--- title: "WordPress łata aktywnie wykorzystywaną lukę, sama instalacja poprawki może chwilowo narazić serwis" description: "Luka CVE-2026-119977 w WordPressie jest aktywnie wykorzystywana, a sama instalacja poprawki może czasowo wystawić serwis na atak. Administratorzy powinni zablokować dostęp sieciowy do katalogu wp-content/upgrade przed aktualizacją i korzystać ze wspieranej wersji systemu." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis/index.md" date_published: "2026-11-10T15:16:36.207Z" date_modified: "2026-11-10T15:16:36.207Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "wordpress" - "cyberbezpieczeństwo" - "podatnosci" - "cve" - "aktualizacje" source_url: "https://thehackernews.com/2026/11/installing-fix-for-exploited-wordpress.html" source_name: "The Hacker News" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1793991753922.jpeg" image_alt: "A blue glass cloud icon with data layers above a silver padlock" image_credit: "© Growtika / Unsplash" image_credit_url: "https://unsplash.com/@growtika" --- # WordPress łata aktywnie wykorzystywaną lukę, sama instalacja poprawki może chwilowo narazić serwis > Aktualizacja WordPressa usuwa aktywnie wykorzystywaną lukę, ale jej instalacja może przez kilka chwil ponownie odsłonić podatny mechanizm. ## Kluczowe informacje - CVE-2026-119977 dotyczy WordPressa od wersji 4.7 do 7.1.3. - Poprawka jest dostępna w wersji 7.1.4 oraz w aktualizacjach starszych gałęzi. - Podczas instalacji aktualizacji podatny updater może jeszcze utworzyć osiągalną kopię WordPressa. - Przed aktualizacją warto zablokować dostęp sieciowy do katalogu wp-content/upgrade. WordPress ma poprawkę na lukę, która jest już wykorzystywana w atakach, ale w określonych warunkach sam proces jej instalowania może przez krótki czas ponownie wystawić serwis na zagrożenie. Problem opisany jako CVE-2026-119977 dotyczy mechanizmu aktualizacji rdzenia systemu. Badacz Umut Bayram z firmy Picus Security zaleca, aby przed aktualizacją zablokować dostęp sieciowy do katalogu wp-content/upgrade. ## Podatność pozostaje aktywna podczas instalowania poprawki Podczas pełnej aktualizacji WordPress rozpakowuje kopię nowej wersji w tymczasowym katalogu wewnątrz wp-content/upgrade. Kopia może zawierać instalator WordPressa, a serwer WWW zazwyczaj może ją obsługiwać tak jak inne pliki dostępne z sieci. Jeżeli ktoś uzyska dostęp do tej kopii przed jej usunięciem, może doprowadzić do uruchomienia kodu z uprawnieniami serwera. Nie jest do tego potrzebne konto w serwisie. Ryzyko wynika z tego, że poprawka nadaje katalogowi losową nazwę, ale kod instalujący tę poprawkę pochodzi jeszcze ze starej, podatnej wersji. - Podatność obejmuje WordPressa od wersji 4.7 do 7.1.3. - Poprawka została wydana w wersji 7.1.4 oraz w odpowiednich aktualizacjach starszych wspieranych gałęzi. - Na wersjach od 5.9 stary updater może podczas instalacji poprawki utworzyć katalog o nazwie możliwej do przewidzenia. - CISA dodała lukę do katalogu znanych podatności wykorzystywanych w atakach. - WordPress 4.6 i wcześniejsze nie otrzymują już poprawek bezpieczeństwa. ## Nie każda aktualizacja wygląda tak samo Zakres ryzyka zależy od rodzaju pakietu pobranego przez konkretną instalację. Pełne pakiety zawsze zawierają pliki instalatora. Pakiet częściowy obejmuje wyłącznie pliki zmienione między dwiema wersjami, więc tymczasowa kopia nie musi być w stanie uruchomić się jako kompletna instalacja WordPressa. Serwis nie zawsze otrzymuje pakiet częściowy, nawet gdy taki wariant istnieje. WordPress może przejść na pakiet pełny, jeśli pliki systemu nie zgadzają się z oficjalnymi sumami kontrolnymi albo aktualizacja jest ponowną instalacją. Dotyczy to również automatycznych aktualizacji działających w tle, ponieważ korzystają z tego samego mechanizmu i tych samych etapów rozpakowywania. Według sprawdzenia usługi aktualizacji WordPress.org, aktualizacje w obrębie tej samej gałęzi, na przykład z 7.1.3 do 7.1.4, były oferowane jako pakiety częściowe. Przy przejściu ze starszej gałęzi, na przykład z 7.0.7 do 7.1.4, dostępny był wyłącznie pakiet pełny. Po zainstalowaniu poprawionej wersji kolejne aktualizacje korzystają już z losowej nazwy katalogu, a tymczasowe pliki konfiguracyjne nie są kopiowane nad właściwe pliki serwisu. ## Jak ograniczyć ryzyko podczas aktualizacji Najprostszym zabezpieczeniem jest całkowite zablokowanie obsługi katalogu wp-content/upgrade przez serwer WWW przed rozpoczęciem aktualizacji. WordPress korzysta z tego katalogu bezpośrednio na dysku, dlatego sama blokada dostępu sieciowego nie powinna uniemożliwić prawidłowego działania mechanizmu aktualizacji. Administratorzy powinni następnie zainstalować wersję 7.1.4 albo odpowiednią poprawkę dla używanej, wspieranej gałęzi. Drugą bezpieczną ścieżką jest ręczna aktualizacja wykonywana poza katalogiem serwowanym przez serwer WWW. W takim wariancie należy wykonać kopię plików i bazy danych, rozpakować nowe wydanie w miejscu niedostępnym z sieci, a następnie skopiować pliki rdzenia bez nadpisywania wp-config.php i wp-content. Po zakończeniu trzeba uruchomić aktualizację bazy danych. Samo polecenie wp core update w WP-CLI nie omija problemu, ponieważ korzysta z tego samego mechanizmu i rozpakowuje pakiet w tym samym katalogu. ## Badacze odnotowali oznaki aktywnego wykorzystywania CISA uzasadniła dodanie CVE-2026-119977 do swojego katalogu dowodami aktywnego wykorzystywania, ale nie opisała konkretnych kampanii ani ofiar. Firma Wordfence poinformowała, że próby ataków rozpoczęły się dziewięć minut po wdrożeniu przez nią reguły zapory dla tej luki w dniu publikacji poprawki. Dwa najbardziej aktywne źródła przez około 14,5 godziny sprawdzały niewielkie grupy serwisów, co według firmy pasowało do prób trafienia w moment aktualizacji. Wskaźnik CVSS przypisany do luki wynosi 8,1 na 10, choć własny biuletyn WordPressa ocenia ją jako niską. W testach laboratoryjnych opisane okno ryzyka trwało zaledwie kilka sekund, ale czas zależy od sposobu aktualizacji i konfiguracji serwera. Publiczne repozytoria GitHub zawierają kod przedstawiany jako narzędzie do wykorzystania podatności. Nie potwierdzono jednak, czy każdy z tych materiałów działa zgodnie z deklaracjami. Administratorzy wersji starszych niż 4.7 powinni przejść na wspierane wydanie, ponieważ dla WordPressa 4.6 i wcześniejszych nie ma już tej poprawki. ## Wyjaśnienie pojęć ### [Pakiet pełny](https://najnowsze-informacje.pl/definicje/pakiet-pelny) Komplet plików nowej wersji WordPressa, używany między innymi przy przejściu między niektórymi gałęziami wydań. ### [Pakiet częściowy](https://najnowsze-informacje.pl/definicje/pakiet-czesciowy) Zestaw plików zmienionych między konkretną wersją początkową a docelową. ### [CVSS](https://najnowsze-informacje.pl/definicje/cvss) Standardowy system oceny ważności podatności bezpieczeństwa, wykorzystujący wynik liczbowy od 0,0 do 10,0 oraz opis czynników wpływających na ryzyko. ## Źródło pierwotne [The Hacker News](https://thehackernews.com/2026/11/installing-fix-for-exploited-wordpress.html) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-10T15:16:36.207Z - **Ostatnia aktualizacja:** 2026-11-10T15:16:36.207Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis](https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „WordPress łata aktywnie wykorzystywaną lukę, sama instalacja poprawki może chwilowo narazić serwis”, 2026-11-10, https://najnowsze-informacje.pl/cyberbezpieczenstwo/wordpress-lata-aktywnie-wykorzystywana-luke-sama-instalacja-poprawki-moze-chwilowo-narazic-serwis