kontrolę nad stroną. Poprawka jest w wersji 5.0.2.

Dlaczego to trafia akurat w mniejsze organizacje

Duża firma ma zwykle kogoś, kto ogląda listę aktualizacji w poniedziałek rano. Strona fundacji, kancelarii notarialnej czy przychodni częściej powstała raz, u zewnętrznego wykonawcy, i od tamtej pory po prostu działa. Nikt do niej nie zagląda, dopóki coś się nie zepsuje. To dokładnie ten model, w którym podatna wersja wtyczki potrafi stać w sieci miesiącami.

Zestaw wtyczek z tej piątki dobrze pokazuje, kogo to dotyczy. GiveWP to narzędzie do zbiórek, używane przez organizacje pozarządowe. TranslatePress trafia na strony dwujęzyczne, a więc do podmiotów obsługujących klientów zagranicznych. Avada od lat jest jednym z najczęściej kupowanych motywów komercyjnych i siedzi pod tysiącami zwykłych stron wizytówkowych. Pods obsługuje własne typy treści, na przykład katalog usług albo bazę specjalistów.

Przejęta strona rzadko zostaje po prostu podmieniona na czarne tło z napisem. Znacznie częściej atakujący zostawia na niej cichą furtkę, doklejone przekierowania do stron oszukańczych albo skrypt zbierający dane z formularzy kontaktowych. Jeśli formularz na Waszej stronie zbiera dane pacjentów, darczyńców albo osób umawiających się na spotkanie, mówimy już o incydencie ochrony danych osobowych, a nie tylko o kłopocie technicznym.

Co zrobić dziś

1. Zaloguj się do panelu WordPressa i wejdź w ekran aktualizacji. Sprawdź, czy któraś z wymienionych wtyczek albo motyw Avada są na liście zainstalowanych i w jakiej wersji.
2. Wgraj aktualizacje do wersji wskazanych wyżej. Jeśli strona jest ważna dla działania organizacji, zrób najpierw kopię zapasową plików i bazy danych.
3. Sprawdź listę kont z uprawnieniami administratora i daty ich ostatniego logowania. Konto, którego nie rozpoznajecie, albo logowanie o nietypowej porze to sygnał, żeby przyjrzeć się stronie dokładniej.
4. Jeśli korzystacie z WPMU DEV Hub, sprawdź, czy logowanie jednokrotne jest włączone i na jakie konto jest przypisane. Do czasu aktualizacji można je wyłączyć.
5. Jeśli zbieracie darowizny przez GiveWP, przejrzyj ostatnie wpisy w logach płatności i pliki wgrane na serwer w ostatnich dniach.

Gdy strona jest utrzymywana przez zewnętrzną agencję albo hostingodawcę z opieką techniczną, wyślij im listę tych pięciu podatności i poproś o pisemne potwierdzenie, że aktualizacje zostały wgrane. Umowa na utrzymanie strony nie zawsze obejmuje aktualizacje bezpieczeństwa, warto to sprawdzić przy okazji.

Jak przygotować się na następny taki tydzień

Tego typu zestaw krytycznych luk pojawia się w ekosystemie WordPressa regularnie, więc warto ustawić kilka rzeczy raz, zamiast reagować za każdym razem od zera.

Włączcie automatyczne aktualizacje wtyczek i motywów. WordPress ma to wbudowane, wystarczy zaznaczyć opcję przy każdym dodatku na liście. Ryzyko, że aktualizacja coś popsuje, jest realne, ale przy stronie wizytówkowej jest znacznie mniejsze niż ryzyko przejęcia serwera. Do tego dochodzi automatyczna kopia zapasowa trzymana poza serwerem strony, żeby po incydencie było z czego odtworzyć witrynę.

Warto też przejrzeć listę zainstalowanych wtyczek i usunąć te, których nikt już nie używa. Nieaktywna wtyczka nadal leży na serwerze i nadal bywa podatna. Na koniec: wyznaczcie jedną osobę odpowiedzialną za stronę i wpiszcie jej to w zakres obowiązków. Strona bez właściciela to strona, której nikt nie zaktualizuje.

Źródła

The Hacker News, Five Critical WordPress Plugin and Theme Flaws Enable Site Takeover or RCE (29 sierpnia 2026). Opisy podatności: Wordfence oraz Patchstack. Numery CVE: CVE-2026-82222 (GiveWP), CVE-2026-18431 (Avada), CVE-2026-19632 (TranslatePress), CVE-2026-19598 (Pods), CVE-2026-76581 (WPMU DEV Dashboard).