Bezpieczeństwo strony szkoły: sprawdź wersję WordPressa, wtyczek i PHP

Nieaktualny WordPress może narazić szkolną stronę na przejęcie i opublikowanie treści, których szkoła nie zamieszczała. Prosty checker pomaga sprawdzić ujawniany numer wersji oraz potrzebę aktualizacji. Bezpieczeństwo szkolnej strony internetowej wymaga jednak sprawdzenia także wtyczek, motywu i oprogramowania serwera.

Co może się wydarzyć po przejęciu szkolnej strony

Osoba, która uzyska możliwość zmiany treści lub wykonywania kodu na serwerze, może podmienić komunikaty, dodać fałszywe informacje albo skierować odwiedzających do innego serwisu. Zakres szkód zależy od wykorzystanej luki i zdobytych uprawnień. Nie każda podatność pozwala przejąć całą witrynę, ale skutkiem poważnego błędu może być również kradzież danych.

Do niektórych ataków nie jest potrzebne hasło administratora. CERT Polska w komunikacie z 18 lipca 2026 r. opisał krytyczną podatność CVE-2026-63030, umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia w WordPressie w wersjach 6.9.0–6.9.4 oraz 7.0.0–7.0.1. Luka działa w połączeniu z drugą podatnością typu SQL injection (CVE-2026-60137), która występowała w większej liczbie wydań, także w gałęzi 6.8. Zagrożone były również domyślne instalacje, bez dodatkowych wtyczek i niestandardowej konfiguracji. Zespół ostrzegał przed spodziewanym masowym wykorzystaniem luki, a 5 sierpnia 2026 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydał rekomendację niezwłocznej aktualizacji wszystkich instancji WordPressa.

Nie należy więc zakładać, że niewielka szkolna witryna nie zainteresuje przestępców. Dokumentacja WordPressa wskazuje, że wiele ataków wykonują automatyczne boty. Działająca strona i brak widocznych zmian nie potwierdzają, że oprogramowanie jest odporne na znane zagrożenia.

Aktualizacje WordPressa: trzy wydania bezpieczeństwa w krótkim czasie

Od 17 września do 6 października 2026 r. opublikowano trzy kolejne wydania bezpieczeństwa: WordPress 7.1.1 zawierał 11 poprawek zabezpieczeń, wersja 7.1.2 usuwała lukę o znaczeniu krytycznym (CVE-2026-87902), a 7.1.3 przyniosła siedem poprawek bezpieczeństwa. Przy każdym z tych wydań projekt zalecał natychmiastową aktualizację.

Luka usunięta w wersji 7.1.2 mogła, przy spełnieniu określonych warunków dotyczących motywu i środowiska serwera, doprowadzić do zdalnego wykonania kodu przez osobę niezalogowaną. To istotne zastrzeżenie: podatny numer wersji wymaga reakcji, lecz nie dowodzi, że każdą instalację można zaatakować w ten sam sposób.

Według stanu na 25 października 2026 r. najnowszym stabilnym wydaniem jest WordPress 7.1.3; wersja 7.2 jest dopiero testowana. Poprawki bezpieczeństwa są przenoszone także do starszych gałęzi – obecnie do wszystkich, od wersji 4.7 wzwyż. Starszy numer nie przesądza więc o występowaniu konkretnej luki: należy porównać go z zakresem podatnych wersji i wydaniami zawierającymi poprawkę. Projekt WordPress przypomina jednak, że aktywnie wspiera wyłącznie najnowszą wersję.

Jak sprawdzić wersję WordPressa szkolnej strony

W formularzu checkera wpisz adres witryny. Narzędzie odczytuje publiczne oznaczenia wersji, porównuje wynik z aktualnym stabilnym wydaniem i sprawdza pasujące zakresy w komunikatach bezpieczeństwa publikowanych w oficjalnym repozytorium projektu WordPress. Pokazuje datę odświeżenia danych oraz źródło informacji o luce. Nie wykonuje prób włamania.

Wynik trzeba interpretować ostrożnie. Strona może ukrywać numer, ujawniać zmienione oznaczenie albo wyświetlać dane z pamięci podręcznej. Brak wykrytej wersji lub dopasowanej podatności nie oznacza bezpieczeństwa. Odczyt z zewnątrz należy potwierdzić w panelu administratora, np. w zakładce Kokpit → Aktualizacje. Checker nie ustala również, czy ktoś wcześniej wykorzystał lukę.

Wykrycie starego wydania jest sygnałem do kontaktu z opiekunem technicznym. Dopasowanie krytycznej podatności wymaga pilnej weryfikacji i usunięcia zagrożenia. Jeżeli narzędzie nie może odświeżyć źródeł, wynik pozostaje ograniczony do danych z dnia, który wskazuje. Zewnętrzne sprawdzenie nie zastępuje przeglądu całej instalacji.

BEZPIECZEŃSTWO SZKOLNEJ STRONY

Sprawdź wersję WordPressa

Podaj adres strony. Sprawdź, czy odczytana wersja WordPressa wymaga aktualizacji i jakie znane podatności jej dotyczą.

Ocena dotyczy odczytanego numeru wersji. Nie obejmuje wtyczek, motywu ani PHP.

Aktualny WordPress nie wystarczy: wtyczki, motyw i PHP

Numer głównego systemu opisuje tylko część środowiska. Wtyczki i motywy mają własne aktualizacje oraz podatności, a nieużywane wtyczki najlepiej usunąć. Administrator powinien sprawdzać cały zestaw używanych komponentów. Dokumentacja WordPressa zwraca też uwagę na bezpieczeństwo serwera, ochronę kont (silne hasła, uwierzytelnianie dwuskładnikowe) i kopie zapasowe.

21 października 2026 r. brytyjskie NCSC opublikowało alert dotyczący krytycznych luk w PHP: CVE-2026-109618 i CVE-2026-109619. W określonych warunkach mogły one umożliwiać zdalne wykonanie kodu bez logowania, a według NCSC dotyczą wszystkich wersji PHP pozbawionych najnowszych poprawek. PHP jest oprogramowaniem serwera, z którego korzysta WordPress. Aktualizacja WordPressa nie usuwa podatności PHP – projekt WordPress zaznaczył, że nie planuje w tej sprawie własnego wydania. Wersję PHP można sprawdzić w panelu: Narzędzia → Kondycja witryny → Informacje → Serwer. Wersje starsze niż 8.2 nie otrzymują już poprawek bezpieczeństwa. Zastosowanie właściwych poprawek należy potwierdzić z hostingiem lub administratorem serwera.

Co dyrektor powinien ustalić z administratorem

Dyrektor potrzebuje ustalonego sposobu utrzymania witryny: osoby odpowiedzialnej za aktualizacje, monitorowania komunikatów bezpieczeństwa i trybu reagowania na pilne poprawki. W praktyce najlepiej sprawdza się bieżące śledzenie alertów połączone z regularną kontrolą wykonania aktualizacji. Warto, by te ustalenia miały formę pisemną – w umowie z firmą zewnętrzną albo w zakresie obowiązków pracownika. Przy krytycznej luce z zaleceniem natychmiastowego działania czekanie na comiesięczny przegląd może pozostawić stronę bez potrzebnej ochrony.

Przed aktualizacją należy zapewnić możliwość odtworzenia strony, a po jej wykonaniu sprawdzić działanie witryny i potwierdzić zainstalowaną wersję. Automatyczne aktualizacje pomagają, lecz ich skuteczność również wymaga kontroli. CERT Polska wskazywał, że przy lipcowych podatnościach wymuszona aktualizacja w licznych przypadkach nie zadziałała.

Pełniejsze sprawdzenie można zlecić przez serwis moje.cert.pl, udostępniający bezpłatne skanowanie domen narzędziem Artemis po potwierdzeniu uprawnień do domeny. CERT Polska skanuje też z własnej inicjatywy strony m.in. szkół i przekazuje wyniki administratorom, dlatego warto ustalić, kto w szkole odbiera takie powiadomienia. Także ten skaner nie zastępuje pełnego audytu.

Jeżeli strona została już przejęta, pomocna jest ścieżka postępowania opisana przez CERT Polska w serwisie wiedza.cert.pl, a incydent można zgłosić przez incydent.cert.pl. Gdy mogło dojść do naruszenia ochrony danych osobowych, sprawę trzeba niezwłocznie ocenić z inspektorem ochrony danych. Zgodnie z art. 33 RODO naruszenie zgłasza się Prezesowi UODO w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Najbliższy krok dla dyrektora jest konkretny: przekazać wynik administratorowi i uzyskać potwierdzenie, że sprawdzono oraz wdrożono potrzebne poprawki – w WordPressie, wtyczkach, motywie i PHP.