Blog

WordPress.org w czerwcu 2026 roku wprowadził obowiązkową kwarantannę aktualizacji wtyczek i motywów (Protect the Shire), a w lipcu bez większej zapowiedzi skrócił ją z 24 do 6 godzin. Na początku sierpnia doszły do tego problemy techniczne z publikacją nowych wersji. Wyjaśniamy, co to oznacza dla administratorów stron WordPress.

Pokazujemy krok po kroku, jak bezpiecznie wyłączyć przestarzały interfejs XML-RPC w WordPressie - przez wtyczkę bezpieczeństwa, plik .htaccess lub panel hostingowy - i jak sprawdzić, czy blokada faktycznie działa.

6 sierpnia 2026 WordPress wydał wersję 7.0.3, łatając 12 podatności - w tym poważną lukę XSS na ekranie logowania (CVE-2026-64638), która przy sprzyjających warunkach może prowadzić do przejęcia strony. Wyjaśniamy, co to oznacza w praktyce.

Krok po kroku pokazuję, jak przed kliknięciem "aktualizuj" zrobić ręczną kopię plików i bazy danych WordPressa - przez panel hostingowy lub wtyczkę - i jak sprawdzić, że kopia faktycznie nadaje się do przywrócenia.

WordPress.org zaplanował premierę WordPress 7.1 na 19 sierpnia 2026 roku. Wyjaśniamy, co się zmienia w rdzeniu i na co zwrócić uwagę przed aktualizacją.

Krok po kroku pokazuję, jak ograniczyć liczbę nieudanych prób logowania do wp-admin za pomocą wtyczki i dodatkowej ochrony po stronie hostingu, żeby boty nie mogły w nieskończoność zgadywać hasła.

28 lipca 2026 roku w oficjalnej wersji wtyczki Advanced Responsive Video Embedder wykryto backdoor dający dostęp administracyjny bez hasła. Wyjaśniamy, co się stało i co zrobić, jeśli masz tę wtyczkę zainstalowaną.

W popularnej wtyczce OAuth Single Sign-On od miniOrange wykryto krytyczny błąd uwierzytelniania (CVE-2026-57807, CVSS 9,8), który pozwala zalogować się na konto administratora bez hasła. Producent pod koniec lipca 2026 roku wciąż nie wydał poprawki.

Krok po kroku pokazuję, jak włączyć logowanie dwuskładnikowe w WordPressie, żeby samo hasło administratora przestało wystarczać do przejęcia strony.