{"id":570,"date":"2026-07-27T08:24:42","date_gmt":"2026-07-27T08:24:42","guid":{"rendered":"https:\/\/bricks2.trejka.dev\/2026\/07\/27\/krytyczna-luka-w-wordpressie-wp2shell-cve-2026-63030-co-warto-wiedziec-i-jak-sie-zabezpieczyc\/"},"modified":"2026-07-27T08:24:42","modified_gmt":"2026-07-27T08:24:42","slug":"critical-wordpress-vulnerability-wp2shell-cve-2026-63030-what-you-need-to-know-and-how-to-protect-yourself","status":"publish","type":"post","link":"https:\/\/trejka.com\/en\/krytyczna-luka-w-wordpressie-wp2shell-cve-2026-63030-co-warto-wiedziec-i-jak-sie-zabezpieczyc\/","title":{"rendered":"Critical vulnerability in WordPress \u201ewp2shell\u201d (CVE-2026-63030). What is worth knowing and how to protect yourself"},"content":{"rendered":"<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"3:1-3:333;102-434\">W lipcu 2026 ujawniono jedn\u0105 z najpowa\u017cniejszych w ostatnich latach luk w samym rdzeniu WordPressa \u2014 nazwan\u0105 <strong>wp2shell<\/strong> (oznaczenia CVE-2026-63030 oraz CVE-2026-60137). Jest ona ju\u017c aktywnie wykorzystywana przez atakuj\u0105cych w internecie, dlatego je\u015bli prowadzisz stron\u0119 na WordPressie, warto zareagowa\u0107 teraz, a nie \u201eprzy okazji&#8221;.<\/p>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"5:1-5:241;436-676\">Ten wpis t\u0142umaczy w prostych s\u0142owach, na czym polega zagro\u017cenie i co konkretnie zrobi\u0107. <strong>\u015awiadomie nie publikujemy tu \u017cadnych szczeg\u00f3\u0142\u00f3w technicznych ataku<\/strong> \u2014 chcemy pom\u00f3c administratorom si\u0119 zabezpieczy\u0107, a nie u\u0142atwia\u0107 \u017cycie atakuj\u0105cym.<\/p>\n<h2 class=\"text-text-100 mt-3 -mb-1 text-[1.125rem] font-bold\" dir=\"ltr\" data-sourcepos=\"7:1-7:13;678-690\">W skr\u00f3cie<\/h2>\n<ul class=\"[li_&amp;]:mb-0 [li_&amp;]:mt-1 [li_&amp;]:gap-1 [&amp;:not(:last-child)_ul]:pb-1 [&amp;:not(:last-child)_ol]:pb-1 list-disc flex flex-col gap-1 pl-8 mb-3 print:block print:space-y-1\" dir=\"ltr\" data-sourcepos=\"9:1-12:112;692-1086\">\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"9:1-9:99;692-790\">To luka w <strong>rdzeniu WordPressa<\/strong>, a nie w jednej z wtyczek \u2014 dotyczy wi\u0119c \u201eczystych&#8221; instalacji.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"10:1-10:106;791-896\">Pozwala na <strong>zdalne wykonanie kodu bez logowania<\/strong> (atakuj\u0105cy nie potrzebuje \u017cadnego konta na stronie).<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"11:1-11:78;897-974\">Jest <strong>aktywnie wykorzystywana<\/strong> \u2014 pojawi\u0142y si\u0119 gotowe narz\u0119dzia atakuj\u0105ce.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"12:1-12:112;975-1086\"><strong>Rozwi\u0105zanie jest proste: zaktualizuj WordPressa do wersji z poprawk\u0105.<\/strong> Wszystko inne to \u015brodki tymczasowe.<\/li>\n<\/ul>\n<h2 class=\"text-text-100 mt-3 -mb-1 text-[1.125rem] font-bold\" dir=\"ltr\" data-sourcepos=\"14:1-14:16;1088-1103\">Kogo dotyczy<\/h2>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"16:1-16:58;1105-1162\">Zagro\u017cone s\u0105 strony na nast\u0119puj\u0105cych wersjach WordPressa:<\/p>\n<ul class=\"[li_&amp;]:mb-0 [li_&amp;]:mt-1 [li_&amp;]:gap-1 [&amp;:not(:last-child)_ul]:pb-1 [&amp;:not(:last-child)_ol]:pb-1 list-disc flex flex-col gap-1 pl-8 mb-3 print:block print:space-y-1\" dir=\"ltr\" data-sourcepos=\"18:1-19:46;1164-1285\">\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"18:1-18:76;1164-1239\"><strong>6.9.0 \u2013 6.9.4<\/strong> oraz <strong>7.0.0 \u2013 7.0.1<\/strong> \u2014 pe\u0142ny, najgro\u017aniejszy wariant.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"19:1-19:46;1240-1285\"><strong>6.8.0 \u2013 6.8.5<\/strong> \u2014 w\u0119\u017cszy zakres problemu.<\/li>\n<\/ul>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"21:1-21:272;1287-1558\">Poprawki wydano w wersjach <strong>6.9.5<\/strong>, <strong>7.0.2<\/strong> oraz <strong>6.8.6<\/strong> (i nowszych). Je\u015bli masz w\u0142\u0105czone automatyczne aktualizacje rdzenia, WordPress m\u00f3g\u0142 ju\u017c zaktualizowa\u0107 si\u0119 sam \u2014 ale <strong>warto to zweryfikowa\u0107<\/strong>, bo na wielu serwerach automatyczne aktualizacje bywaj\u0105 wy\u0142\u0105czone.<\/p>\n<h2 class=\"text-text-100 mt-3 -mb-1 text-[1.125rem] font-bold\" dir=\"ltr\" data-sourcepos=\"23:1-23:40;1560-1599\">Jak sprawdzi\u0107, czy jeste\u015b bezpieczny<\/h2>\n<ol class=\"[li_&amp;]:mb-0 [li_&amp;]:mt-1 [li_&amp;]:gap-1 [&amp;:not(:last-child)_ul]:pb-1 [&amp;:not(:last-child)_ol]:pb-1 list-decimal flex flex-col gap-1 pl-8 mb-3 print:block print:space-y-1\" dir=\"ltr\" data-sourcepos=\"25:1-27:126;1601-1910\">\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"25:1-25:72;1601-1672\">Zaloguj si\u0119 do panelu WordPress i wejd\u017a w <strong>Kokpit \u2192 Aktualizacje<\/strong>.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"26:1-26:112;1673-1784\">Sprawd\u017a numer wersji WordPressa. Je\u015bli jest <strong>starszy<\/strong> ni\u017c 6.8.6 \/ 6.9.5 \/ 7.0.2 \u2014 zaktualizuj natychmiast.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"27:1-27:126;1785-1910\">Je\u015bli masz kilka lub kilkaset stron, sprawd\u017a je wszystkie \u2014 jedna niezaktualizowana instalacja wystarczy, by mie\u0107 problem.<\/li>\n<\/ol>\n<h2 class=\"text-text-100 mt-3 -mb-1 text-[1.125rem] font-bold\" dir=\"ltr\" data-sourcepos=\"29:1-29:29;1912-1940\">Co zrobi\u0107 \u2014 krok po kroku<\/h2>\n<ol>\n<li class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"31:1-32:169;1942-2163\"><strong>Zaktualizuj rdze\u0144 WordPressa (najwa\u017cniejsze).<\/strong> To jedyne pe\u0142ne rozwi\u0105zanie. Aktualizacja do 6.8.6 \/ 6.9.5 \/ 7.0.2 (lub nowszej) zamyka luk\u0119. Przed aktualizacj\u0105 wykonaj kopi\u0119 zapasow\u0105 \u2014 to standardowa dobra praktyka.<\/li>\n<li class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"31:1-32:169;1942-2163\"><strong>Sprawd\u017a, czy strona nie zosta\u0142a ju\u017c przej\u0119ta.<\/strong> Skoro luka jest aktywnie wykorzystywana, warto upewni\u0107 si\u0119, \u017ce nikt nie zd\u0105\u017cy\u0142 wcze\u015bniej. Typowe \u015blady po ataku to nieoczekiwane pliki PHP w katalogach, w kt\u00f3rych normalnie ich nie ma (np. w folderze pami\u0119ci podr\u0119cznej albo w bibliotece medi\u00f3w), oraz nieznane, \u015bwie\u017co dodane konta administrator\u00f3w. Je\u015bli masz w\u0105tpliwo\u015bci \u2014 popro\u015b o audyt swojego dostawc\u0119 us\u0142ug WordPress.<\/li>\n<li class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"31:1-32:169;1942-2163\"><strong>Je\u015bli nie mo\u017cesz zaktualizowa\u0107 od r\u0119ki \u2014 zastosuj blokad\u0119 tymczasow\u0105.<\/strong> Do czasu aktualizacji mo\u017cna tymczasowo zablokowa\u0107 wra\u017cliwy fragment interfejsu API WordPressa. To rozwi\u0105zanie \u201ena chwil\u0119&#8221;, kt\u00f3re kupuje czas \u2014 nie zast\u0119puje aktualizacji.<\/li>\n<li class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"31:1-32:169;1942-2163\"><strong>Po ka\u017cdym podejrzeniu w\u0142amania \u2014 posprz\u0105taj porz\u0105dnie.<\/strong> Zmie\u0144 has\u0142a wszystkich administrator\u00f3w, przegeneruj klucze zabezpieczaj\u0105ce (sole) w konfiguracji, przejrzyj list\u0119 kont u\u017cytkownik\u00f3w i usu\u0144 te, kt\u00f3rych nie rozpoznajesz.<\/li>\n<\/ol>\n<h2 class=\"text-text-100 mt-3 -mb-1 text-[1.125rem] font-bold\" dir=\"ltr\" data-sourcepos=\"43:1-43:42;3072-3113\">Dla administrator\u00f3w (skr\u00f3t techniczny)<\/h2>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"45:1-45:141;3115-3255\">Luka znajduje si\u0119 po stronie interfejsu <strong>REST API<\/strong> WordPressa i jest osi\u0105galna dla nieuwierzytelnionych \u017c\u0105da\u0144. Zalecana kolejno\u015b\u0107 dzia\u0142a\u0144:<\/p>\n<ul class=\"[li_&amp;]:mb-0 [li_&amp;]:mt-1 [li_&amp;]:gap-1 [&amp;:not(:last-child)_ul]:pb-1 [&amp;:not(:last-child)_ol]:pb-1 list-disc flex flex-col gap-1 pl-8 mb-3 print:block print:space-y-1\" dir=\"ltr\" data-sourcepos=\"47:1-50:93;3257-3888\">\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"47:1-47:78;3257-3334\"><strong>Aktualizacja rdzenia<\/strong> do 6.8.6 \/ 6.9.5 \/ 7.0.2+ \u2014 priorytet bezwzgl\u0119dny.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"48:1-48:321;3335-3655\"><strong>Tymczasowa mitygacja<\/strong> na czas przed aktualizacj\u0105: zablokowanie wra\u017cliwego punktu ko\u0144cowego na poziomie serwera (regu\u0142a w konfiguracji serwera \/ WAF) lub na poziomie aplikacji dla \u017c\u0105da\u0144 nieuwierzytelnionych. Pami\u0119taj, \u017ce regu\u0142y serwera Apache\/LiteSpeed nie dzia\u0142aj\u0105 na Nginx \u2014 zadbaj o warstw\u0119 niezale\u017cn\u0105 od serwera.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"49:1-49:140;3656-3795\"><strong>Wykrywanie<\/strong>: monitoruj nietypowe odpowiedzi z punkt\u00f3w ko\u0144cowych API oraz obecno\u015b\u0107 plik\u00f3w PHP w katalogach pami\u0119ci podr\u0119cznej i medi\u00f3w.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"50:1-50:93;3796-3888\"><strong>Higiena powdro\u017ceniowa<\/strong>: rotacja hase\u0142 administrator\u00f3w, regeneracja soli, przegl\u0105d kont.<\/li>\n<\/ul>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"52:1-52:143;3890-4032\">Dla w\u0142asnego bezpiecze\u0144stwa nie podajemy tu \u015bcie\u017cek, parametr\u00f3w ani przyk\u0142adowych \u017c\u0105da\u0144 \u2014 te informacje nie s\u0105 potrzebne, by si\u0119 zabezpieczy\u0107.<\/p>\n<h2 class=\"text-text-100 mt-3 -mb-1 text-[1.125rem] font-bold\" dir=\"ltr\" data-sourcepos=\"54:1-54:32;4034-4065\">Jak chronimy klient\u00f3w TREJKA<\/h2>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"56:1-56:70;4067-4136\">Strony pod nasz\u0105 opiek\u0105 s\u0105 w tej sprawie zaopiekowane wielowarstwowo:<\/p>\n<ul class=\"[li_&amp;]:mb-0 [li_&amp;]:mt-1 [li_&amp;]:gap-1 [&amp;:not(:last-child)_ul]:pb-1 [&amp;:not(:last-child)_ol]:pb-1 list-disc flex flex-col gap-1 pl-8 mb-3 print:block print:space-y-1\" dir=\"ltr\" data-sourcepos=\"58:1-60:165;4138-4716\">\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"58:1-58:96;4138-4233\"><strong>Aktualizacje rdzenia<\/strong> wdra\u017camy priorytetowo, gdy tylko pojawi si\u0119 poprawka bezpiecze\u0144stwa.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"59:1-59:318;4234-4551\">Nasza wtyczka <strong>TREJKA Admin Helper<\/strong> ma <strong>wbudowan\u0105, domy\u015blnie w\u0142\u0105czon\u0105 blokad\u0119<\/strong> wra\u017cliwego punktu ko\u0144cowego dla \u017c\u0105da\u0144 nieuwierzytelnionych \u2014 dzia\u0142a niezale\u017cnie od serwera (Apache, Nginx, LiteSpeed) i chroni w oknie czasu mi\u0119dzy ujawnieniem luki a aktualizacj\u0105. Zalogowani redaktorzy nie odczuwaj\u0105 \u017cadnej r\u00f3\u017cnicy.<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"60:1-60:165;4552-4716\"><strong>Monitoring<\/strong> wykrywa typowe \u015blady po tego typu atakach (np. podejrzane pliki PHP tam, gdzie nie powinno ich by\u0107), wi\u0119c ewentualny problem wychwytujemy wcze\u015bnie.<\/li>\n<\/ul>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"62:1-62:153;4718-4870\">Je\u015bli Twoja strona nie jest jeszcze pod nasz\u0105 opiek\u0105, a chcesz mie\u0107 pewno\u015b\u0107, \u017ce jest zaktualizowana i bezpieczna \u2014 <a class=\"underline underline underline-offset-2 decoration-1 decoration-current\/40 hover:decoration-current focus:decoration-current\" href=\"https:\/\/trejka.com\/wspolpraca\/\">napisz do nas<\/a>, ch\u0119tnie pomo\u017cemy.<\/p>\n<hr class=\"border-border-200 border-t-0.5 my-3 mx-1.5\" \/>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"66:1-66:29;4877-4905\"><strong>\u0179r\u00f3d\u0142a i dalsza lektura:<\/strong><\/p>\n<ul class=\"[li_&amp;]:mb-0 [li_&amp;]:mt-1 [li_&amp;]:gap-1 [&amp;:not(:last-child)_ul]:pb-1 [&amp;:not(:last-child)_ol]:pb-1 list-disc flex flex-col gap-1 pl-8 mb-3 print:block print:space-y-1\" dir=\"ltr\" data-sourcepos=\"68:1-70:89;4907-5227\">\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"68:1-68:187;4907-5093\">ithardware.pl \u2014 <em>Krytyczny atak na WordPress: jedno \u017c\u0105danie HTTP<\/em> (<a class=\"underline underline underline-offset-2 decoration-1 decoration-current\/40 hover:decoration-current focus:decoration-current\" href=\"https:\/\/ithardware.pl\/aktualnosci\/krytyczny_atak_wordpress_chatgpt_jedno_zadanie_http-52705.html\" target=\"_blank\" rel=\"nofollow noopener\">link do artyku\u0142u<\/a>)<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"69:1-69:45;5094-5138\">Rapid7 \u2014 analiza CVE-2026-63030 (wp2shell)<\/li>\n<li class=\"font-claude-response-body whitespace-normal break-words pl-2\" data-sourcepos=\"70:1-70:89;5139-5227\">Wiz \u2014 informacje o wykorzystywaniu luki w internecie (CVE-2026-63030 \/ CVE-2026-60137)<\/li>\n<\/ul>\n<p class=\"font-claude-response-body break-words whitespace-normal\" dir=\"ltr\" data-sourcepos=\"72:1-72:155;5229-5383\"><em>Data publikacji: lipiec 2026. Informacje o wersjach i poprawkach s\u0105 aktualne na dzie\u0144 publikacji \u2014 zawsze instaluj najnowsz\u0105 dost\u0119pn\u0105 wersj\u0119 WordPressa.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>W lipcu 2026 ujawniono jedn\u0105 z najpowa\u017cniejszych w ostatnich latach luk w samym rdzeniu WordPressa \u2014 nazwan\u0105 wp2shell (oznaczenia CVE-2026-63030 oraz CVE-2026-60137). Jest ona ju\u017c aktywnie wykorzystywana przez atakuj\u0105cych w internecie, dlatego je\u015bli prowadzisz stron\u0119 na WordPressie, warto zareagowa\u0107 teraz, a nie \u201eprzy okazji&#8221;. Ten wpis t\u0142umaczy w prostych s\u0142owach, na czym polega zagro\u017cenie i [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":571,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[69],"tags":[],"class_list":["post-570","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"acf":[],"_links":{"self":[{"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/posts\/570","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/comments?post=570"}],"version-history":[{"count":0,"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/posts\/570\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/media\/571"}],"wp:attachment":[{"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/media?parent=570"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/categories?post=570"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/trejka.com\/en\/wp-json\/wp\/v2\/tags?post=570"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}