WordPress.org po cichu skrócił kwarantannę aktualizacji wtyczek z 24 do 6 godzin

Latem 2026 roku WordPress.org zmienił zasady publikowania aktualizacji wtyczek i motywów — a w sierpniu ten nowy mechanizm sam napotkał problemy techniczne. Warto wiedzieć, co się zmieniło i co to oznacza dla kogoś, kto na co dzień administruje stroną opartą na WordPressie.

5 czerwca 2026 roku, przy okazji WordCamp Europe w Krakowie, WordPress.org ogłosił inicjatywę „Protect the Shire". Chodziło o odpowiedź na rosnący problem: w ostatnich miesiącach kilka razy zdarzyło się, że ktoś przejmował legalną, popularną wtyczkę i po cichu dokładał do niej złośliwy kod w kolejnej, pozornie zwykłej aktualizacji. W ramach inicjatywy każda nowa wersja wtyczki lub motywu z oficjalnego repozytorium trafiała najpierw do obowiązkowej, 24-godzinnej „kwarantanny" — czasu na dodatkowe sprawdzenie kodu, między innymi przez nowe narzędzie do automatycznej analizy. Co istotne, blokada objęła nie tylko aktualizacje automatyczne, ale też ręczne — kliknięcie „aktualizuj" w panelu WordPressa też czekało na koniec tego okresu, nawet jeśli changelog wyraźnie mówił o łatanej luce bezpieczeństwa.

W lipcu WordPress.org skrócił ten czas z 24 do 6 godzin. Zmiana nie doczekała się jednak osobnego, publicznego ogłoszenia — informacja pojawiła się najpierw na kanale Slack zespołu meta, przez co część deweloperów wtyczek dowiedziała się o niej dopiero wtedy, gdy ich wydania trafiły do sieci szybciej, niż planowali. Docelowo WordPress.org chce pójść dalej i pomijać kwarantannę całkowicie, gdy automatyczna kontrola (nazywana wewnętrznie „Gandalf") nie znajdzie żadnych zastrzeżeń.

Na to nakłada się osobny, świeższy problem: 5 sierpnia 2026 roku zespół odpowiedzialny za katalog wtyczek poinformował o awarii procesu publikacji — nowo wydawane paczki ZIP w części przypadków w ogóle się nie generowały, a niektórzy autorzy zgłaszali też problemy z dostępem do SVN, systemu, w którym trzymany jest kod wtyczek. Efekt: aktualizacja, którą deweloper formalnie już opublikował, mogła nie dotrzeć do użytkowników wcale — niezależnie od długości samej kwarantanny.

Dla administratora pojedynczej strony płynie z tego prosty wniosek: sam fakt, że panel WordPressa nie pokazuje jeszcze dostępnej aktualizacji, nie znaczy, że łatka bezpieczeństwa nie istnieje. Przy pilnych poprawkach krytycznych luk warto zerknąć bezpośrednio na stronę wtyczki czy w jej dzienniku zmian, zamiast czekać, aż zrobi to za nas automatyzacja — bo ta bywa dziś opóźniona z powodów, które nie mają nic wspólnego z samą wtyczką. To także dobry moment, żeby przypomnieć sobie o kopii zapasowej przed każdą aktualizacją i o hostingu, który realnie pomaga w takich sytuacjach — nasze podejście do oceny hostingów opisujemy na stronie jak testujemy, a pełne zestawienie znajdziesz w rankingu.