Fala ataków na wtyczki WordPress — sprawdź, czy używasz którejś z tych

Ostatnie tygodnie to prawdziwa fala automatycznych ataków na strony WordPress. Napastnicy nie wybierają celów ręcznie — skanują cały internet w poszukiwaniu stron z konkretną, dziurawą wtyczką i uderzają masowo. Jeśli Twoja witryna korzysta z jednego z popularnych dodatków, warto poświęcić pięć minut i sprawdzić, czy nie jesteś na liście.

Poniżej trzy luki, które są już aktywnie wykorzystywane — nie w teorii, tylko w realnych włamaniach liczonych w dziesiątkach tysięcy prób.

Everest Forms Pro — pełne przejęcie strony

Everest Forms to jedna z popularniejszych wtyczek do formularzy kontaktowych. Wykryta w niej luka (CVE-2026-3300) dostała ocenę 9.8 na 10 — najwyższy poziom zagrożenia. Pozwala napastnikowi bez logowania uruchomić własny kod na serwerze, założyć konto administratora i podrzucić tzw. webshell, czyli tylne wejście do strony.

Firmy monitorujące zagrożenia zanotowały ponad 29 tysięcy prób ataku. To nie jest odległe ryzyko — to dzieje się teraz.

Jeśli masz na stronie formularz kontaktowy oparty o Everest Forms, zaktualizuj wtyczkę do najnowszej wersji od razu. A najlepiej sprawdź, czy nie pojawiły się nowe, nieznane konta administratorów.

WP Maps Pro — cichy administrator w tle

Wtyczka do osadzania map ma lukę (CVE-2026-8732), która pozwala napastnikowi założyć konto administratora jednym zapytaniem — bez hasła, bez logowania, bez śladu, który rzuca się w oczy. Po cichu dołącza do Twojej strony nowego „właściciela".

Najgorsze w tym typie ataku jest to, że strona nadal działa normalnie. Wygląda dobrze, klienci nic nie widzą — a ktoś obcy ma pełny dostęp do panelu i czeka na dogodny moment.

Modular DS — ocena 10 na 10

Luka w narzędziu Modular DS (CVE-2026-23550) dostała maksymalną możliwą ocenę: 10 na 10. Pierwsze ataki z jej wykorzystaniem odnotowano już na początku roku i wciąż trwają. Jeśli korzystasz z tego rozwiązania do zarządzania stronami, aktualizacja jest absolutnym priorytetem.

Co zrobić — konkretnie

Nie trzeba być informatykiem, żeby się obronić. Wystarczy kilka kroków:

• Zaktualizuj wszystkie wtyczki i motywy. Nie tylko te z listy — luki pojawiają się co tydzień. Najprościej włączyć automatyczne aktualizacje wtyczek w panelu WordPress.
• Usuń wtyczki, których nie używasz. Każdy nieaktywny dodatek to potencjalne wejście. Wyłączona wtyczka wciąż bywa podatna.
• Sprawdź listę użytkowników. Panel → Użytkownicy → Administrator. Jeśli widzisz konto, którego nie zakładałeś — masz problem i trzeba działać natychmiast.
• Zrób kopię zapasową. Zanim cokolwiek zmienisz, miej aktualny backup strony i bazy danych. To Twoja siatka bezpieczeństwa.

Skąd wiadomo, że coś się dzieje

Objawy przejętej strony bywają subtelne: dziwne przekierowania, nagły spadek w Google, ostrzeżenie „Ta witryna może być niebezpieczna" w przeglądarce, wolniejsze działanie albo maile z hostingu o rozsyłaniu spamu. Jeśli cokolwiek z tego brzmi znajomo — nie czekaj.

Nadążanie za nowymi lukami to praca na pełen etat. Dlatego w ramach opieki nad stroną monitorujemy podatności na bieżąco, aktualizujemy wtyczki, zanim staną się problemem, i reagujemy, zanim zrobi to napastnik. Jeśli chcesz mieć spokój z głowy — napisz do nas, sprawdzimy Twoją stronę.

Źródła: Rescana — Everest Forms Pro (CVE-2026-3300), Threat-Modeling.com — WP Maps Pro (CVE-2026-8732), TechRadar Pro — masowe przejęcia stron WordPress.