Świeżo ujawnione błędy bezpieczeństwa są już wykorzystywane w atakach. Chodzi o łańcuch podatności znany jako wp2shell, który może pozwolić napastnikowi przejąć serwis zdalnie, m.in. przez wrzucenie webshella albo dorzucenie złośliwej wtyczki bez logowania.

Problem dotyczy wydań z linii 6.9.x i 7.0.x. WordPress wydał już łatki w wersjach 6.9.5 oraz 7.0.2, a w części instalacji uruchomiono też wymuszone automatyczne aktualizacje. To nie jest więc sytuacja w stylu „może kiedyś zaktualizuję”, tylko raczej „trzeba to zrobić teraz”.

W opisie naprawionych błędów pojawia się także nieautoryzowany SQL injection w rdzeniu systemu. Zestawienie kilku luk może prowadzić do pełnego przejęcia witryny, a badacze wskazują, że próby nadużyć są już widoczne w praktyce. Krótko mówiąc: łatka jest, ataki już są, a zwlekanie tradycyjnie bywa najdroższą opcją.

Radzę Wam z miejsca aktualizować strony.

Więcej: https://wordpress.org/news/2026/07/wordpress-7-0-2-release/