Krytyczna podatność w WordPress. Można przejmować systemy nawet jak nie masz zainstalowanych żadnych pluginów.

Bardzo dawno nie było czegoś takiego. Mamy tutaj dwie podatności – obie nie wymagające uwierzytelnienia:

• SQL injection prowadzące do RCE (wykonanie dowolnego kodu na serwerze). CVE-2026-63030. Ta podatność została oznaczona jako krytyczna.
• “Czyste” SQL injection – umożliwiające dostęp do bazy danych CVE-2026-60137. Ta podatność została oznaczona jako poważna.

W przypadku pierwszej luki podatne są WordPressy: 6.9.0 – 6.9.4 oraz 7.0.0 – 7.0.1. W przypadku drugiej 6.8.0 – 6.8.5 / 6.9.0 – 6.9.4 oraz 7.0.0 – 7.0.1.

Ekipa WordPressa zaznaczyła, że ze względu na krytyczność problemu, wymusił automatyczne aktualizacje. Chociaż w praktyce różnie z tym bywa – sprawdźcie czy macie aktualną wersję WordPressa.

Tutaj możesz sprawdzić czy Twoja instancja WordPressa jest podatna (sprawdzenie na własne ryzyko).

~ms