English
Deutsch
PolskiWordPress 7.1.2: Poprawka krytycznej luki w wyborze szablonów stron
Management Summary
WordPress 7.1.2 usunął krytyczną lukę podczas wczytywania szablonów stron. W określonych warunkach żądanie bez logowania mogło uruchomić kod na serwerze, mimo pozornie prawidłowego działania witryny. Przypadek pokazuje znaczenie regularnego utrzymania: poprawny wygląd strony nie dowodzi ochrony. Liczą się kopia umożliwiająca odtworzenie oraz potwierdzone zainstalowanie aktualnej oficjalnej wersji. Artykuł opisuje 7.1.2; później ukazało się już kolejne wydanie z poprawkami bezpieczeństwa.
Spis treści
WordPress 7.1.2 ukazał się 22 września 2026 r. i usunął krytyczną lukę podczas ładowania szablonów stron. W określonych warunkach żądanie bez logowania mogło doprowadzić do uruchomienia kodu na serwerze. Aktualizacja była więc istotna także dla witryn z pozornie prawidłową stroną główną. [1]
Stan na 25 października 2026 r.: Artykuł opisuje poprawkę w 7.1.2. Już 6 października wydano 7.1.3 z kolejnymi poprawkami bezpieczeństwa. Planowana aktualizacja powinna zatem prowadzić do bieżącej oficjalnej wersji, a nie tylko do numeru omawianego tutaj. [5]
Co umożliwia luka
Motyw określa wygląd witryny WordPress. Podczas ładowania szablonu strony WordPress mógł w warunkach opisanych w komunikacie dołączyć istniejący plik PHP spoza katalogów motywu. Kod PHP działa na serwerze. Wczytanie niewłaściwego pliku mogło więc prowadzić do wykonania kodu bez zalogowanego konta. Komunikat ma identyfikatory CVE-2026-87902 i GHSA-7hp8-65ch-5whp. [2]
Opisany atak wymagał kilku warunków jednocześnie: określonego układu katalogów w aktywnym motywie oraz odpowiedniego istniejącego pliku PHP dostępnego dla serwera WWW. Komunikat nie dowodzi ataku na każdą witrynę. Działająca strona główna również nie dowodzi ochrony. W gałęzi 7.1 podatne były wersje 7.1.0 i 7.1.1; 7.1.2 zawierała poprawkę.
Co sprawdzić po aktualizacji
Przed aktualizacją potrzebna jest kopia plików i bazy danych umożliwiająca odtworzenie witryny. Oficjalna instrukcja opisuje aktualizację przez panel administracyjny i ręczną wymianę plików. [3] Następnie przydatne są cztery kontrole:
- Zapis rzeczywiście zainstalowanej wersji każdej witryny, także środowisk testowych i rzadko odwiedzanych instalacji.
- Potwierdzenie pomyślnej instalacji aktualnej oficjalnej wersji. Sam włączony przełącznik aktualizacji nie dowodzi zakończenia operacji.
- Test strony głównej, zwykłej strony, wpisu, logowania i ważnego formularza.
- Osobne rozwiązanie każdego błędu i nieudanej aktualizacji.
Co pokazują sumy kontrolne
WP-CLI służy do zarządzania WordPressem z wiersza poleceń. Poniższe polecenia działają w katalogu wybranej instalacji WordPressa. Pierwsze pokazuje zainstalowaną wersję. Drugie porównuje pliki rdzenia WordPressa z sumami kontrolnymi opublikowanymi przez WordPress.org. Suma kontrolna to wartość obliczona z zawartości pliku. Niezgodność oznacza różnicę między sprawdzanym plikiem a wzorcem. [4]
wp core version
wp core verify-checksums --include-root--include-root zgłasza również nieoczekiwane pliki i katalogi w katalogu głównym. Błędny wybór języka lub wersji może powodować rozbieżności nawet dla niezmienionych plików. Te ustawienia określają opcje --locale i --version. Polecenie pobiera sumy z WordPress.org bez zmieniania sprawdzanych plików rdzenia. Zgodność ze starą wersją nie oznacza, że ta wersja jest aktualna.
Kontrola nie bada całej bazy danych, kont użytkowników ani wcześniejszych ataków. Prawidłowe dodatkowe pliki również mogą wywołać ostrzeżenie. Przed usunięciem potrzebne jest ustalenie pochodzenia i przeznaczenia pliku. Zgodne sumy kontrolne nie stanowią pełnej oceny bezpieczeństwa.
Pytania i odpowiedzi
Czy wystarczą włączone aktualizacje automatyczne?
Nie. WordPress obsługuje automatyczne drobne aktualizacje i aktualizacje bezpieczeństwa od wersji 3.7. Rzeczywiste wykonanie zależy od ustawień i warunków serwera. [6]
AUTOMATIC_UPDATER_DISABLED,WP_AUTO_UPDATE_COREi filtry wtyczek mogą wyłączać albo ograniczać aktualizacje automatyczne. Znaczenie ma ustawiona wartość.- Wykryta kontrola wersji, na przykład Git lub Subversion, domyślnie blokuje automatyczne aktualizacje. WordPress szuka odpowiednich katalogów także powyżej instalacji. Filtr może zmienić tę decyzję. [7]
- Mechanizm aktualizacji potrzebuje dostępu do plików bez interaktywnego pytania o dane logowania. Muszą być spełnione także wymagania serwera, na przykład odpowiednia wersja PHP. [11]
- WP-Cron wykonuje zaplanowane zadania WordPressa. Przy
DISABLE_WP_CRON=truezwykłe wejścia na stronę przestają uruchamiać te zadania. Zewnętrzne wywołaniewp-cron.phpalbo inny skonfigurowany sposób wykonywania zdarzeń crona nadal może rozpocząć pracę. Bez działającego wyzwalacza zadania pozostają niewykonane. [10]
WordPress może wysłać e-mail po automatycznej aktualizacji rdzenia. Filtry mogą wyłączyć wysyłkę, a wysłana wiadomość może nie dotrzeć do sprawdzanej skrzynki. Lokalnie potwierdzony numer wersji i dziennik aktualizacji są dlatego ważniejsze niż oczekiwany e-mail. [8]
Co poprawka oznacza dla starszych wersji?
WordPress dostosował tę poprawkę także do starszych gałęzi, aż do 4.7. Na przykład gałąź 4.7 otrzymała poprawioną wersję 4.7.37. Dostosowanie pojedynczej poprawki do starszego programu nazywa się backportem. Nie oznacza obietnicy usunięcia w przyszłości wszystkich błędów starej wersji. WordPress deklaruje aktywne wsparcie wyłącznie najnowszej wersji. Backport nie zastępuje więc planu pełnej aktualizacji. [1][2]
Czy wtyczki można sprawdzić podobnie?
wp plugin verify-checksums --all porównuje pliki wtyczek z dostępnymi sumami WordPress.org. Dla własnych wtyczek i wtyczek sprzedawanych poza tym katalogiem często brakuje tam danych porównawczych. Sum może też brakować dla konkretnej wersji wtyczki z katalogu. Takie ostrzeżenia oznaczają niezakończoną kontrolę, a nie potwierdzenie niezmienionych plików. [9]
Polecenie nie sprawdza motywów. Przy braku odpowiednich sum pomocne jest porównanie plików z zaufanym oryginalnym pakietem tej samej wersji. Nawet zgodność dotyczy wyłącznie tych plików, a nie bezpieczeństwa całej witryny.
Źródła
- WordPress 7.1.2 release, 22 September 2026
- WordPress security advisory GHSA-7hp8-65ch-5whp
- Updating WordPress
- WP-CLI: core verify-checksums
- WordPress 7.1.3: 6 October 2026
- WordPress: Configuring Automatic Background Updates
- WP_Automatic_Updater::is_vcs_checkout
- WP_Automatic_Updater::send_email
- WP-CLI: plugin verify-checksums
- WordPress: WP-Cron and system scheduling
- WP_Automatic_Updater::should_update
Powiązane artykuły
