Początek 2026 roku oznacza ważny okres przejściowy dla ekosystemu WordPress. Po premierze WordPress 6.9 “Gene”, która odbyła się 2 grudnia 2025 roku, uwaga skupiła się na rewolucyjnym WordPress 7.0. Wraz z wprowadzeniem Abilities API i głębszą integracją sztucznej inteligencji, krajobraz zagrożeń ulega zmianie; atakujący wykorzystują obecnie zautomatyzowane narzędzia AI do skanowania podatności w tych nowych interfejsach szybciej niż kiedykolwiek wcześniej.
Spis treści
1. Rdzeń WordPress: Wycofanie wsparcia dla PHP 7.2 & 7.3
9 stycznia 2026 r. zespół Core wydał krytyczny komunikat dotyczący nadchodzącego WordPress 7.0 (zaplanowanego na 9 kwietnia 2026 r.). Aby dowiedzieć się więcej o tym, co te zmiany oznaczają dla przyszłej architektury Twojej witryny, przeczytaj naszą pełną analizę tutaj: [Link]
- Koniec wsparcia dla starszych wersji PHP: WordPress 7.0 officially oficjalnie podniesie minimalną wymaganą wersję do PHP 7.4. Witryny wciąż działające na PHP 7.2 lub 7.3 nie będą mogły zaktualizować się do gałęzi 7.0. Możesz śledzić oficjalne dyskusje zespołu core pod adresem: [Link]
- WordPress 7.0 Beta 1: Pierwsza publiczna beta spodziewana jest 19 lutego 2026 r. Wersja ta będzie kamieniem milowym “Phase 3” projektu Gutenberg, skupiającej się na edycji współdzielonej w czasie rzeczywistym. Więcej szczegółów można znaleźć na stronie: [Link]
2. Krytyczne luki w wtyczkach (Załataj natychmiast!)
W pierwszych dwóch tygodniach stycznia 2026 r. pojawiło się kilka luk o wysokim priorytecie (CVSS 7.5–9.8). Codzienne raporty można monitorować za pośrednictwem oficjalnej bazy danych Patchstack: [Link]
Alerty krytyczne wysokiego ryzyka:
- AS Password Field In Default Registration Form (<= 2.0.0)
- CVE ID: CVE-2025-14996 (Opublikowano 6 stycznia 2026).
- Zagrożenie: Krytyczne podniesienie uprawnień (9.8 CVSS).
- Szczegóły: Pozwala nieuwierzytelnionym atakującym na zresetowanie haseł administratora.
- FS Registration Password (<= 1.0)
- CVE ID: CVE-2025-15001 (Opublikowano 9 stycznia 2026).
- Zagrożenie: Obejście uwierzytelniania / Przejęcie konta.
- Status: Zgłoszone przez Wordfence Intelligence. Szczegóły: [Link]
- Shipping Rate By Cities (<= 2.0.0)
- CVE ID: CVE-2025-14770 (Opublikowano 14 stycznia 2026).
- Zagrożenie: Nieuwierzytelnione wstrzyknięcie SQL (7.5 CVSS).
- Szczegóły: Podatność w parametrze ‘city’ pozwala na nieautoryzowane wyodrębnienie danych.
3. Zabezpieczanie nowych funkcji w WP 6.9 “Gene”
WordPress 6.9 wprowadził funkcje, które wymagają nowych nawyków związanych z bezpieczeństwem. Oficjalna dokumentacja tych zmian jest dostępna pod adresem: [Link]
- System “Notatek”: System komentowania na poziomie bloków świetnie nadaje się do współpracy, ale tworzy nowe metadane. Regularnie sprawdzaj, kto posiada uprawnienia “Editor”, aby zapobiec wyciekowi wrażliwych notatek wewnętrznych.
- Funkcja ukrywania bloków: Pamiętaj, że ukryte bloki mogą być nadal dostępne za pośrednictwem WordPress REST API, chyba że wyraźnie ograniczysz punkty końcowe REST dla tych typów wpisów.
- Abilities API: W 2026 roku upewnij się, że Twoje wtyczki oparte na AI korzystają z natywnego Abilities API, aby scentralizować zarządzanie uprawnieniami i zapobiegać atakom typu “AI prompt injection”.
4. Lista kontrolna bezpieczeństwa na styczeń 2026
- Audyt PHP: Sprawdź swój hosting. Jeśli korzystasz z PHP 7.3 lub starszego, przeprowadź migrację do wersji 8.2+ przed kwietniem.
- Zgodność z Mapą Drogową: Sprawdź, czy Twoje niestandardowe motywy/wtyczki są kompatybilne z mapą drogową wersji 7.0: [Link]
- Wymuś 2FA: W obliczu wzrostu liczby luk typu “Account Takeover” w tym miesiącu, uwierzytelnianie dwuskładnikowe jest Twoją najbardziej niezawodną obroną.
Czy Twoja witryna jest chroniona? Botnety w 2026 roku potrafią wykorzystać luki w ciągu kilku godzin od ich ujawnienia. Zamiast tylko reagować na zagrożenia, zalecamy podejście proaktywne. Aby upewnić się, że Twoja witryna jest zabezpieczona przed najnowszymi exploitami, poproś o kompleksowy audyt bezpieczeństwa tutaj: [Link]
