WordPress 7.1.2 — pilna aktualizacja bezpieczeństwa

22 września 2026 roku ukazał się WordPress 7.1.2. To wydanie wyłącznie bezpieczeństwa — zawiera jedną poprawkę, ale na tyle poważną, że zespół WordPressa zaleca aktualizację stron natychmiast.

Co zostało naprawione

Luka dotyczy mechanizmu wybierania szablonu strony (page-template resolution). Według oficjalnego opisu to path traversal możliwy bez logowania, który w określonych warunkach prowadzi do zdalnego wykonania kodu (RCE) na serwerze.

W praktyce oznacza to dwie rzeczy:

• atakujący nie potrzebuje konta na Twojej stronie,
• w najgorszym scenariuszu może uruchomić własny kod na serwerze — a to otwiera drogę do przejęcia strony, wstrzyknięcia spamu czy kradzieży danych klientów.

Poprawka obejmuje jeden plik rdzenia: wp-includes/template.php. Lukę odpowiedzialnie zgłosił Robert Ressl przez program HackerOne WordPressa.

Kogo to dotyczy

Praktycznie wszystkich. Podatność występuje w każdej wspieranej gałęzi — od WordPressa 4.7 aż po 7.1.1. Dlatego razem z 7.1.2 wydano łatki dla starszych wersji, m.in.:

• 7.0.6 dla gałęzi 7.0,
• 6.9.9 dla 6.9,
• 6.8.10 dla 6.8,
• oraz odpowiednie wydania dla każdej gałęzi aż do 4.7.37.

WordPress 4.6 i starsze nie dostają już poprawek bezpieczeństwa. Jeśli Twoja strona działa na takiej wersji, ta luka zostaje w niej otwarta na stałe.

Warto też pamiętać, że to druga aktualizacja bezpieczeństwa we wrześniu — kilka tygodni wcześniej WordPress 7.1.1 naprawił jedenaście innych błędów. Jeśli pominąłeś tamtą, 7.1.2 obejmuje obie.

Jak zaktualizować

Najprościej z panelu: Kokpit → Aktualizacje → Zaktualizuj teraz. Większość stron ma włączone automatyczne aktualizacje wydań pobocznych, więc 7.1.2 mogło się już zainstalować samo — sprawdź numer wersji w stopce panelu albo w Kokpit → Aktualizacje.

Zanim klikniesz, zrób trzy rzeczy:

1. Kopia zapasowa plików i bazy danych — nawet przy małym wydaniu to podstawa.
2. Sprawdź, czy auto-aktualizacje nie są wyłączone w wp-config.php (stała WP_AUTO_UPDATE_CORE) lub przez wtyczkę. Na stronach utrzymywanych „na sztywno” często tak jest — i wtedy poprawka sama nie przyjdzie.
3. Po aktualizacji przeklikaj kluczowe podstrony, zwłaszcza te z niestandardowymi szablonami stron. Zmiana dotyczy właśnie wybierania szablonu, więc to tam ewentualny problem wyszedłby najszybciej.

Motyw i wtyczki też się liczą

Aktualizacja rdzenia zamyka tę konkretną lukę, ale nie zastępuje dbania o resztę. Najwięcej włamań na strony WordPress wciąż zaczyna się od przestarzałej wtyczki albo porzuconego motywu. Dobry moment, żeby przy okazji przejrzeć listę wtyczek i usunąć te, których nie używasz.

Nie chcesz pilnować tego sam?

Jeśli nie masz pewności, czy Twoja strona jest już zaktualizowana, albo wolisz nie ryzykować aktualizacji na żywym sklepie — odezwij się. W ramach opieki nad stroną WordPress zajmuję się aktualizacjami, kopiami zapasowymi i sprawdzeniem, czy wszystko działa po każdej zmianie.