CERT Polska w komunikacie z 18 lipca ostrzegł o krytycznej podatności umożliwiającej zdalne wykonanie kodu bez uwierzytelnienia w WordPress Core oraz o dodatkowej luce SQL injection. Według zespołu zagrożone są także domyślne instalacje w podatnych wersjach, bez dodatkowych wtyczek. Właściciel firmowej witryny lub sklepu powinien zażądać od administratora dowodu instalacji poprawki i wyniku sprawdzenia stanu serwisu, również gdy korzysta z automatycznych aktualizacji.

Czy w poniedziałek 20 lipca potrafisz wskazać potwierdzenie wykonania poprawki we własnej witrynie WordPress? Przyjmijmy, że hipotetyczna odpowiedź agencji brzmi: „mamy włączone automatyczne aktualizacje”. Poproś wtedy o zapis odnoszący się do konkretnego adresu strony: co sprawdzono, kiedy i z jakim wynikiem. Nasza rekomendacja redakcyjna to przyjęcie takiego zapisu jako warunku odbioru prac. W odpowiedzi powinno być miejsce także na brak ustaleń, jeśli administrator nie zakończył sprawdzenia. Dzięki temu pytanie o poprawkę prowadzi do decyzji o własnej witrynie, a właściciel sklepu wie, które informacje ma już od wykonawcy i czego jeszcze powinien od niego wymagać.

Podatność w WordPress Core obejmuje również domyślne instalacje

Jak podaje CERT Polska w ostrzeżeniu z 18 lipca, podatność RCE umożliwia zdalne wykonanie kodu bez konieczności uwierzytelnienia. Przy ocenie własnej strony ten warunek oznacza, że pytania o konta użytkowników nie wyczerpują zakresu przeglądu. Administratorowi zlećmy odniesienie ostrzeżenia do zainstalowanego WordPress Core, zamiast poprzestawać na sprawdzeniu dostępu do panelu.

CERT Polska wskazuje również dodatkową podatność SQL injection. W zadaniu dla administratora wymieńmy oba problemy, tak aby potwierdzenie wykonania prac obejmowało ocenę całego ostrzeżenia. Poprośmy o oddzielne wskazanie, jak administrator ocenił każdą z podatności i czym uzasadnia przekazany wynik.

Według CERT Polska zagrożone są także domyślne instalacje bez dodatkowych wtyczek. Dlatego braku rozszerzeń nie przyjmujmy jako uzasadnienia pominięcia witryny w przeglądzie. Jednocześnie nie oznaczajmy każdej strony jako podatnej bez sprawdzenia jej stanu. W wykazie własnych serwisów pozostawmy miejsce na wynik oceny administratora i podstawę tego ustalenia.

Brak dodatkowych wtyczek w WordPressie nie powinien zwalniać właściciela strony z żądania wyniku kontroli.

Ustawienie aktualizacji powinno prowadzić do odbioru wyniku

Potraktujmy deklarację o automatycznych aktualizacjach WordPressa jako początek rozmowy z agencją. Agencja powinna wskazać wersję odczytaną z utrzymywanej instalacji, czas sprawdzenia oraz podstawę uznania poprawki za zastosowaną. Każda z tych informacji musi odnosić się do adresu witryny.

Oddzielną część odpowiedzi przeznaczmy na weryfikację stanu serwisu. Z administratorami uzgodnijmy zakres kontroli, a z właścicielem strony funkcje, których działanie administratorzy mają potwierdzić. Dla sklepu można zaproponować uzgodnioną próbę przejścia przez zamówienie, dla witryny firmowej sprawdzenie wybranej funkcji kontaktowej, jeśli taka istnieje. Wynik powinien wskazywać, co rzeczywiście sprawdzono, oraz ograniczenia przeprowadzonych prób.

Jeśli agencja potwierdzi instalację poprawki, lecz nie przekaże wyniku kontroli serwisu, ten drugi etap pozostaje otwarty. Gdy otrzymamy jedynie informację o działaniu strony, poprośmy osobno o dowód zastosowania poprawki. Nie rozszerzajmy znaczenia otrzymanego potwierdzenia ponad czynności, które wykonawca w nim wymienił. Odbiór konkretnego testu powinien dotyczyć właśnie tego testu.

Właściciel witryny powinien określić warunki zamknięcia zadania

W obsłudze ostrzeżenia dotyczącego WordPressa przypiszmy role wykonawcy i odbiorcy. Agencja powinna przedstawić wynik swoich prac, a właściciel witryny ocenić, czy odpowiedź spełnia uzgodnione warunki. Zapiszmy, kto po stronie firmy przyjmie potwierdzenie, do kogo skieruje brakujące pytania i kto zdecyduje o kolejnej czynności, jeśli stan pozostanie nieustalony.

Odpowiedź powinna wskazywać wykonawcę, zakres kontroli i otwarte pytania. Nie wymagajmy od agencji ogólnej deklaracji bezpieczeństwa witryny. Przy odbiorze liczą się ustalenia, które można odnieść do zamówionych prac i sprawdzić.

Koszt obsługi ostrzeżenia dotyczącego WordPressa ustalmy z administratorem. Jeżeli wykonawca zgłasza potrzebę dodatkowych czynności, poprośmy o ich zakres, uzasadnienie oraz termin. Decyzję o zleceniu tych prac powiążmy z konkretną niewyjaśnioną sprawą dotyczącą witryny.

Zamknięcie zadania powinno oznaczać, że właściciel witryny zna wynik prac i otwarte pytania.

Ostrzeżenie CERT Polska uzasadnia kontrolę własnej strony

Dla polskiego właściciela witryny punktem odniesienia jest komunikat CERT Polska z 18 lipca. W poniedziałkowym zleceniu dla agencji dołączmy jego adres i wskażmy własny serwis do sprawdzenia. Oczekujmy odpowiedzi dotyczącej tej instalacji, z uwzględnieniem obu opisanych podatności oraz ostrzeżenia dotyczącego domyślnych instalacji.

Do notatki zarządczej wpiszmy ustalony status własnej strony, osobę odpowiedzialną za brakujące potwierdzenia i termin ich dostarczenia. Jeżeli odpowiedź od agencji jeszcze nie dotarła, oznaczmy stan witryny jako niepotwierdzony i zażądajmy wyjaśnienia od osoby odpowiedzialnej za utrzymanie.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz do 30 minut. Te czynności służą uzyskaniu dowodu instalacji poprawki i odbiorowi prac. Nie wstrzymują samej aktualizacji: administrator nie powinien czekać na zakończenie uzgodnień ani zebranie potwierdzeń.

  1. Przygotuj i przekaż zlecenie dla konkretnej witryny. Wpisz jej adres, dołącz komunikat CERT Polska i wskaż osobę odpowiedzialną za utrzymanie. Poproś o ocenę obu podatności także wtedy, gdy strona nie ma dodatkowych wtyczek. Zapisz termin oczekiwanej odpowiedzi.
  2. Ustal wymagany dowód poprawki. Prześlij wykonawcy prośbę o wersję WordPressa odczytaną z instalacji, czas kontroli i podstawę potwierdzenia zastosowania poprawki. Wskaż odbiorcę po stronie firmy. Jeśli odpowiedzi brakuje, pozostaw status niepotwierdzony.
  3. Zapisz zakres sprawdzenia serwisu. Przygotuj dla administratora listę funkcji witryny lub sklepu do uzgodnienia, z oczekiwanym wynikiem każdej próby. Dodaj miejsce na zakres oceny stanu serwisu, ograniczenia kontroli i sprawy wymagające dalszych działań. Wyznacz osobę odbierającą wyniki.

Automatyzacja aktualizacji WordPressa nie powinna automatyzować decyzji o odbiorze prac. Właściciel witryny powinien umieć uzasadnić zamknięcie zadania ustaleniami dotyczącymi własnej instalacji.

Źródła

  1. CERT Polska: Krytyczna podatność w WordPress Core – zdalne wykonanie kodu bez uwierzytelniania, publikacja: 18 lipca 2026.

Redakcja cyberinsight.pl.