Przejdź do treści
Infrastruktura

Luka w popularnej wtyczce WordPress. 200 000 stron zagrożonych usunięciem plików

W popularnej wtyczce Perfmatters wykryto podatność umożliwiającą nieuwierzytelnionym atakującym usunięcie dowolnych plików. Administratorzy powinni jak najszybciej zaktualizować wtyczkę.

3 min read
An abstract digital fortress with a cracked wall, where a single glowing file icon is being pulled out by an invisible force, while a shield with a padlock hovers above, casting a protective light over a network of interconnected nodes.

Badacze z firmy Wordfence wykryli podatność w popularnej wtyczce do optymalizacji WordPressa – Perfmatters. Luka o charakterze Arbitrary File Deletion pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych plików na serwerze, w tym kluczowego pliku wp-config.php. Według komunikatu Wordfence zagrożonych jest ponad 200 000 aktywnych instalacji wtyczki. Administratorzy powinni niezwłocznie sprawdzić wersję wtyczki i zastosować dostępną aktualizację.

Jak działa podatność i jakie niesie ryzyko

Luka została zgłoszona do Wordfence 1 marca 2026 roku. Jak wskazują badacze, podatność umożliwia zdalne usunięcie plików bez konieczności logowania się do panelu administracyjnego. W praktyce oznacza to, że atakujący może usunąć plik konfiguracyjny WordPressa (wp-config.php), co w wielu przypadkach prowadzi do całkowitego przejęcia kontroli nad stroną i umożliwia wykonanie dowolnego kodu na serwerze.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Zagrożenie jest tym poważniejsze, że atak nie wymaga żadnych uprawnień ani interakcji ze strony administratora. Wystarczy, że serwer jest podłączony do internetu, a wtyczka działa w podatnej wersji. Wordfence nie podał jeszcze szczegółów technicznych exploita, aby dać administratorom czas na aktualizację.

Kto jest zagrożony i co należy zrobić

Podatność dotyczy wszystkich instalacji wtyczki Perfmatters w wersjach starszych niż ta, która zawiera poprawkę. Ponieważ wtyczka jest używana na ponad 200 000 stron, skala potencjalnego zagrożenia jest znacząca. Dotyczy to zarówno małych blogów, jak i firmowych witryn opartych na WordPressie.

Działania, które administratorzy powinni podjąć niezwłocznie:

  • Zaktualizować wtyczkę Perfmatters do najnowszej dostępnej wersji. Aktualizację można wykonać z poziomu panelu administracyjnego WordPressa (zakładka Wtyczki).
  • Sprawdzić, czy na serwerze nie doszło już do naruszenia – warto przejrzeć logi dostępu i pliki systemowe pod kątem nietypowych zmian.
  • Wykonać kopię zapasową plików i bazy danych, aby w razie potrzeby móc szybko przywrócić działanie strony.
  • Rozważyć włączenie zapory aplikacyjnej (WAF), która może blokować próby wykorzystania podobnych luk.

Ograniczenia informacji i dalsze kroki

Na ten moment Wordfence nie opublikował pełnej analizy technicznej ani listy wersji objętych podatnością. Firma zazwyczaj udostępnia szczegóły po upływie kilku dni od wydania łatki, aby dać administratorom czas na zabezpieczenie systemów. Warto śledzić oficjalny blog Wordfence oraz kanały aktualizacji wtyczki.

Jeśli administrator nie ma pewności, czy jego instalacja jest bezpieczna, dobrym nawykiem jest tymczasowe wyłączenie wtyczki do czasu potwierdzenia, że poprawka została zastosowana. W przypadku wykrycia śladów włamania należy niezwłocznie zmienić wszystkie hasła dostępu, usunąć nieznane konta użytkowników i przywrócić stronę z czystej kopii zapasowej.

Podatność w Perfmatters to kolejne przypomnienie, że nawet pozornie niegroźne wtyczki mogą stać się bramą do poważnego ataku. Regularne aktualizacje i ograniczenie liczby używanych rozszerzeń to podstawowe, ale skuteczne metody zmniejszania ryzyka.

#aktualizacja #bezpieczeństwo stron #Perfmatters #podatność #Wordfence #WordPress
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic image of a worried man looking at his smartphone on a Berlin street, with subtle surveillance cameras in the background, natural daylight, depth of field, 16:9, photojournalistic style, slight grain, no text or logos. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Niemcy będą gromadzić adresy IP przez 3 miesiące. Co to znaczy dla Twojej prywatności?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta około 30 lat, siedzi przy stole w polskim mieszkaniu, trzyma smartfona w dłoni, twarz zaniepokojona, patrzy na ekran telefonu (widok od tyłu telefonu, bez widocznego interfejsu). Na stole leży portfel i karta płatnicza (bez widocznych napisów). Naturalne światło dzienne wpadające przez okno. Głębia ostrości: twarz i telefon ostre, tło lekko rozmyte. Kadr 16:9, zbliżenie na twarz i dłonie. Styl jak zdjęcie reporterskie z Getty Images, lekki szum, wysoki kontrast. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

75 milionów rekordów Revolut na czarnym rynku. Czy twoje dane są bezpieczne?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta trzyma w dłoni banknot 20 euro, patrzy na niego z zaskoczeniem i uśmiechem. Naturalne światło dzienne, wnętrze mieszkania, na stole leżą inne banknoty i monety. Niewyraźny fragment banknotu (bez czytelnych napisów), twarz kobiety wyraża dumę i ciekawość. Kadr zbliżony, głębia ostrości, lekki szum. Styl Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Nowy banknot euro z Polką? EBC pokazał projekt. Skłodowska-Curie na 20 euro

27 lipca, 2026 3 min read