Czy WordPress jest bezpieczny? Nie „czy”, a „kiedy” — jeśli nikt go nie pilnuje

Tytuł brzmi ostro, więc od razu uczciwie: sam WordPress — jego rdzeń — jest dobrze utrzymanym oprogramowaniem. Rozwija go duży zespół, luki w rdzeniu są rzadkie i łatane szybko, aktualizacje bezpieczeństwa instalują się same. Gdyby strony składały się wyłącznie z rdzenia WordPressa, ten artykuł nie miałby sensu. Ale nie składają się. Typowa strona firmowa na WordPressie to rdzeń plus motyw plus kilkanaście–kilkadziesiąt wtyczek od kilkunastu różnych autorów, z których część porzuciła swoje projekty lata temu. I to właśnie tam — nie w rdzeniu — jest problem. Poniżej liczby, mechanizm i odpowiedź na pytanie, kiedy WordPress jest dla Ciebie bezpieczny, a kiedy nie.

Liczby, które wyjaśniają wszystko

Patchstack, firma zajmująca się bezpieczeństwem WordPressa, publikuje co roku raport o lukach w całym ekosystemie. Dwa ostatnie wydania mówią to samo, coraz głośniej:

• Rok 2024 (raport State of WordPress Security in 2025): 7 966 nowych luk, czyli około 22 dziennie. 96% we wtyczkach, 4% w motywach, 7 w rdzeniu — żadna z tych siedmiu nie stanowiła szerokiego zagrożenia. 43% luk dało się wykorzystać bez logowania, czyli nadawały się do automatycznych, masowych ataków.
• Rok 2025 (raport State of WordPress Security in 2026): 11 334 nowe luki, o 42% więcej niż rok wcześniej. 91% we wtyczkach, 9% w motywach, 6 w rdzeniu (niskiego priorytetu). 46% luk było wciąż niezałatanych w chwili publicznego ujawnienia, a mediana czasu od ujawnienia do pierwszego masowego wykorzystania wyniosła pięć godzin.

Przeczytaj ostatnie zdanie jeszcze raz. Prawie połowa luk jest publicznie znana, zanim autor wtyczki wyda poprawkę. A boty zaczynają masowo atakować strony z daną luką średnio pięć godzin po jej ujawnieniu. To nie jest środowisko, w którym „zaktualizuję w weekend” jest bezpieczną strategią.

Jak naprawdę wygląda włamanie na stronę firmową

Nie tak, jak w filmach. Nikt nie siedzi nocą przed ekranem, wybierając Twoją firmę. Działa to tak:

1. Ktoś znajduje lukę we wtyczce, którą ma pół miliona stron. Publikuje ją (często odpowiedzialnie, po poinformowaniu autora — który nie zdążył albo nie chciał załatać).
2. W ciągu godzin powstają automaty, które przeczesują internet w poszukiwaniu stron z tą wtyczką w podatnej wersji.
3. Automat znajduje Twoją stronę. Nie wie i nie obchodzi go, czy to warsztat, kancelaria czy sklep. Liczy się, że serwer działa, a domena ma historię w Google.
4. Wgrywa kod: przekierowania na hazard, japoński spam, phishing, rozsyłanie maili — zależnie od tego, co akurat zarabia. Ukrywa się przed właścicielem (cloaking) i zostawia tylne drzwi.
5. Dowiadujesz się po tygodniach: od klienta, z etykiety w Google, z czerwonego ekranu albo z e-maila od hostingu o blokadzie.

Stąd „nie czy, a kiedy”: przy kilkunastu wtyczkach i braku bieżących aktualizacji pytanie nie brzmi, czy któraś z nich dostanie lukę, tylko kiedy — i czy ktoś ją załata, zanim zrobi to bot.

Kiedy WordPress JEST bezpieczny

Uczciwie, bo znamy wiele stron na WordPressie, które od lat nie miały incydentu. Łączy je kilka rzeczy:

• Ktoś konkretny się nią zajmuje. Osoba lub firma, która co tydzień aktualizuje, czyta komunikaty bezpieczeństwa i wie, co robić, gdy wtyczka zostaje porzucona. Nie „informatyk szwagra, który kiedyś to postawił”.
• Mało wtyczek. Kilka, od znanych autorów, aktywnie rozwijanych. Każda wtyczka to kod obcego człowieka uruchamiany z pełnymi uprawnieniami na Twoim serwerze — im mniej, tym lepiej.
• Dwuetapowe logowanie, unikalne hasła, ograniczone konta. Brak loginu „admin”, brak hasła z 2017 roku współdzielonego z pocztą.
• Kopie zapasowe poza serwerem, testowane — nie „hosting chyba robi”.
• Monitoring: powiadomienia o zmianach plików i o logowaniach, Search Console pod ręką.
• Hosting z izolacją kont, aktualnym PHP i firewallem aplikacyjnym.

Jeśli to wszystko masz — WordPress jest dla Ciebie rozsądnym wyborem i ten artykuł nie powinien Cię niepokoić. Problem w tym, że z naszego doświadczenia większość stron małych firm nie ma żadnego z tych punktów. Strona została postawiona przy wdrożeniu, zapłacona i… zostawiona. Działa, więc nikt jej nie dotyka. Do dnia, w którym przestaje.

Kiedy WordPress NIE jest bezpieczny

• Strona ma kilkanaście lub więcej wtyczek, w tym takie, których nikt nie potrafi nazwać ani wyjaśnić, po co są.
• Nikt nie aktualizuje jej regularnie — albo aktualizacje są wyłączone, „bo kiedyś coś się popsuło”.
• Motyw jest kupiony lata temu, z pakietem wtyczek premium, których licencja wygasła (nie dostają aktualizacji).
• Logowanie bez drugiego składnika, hasła używane też gdzie indziej.
• Nie ma kopii zapasowej poza hostingiem albo nikt jej nigdy nie przywracał.
• Strona była już czyszczona po włamaniu — raz albo więcej.

Przy takim profilu strona jest bezpieczna dokładnie do dnia, w którym bot znajdzie pasującą lukę. Zwykle to kwestia miesięcy.

Co zrobić: trzy drogi

1. Zostać na WordPressie i zacząć go pilnować

Najtańsza droga na dziś, jeśli strona jest czysta. Konkretny plan: audyt wtyczek i usunięcie zbędnych (nie wyłączenie — usunięcie), aktualizacje co tydzień, dwuetapowe logowanie, kopie poza serwerem, monitoring, Search Console. Albo samodzielnie, albo w ramach stałej opieki technicznej. Koszt: regularny czas lub regularna opłata — ale przewidywalna, w przeciwieństwie do kosztu włamania. Do samodzielnej kontroli: 7 prostych testów.

2. Wyczyścić, jeśli już jest po włamaniu

Jeśli trafiłeś tu, bo strona przekierowuje, ma spam w Google albo blokadę hostingu — najpierw czyszczenie z zamknięciem luki, dopiero potem decyzje o przyszłości. Co obejmuje i jak przebiega: czyszczenie strony po włamaniu.

3. Zmienić fundament

Dla firm, które nie chcą pilnować strony ani płacić za pilnowanie, jest trzecia droga: strona na systemie, który nie ma wtyczek od osób trzecich. Nasz CMS budujemy na tej zasadzie: wszystkie funkcje — formularze, galerie, SEO, blog, strefa klienta, sklep — są częścią jednego kodu, który utrzymujemy my, aktualizacje bezpieczeństwa dostajesz w panelu jednym kliknięciem, a przez pierwszy rok także wszystkie aktualizacje funkcji są w cenie. Nie dlatego, że nasz kod jest magicznie nieomylny — dlatego, że powierzchnia ataku jest mniejsza o kilkadziesiąt obcych wtyczek i że odpowiedzialność za aktualność jest po jednej stronie, naszej. Pełne porównanie obu podejść (łącznie z tym, kiedy WordPress jest lepszym wyborem): WordPress czy dedykowany CMS?, a o tym, jak wygląda bezpieczeństwo i szybkość „z pudełka”: Bezpieczna i szybka strona internetowa.

Podsumowanie w trzech zdaniach

WordPress jako rdzeń jest bezpieczny; WordPress jako typowa strona firmowa z kilkunastoma wtyczkami i bez opieki — nie, i liczby z raportów Patchstack nie zostawiają tu wątpliwości. Jeśli ktoś pilnuje strony co tydzień, zostań i śpij spokojnie. Jeśli nikt jej nie pilnuje, zacznij to robić, zleć to komuś albo zmień fundament — bo „kiedy” nadejdzie w najmniej wygodnym momencie.