security

Bricksforge do 3.1.8.9 pozwala bez logowania wgrać i uruchomić PHP przez Pro Forms. Patchstack widzi ataki od 7 października 2026. Jak sprawdzić wersję, co zaktualizować i czego szukać na serwerze.

wp_kses() jest przepisywane na HTML API w trunku. Co zmienia się w kodzie wtyczek i motywów, jak porównać realną treść na buildzie trunk i do czego służy filtr starego parsera.

W 90 dni program bezpieczeństwa WordPressa dostał 2004 zgłoszenia i wypłacił ponad 90 tys. dolarów nagród. Mary Hubbard prosi ponad 30 firm o współfinansowanie. Co to znaczy dla właściciela strony.

Szczegółowe omówienie nadchodzącego wydania WordPress 7.2 zaplanowanego na 8 grudnia 2026 r.: Matt Mullenweg jako lider wydania, administracyjny tryb sudo, natywne Secrets API oraz interaktywna współpraca w edytorze.

WP Rocket 3.23.2.1 i starsze wywala fatal na WordPressie 7.1: TypeError w Cloudflare.php linia 562. Raport na GitHubie 6 lipca, strony padły 19 sierpnia, poprawka 3.23.2.2 20 sierpnia. Najpierw zaktualizuj wtyczkę.

CVE-2026-65640 wymaga Autora, Imagicka i Ghostscript razem. Skanery plików nie widzą zdalnego JSON. Wtyczka z czatu omija przegląd. Kontrola to policy.xml, nie kolejna wtyczka bezpieczeństwa.

Ustawa wdrażająca NIS2 obowiązuje od 3 kwietnia 2026. Definicja dostawcy usług zarządzanych obejmuje administrację zdalną, więc dotyczy każdego, kto utrzymuje cudzy WordPress. Co mówi tekst ustawy, a czego nie mówi.

Zmierzyliśmy katalog WordPress.org. 35 696 z 69 286 wtyczek nie dostało aktualizacji od dwóch lat. Około 2100 z nich nadal działa na tysiącu lub więcej stron każda.

WordPress.org wstrzymuje każde wydanie wtyczki do sześciu godzin. Patchstack mierzy medianę czasu do masowej eksploatacji na pięć godzin. Publiczny zapis nie mówi, czy łatka bezpieczeństwa jest z tego zwolniona.

Fala z lipca 2026 podstawia treść tylko robotowi Google, dlatego Wordfence, Sucuri i MalCare raportują czystą stronę. Jak udowodnić cloaking jednym poleceniem i posprzątać we właściwej kolejności.

Zanonimizowany case rescue: strona usług B2B trafiła z 38 aktywnymi wtyczkami, TTFB 1,47 s i trzema własnymi wtyczkami wygenerowanymi przez AI. Jak zejśliśmy do 21 wtyczek i mediany TTFB poniżej 0,7 s bez przebudowy.

Przewodnik po audytowaniu wtyczek WordPress generowanych przez AI. Zobacz 5 najczęstszych błędów bezpieczeństwa w kodzie PHP.

WordPress.org skrócił obowiązkowe wstrzymanie aktualizacji wtyczek i motywów z 24 godzin do sześciu, a trwają prace nad całkowitym pominięciem go po czystej recenzji AI. Co to zmienia dla agencji utrzymujących serwisy B2B.

Realny audyt strony MŚP na WordPress: Elementor przypięty na 3.11.1 z czterema krytycznymi CVE i Contact Form 7 na 5.8 narażony na CVE-2023-6449 (arbitralny upload pliku). Wzorzec nieaktualnych wtyczek, triage CVE, staging i limity WAF.

Jeden tydzień czerwca 2026 przyniósł włamanie do CDN Awesome Motive, kompromitację potoku build ShapedPlugin i ujawnienie 13-letniej kampanii z backdoorami. Wspólny mianownik: wektorem ataku był oficjalny kanał aktualizacji. Co naprawdę powinni zmienić właściciele sklepów.

WordPress 7.0 dodał ekran Konektory przechowujący klucze API dostawców AI, a część hostingów sama instaluje wtyczki AI. Oto jak zmienił się model zagrożeń i lista kontrolna hardeningu.

Austin Ginder ujawnił cztery backdoory we wtyczkach z WordPress.org w 30 dni, plus autor, który przez pięć lat prowadził ukryty serwer aktualizacji. Co to znaczy dla map zależności NIS2 i DORA.

CRA obejmuje produkty z elementami cyfrowymi. NIS2 obejmuje podmioty. DORA obejmuje podmioty finansowe. Gdy wszystkie trzy działają jednocześnie, headless WordPress leży na ich przecięciu. Pokazuję, jak wygląda wspólny pakiet dowodów w 2026 roku.

Trzydzieści jeden wtyczek zamkniętych po tym, jak kupujący z Flippy umieścił backdoor w pierwszym commicie SVN. Jak audytować właścicielstwo wtyczek, wykrywać kompromitację i wzmacniać strony przed atakami supply chain.

Kompleksowy przewodnik po zabezpieczaniu WordPressa w 2026 roku - konfiguracja serwera, uwierzytelnianie Passkeys, WAF, nagłówki CSP, ochrona bazy danych, architektura headless i lista kontrolna 25 punktów audytu bezpieczeństwa.

Chroń dane biznesowe wybierając Open Source CMS zamiast zamkniętych platform SaaS w erze AI. Poznaj zagrożenia vendor lock-in, kwestie własności danych i korzyści z samodzielnego hostowania WordPressa.

Passkeys, runtime tylko do odczytu, WAF na krawędzi kontra Wordfence, CSP z nonce, łańcuch dostaw, logi i zgłoszenie do CERT Polska. Utwardzanie to operacje, nie lista wtyczek.

Hasła są przestarzałe. Zero-Trust to nowy standard. Ten przewodnik definiuje architekturę bezpieczeństwa dla dużych stron WordPress w 2026.

Twój WordPress został zainfekowany? Nie panikuj. Zobacz kompletny proces usuwania wirusów, backdoora i malware krok po kroku. Metody SSH, WP-CLI i SQL.

Twój WordPress został zhakowany? Nie panikuj. Zobacz kompletny proces krok po kroku usuwania wirusów, backdoorów i malware. Metody SSH, WP-CLI i SQL.

Dlaczego regularne aktualizacje i właściwe zabezpieczenia są niezbędne dla bezpieczeństwa Twojej strony WordPress.

Aktualizacja zepsuła stronę? Zobacz sprawdzone metody na przywrócenie poprzedniej wersji WordPress Core, wtyczek i bazy danych po awarii.

Praktyczna konfiguracja WordPressa na 2026: lokalny stos wp-env, linting @wordpress/scripts, bezpieczny debug i narzędzia bloków bez mitu pięciominutowej instalacji.

Kompletna lista kontrolna po instalacji WordPressa. 50 kroków obejmujących bezpieczeństwo, wydajność, SEO i kopie zapasowe. Profesjonalna konfiguracja od pierwszego dnia.

Kompleksowy poradnik administratora WordPress. Dowiedz się, jak zabezpieczyć stronę bez wtyczek, skonfigurować Google Search Console i przyspieszyć ładowanie.

Przestań dawać każdemu dostęp Administratora. Opanuj role i uprawnienia WordPress: własne role, add_cap, bezpieczny reset i map_meta_cap.

White-labeling ekranu logowania WordPress. Zmień logo, dostosuj CSS, wyłącz efekt "trzęsienia" i utwardź komunikaty błędów dla bezpieczeństwa.

WordPress domyślnie "chwali się" swoją wersją, zapraszając hakerów. Zobacz jak usunąć generator tag, wersję skryptów i wdrożyć HSTS oraz CSP.

Słynny skrypt TimThumb to relikt przeszłości i dziura bezpieczeństwa. Zobacz, jak poprawnie skalować obrazy używając add_image_size() i nowoczesnych funkcji WP.

Wciąż używasz loginu 'admin'? To zaproszenie do włamania. Przewodnik po warstwach ochrony: 2FA, passkeys, hasła aplikacji, Cloudflare, Fail2Ban i procedura po włamaniu.