Czy WordPress jest jeszcze bezpieczny? Włamania, wtyczki i ukryty koszt strony firmowej

Przez lata budowałem strony na WordPressie i nadal uważam, że to świetnie zrobione narzędzie. Wygodny panel, ogromna społeczność, wtyczka do wszystkiego. Właśnie ta ostatnia zaleta sprawia jednak, że rozmowy o WordPressie z właścicielami firm coraz częściej zaczynają się od zdania: „Ktoś nam się włamał na stronę”.

Ten tekst nie jest kolejnym „WordPress umarł”. WordPress ma się dobrze i będzie miał się dobrze jeszcze długo. Chcę za to pokazać, skąd biorą się włamania, dlaczego ich przybywa i dlaczego dla wielu małych firm WordPress przestał być oczywistym wyborem na stronę wizytówkę.

Skala: dlaczego właśnie WordPress

Według W3Techs WordPress działa na 39,6% wszystkich stron internetowych i na 58,3% stron, których system zarządzania treścią da się rozpoznać (dane z 24 października 2026). Żaden inny system nie jest nawet blisko.

Dla atakującego to idealna sytuacja. Jeśli znajdzie lukę w popularnej wtyczce, może napisać jeden skrypt i przeskanować nim cały internet. Nie musi wybierać ofiar. Każda strona z tą wtyczką w starej wersji staje się celem automatycznie, niezależnie od tego, czy należy do dużej marki, czy do warsztatu samochodowego z Kartuz.

To najważniejsza rzecz do zrozumienia: większość włamań na strony małych firm nie jest osobista. To masowe, zautomatyzowane polowanie na nieaktualny kod.

Liczby z 2025 roku

Najlepsze publiczne dane o podatnościach WordPressa zbiera Patchstack, firma, która przyjmuje zgłoszenia od badaczy bezpieczeństwa i prowadzi bazę luk. W raporcie za 2025 rok podaje:

W liczbach

nowe podatności w ekosystemie WordPressa, o 42% więcej niż w 2024 roku

11 334

podatności dotyczyło wtyczek, a 9% motywów

91%

podatności nie miało poprawki od autora w chwili publicznego ujawnienia

46%

ważona mediana czasu do pierwszego ataku przy najczęściej wykorzystywanych lukach

5 h

Źródło: Patchstack, State of WordPress Security in 2026.

Kilka rzeczy z tego raportu warto przeczytać dwa razy.

Rdzeń nie jest problemem. Patchstack naliczył w nim zaledwie kilka podatności o niskim priorytecie. Zespół WordPressa robi dobrą robotę, a drobne poprawki bezpieczeństwa instalują się automatycznie.

Problemem jest wszystko dookoła. Typowa strona firmowa na WordPressie ma od kilkunastu do kilkudziesięciu wtyczek: formularz, SEO, kopie zapasowe, slider, galeria, page builder, cookies, cache. Każda z nich to kod innego autora, z innym podejściem do bezpieczeństwa i innym tempem poprawek.

Płatne nie znaczy bezpieczniejsze. Według Patchstacka komponenty premium miały trzy razy więcej podatności znanych z realnych ataków niż darmowe. Płatny motyw kupiony kilka lat temu na zewnętrznym marketplace często nie aktualizuje się sam, bo licencja dawno wygasła.

Atakujący są szybsi niż zwykły harmonogram aktualizacji. Przy najczęściej wykorzystywanych lukach pierwsze ataki pojawiały się po kilku godzinach, a około połowy luk o dużym znaczeniu wykorzystano w ciągu doby. Strona, którą ktoś aktualizuje raz w miesiącu, przez większość tego miesiąca może być otwarta.

Dlaczego jest coraz gorzej, a nie lepiej

Wzrost o 42% w jeden rok to nie przypadek. Składa się na niego kilka rzeczy naraz.

Po pierwsze, coraz więcej osób szuka luk, bo programy nagród za ich zgłaszanie dobrze płacą. To akurat dobra wiadomość: luki, które istniały od lat, wreszcie wychodzą na wierzch. Zła wiadomość jest taka, że po ujawnieniu luka trafia też do atakujących.

Po drugie, narzędzia do automatycznego szukania i wykorzystywania luk są coraz lepsze. To, co kiedyś wymagało pracy doświadczonej osoby, dziś da się w dużej mierze zautomatyzować.

Po trzecie, ekosystem wtyczek jest ogromny i nierówny. Obok dużych firm z zespołami bezpieczeństwa są tysiące dodatków pisanych po godzinach przez jedną osobę. Część z nich autorzy porzucają, a strony, które z nich korzystają, zostają z kodem, którego nikt już nie poprawi.

Co się dzieje po włamaniu

Firma Sucuri, która zawodowo czyści zainfekowane strony, opisała w raporcie za 2023 rok, co znajduje na stronach po włamaniu. Kilka liczb dobrze pokazuje, jak to wygląda w praktyce:

• 39,1% systemów CMS było nieaktualnych w chwili infekcji.
• 49,21% zainfekowanych stron miało co najmniej jeden backdoor, czyli ukryte wejście, przez które atakujący wraca nawet po usunięciu widocznych śladów.
• 55,2% zainfekowanych baz danych zawierało fałszywe konta administratorów WordPressa.

Dla firmy włamanie rzadko oznacza dramatyczny komunikat na stronie głównej. Częściej jest cicho: na serwerze pojawiają się tysiące ukrytych podstron ze spamem, które Google zaczyna indeksować pod Twoją domeną. Albo użytkownicy telefonów są przekierowywani na podejrzane strony, a Ty na komputerze niczego nie widzisz.

Jeśli Google uzna stronę za niebezpieczną, w Search Console pojawi się komunikat w raporcie o problemach z bezpieczeństwem, a przeglądarki mogą wyświetlać ostrzeżenie przed wejściem. Dla firmy, która zdobywa klientów przez stronę, to przestój w sprzedaży.

Skąd w ogóle tyle miejsc do ataku

Żeby zrozumieć, dlaczego strona statyczna jest z natury bezpieczniejsza, warto zobaczyć, co dzieje się przy każdym wejściu na stronę.

Jedno wejście na stronę

WordPress

1. Przeglądarka
2. Serwer z PHP
3. Rdzeń WordPressa
4. Motyw
5. Wtyczki (często 20+)
6. Baza danych
7. Gotowa strona

Do tego panel logowania pod znanym adresem, który boty próbują odgadnąć hasłami, i formularze zapisujące dane w bazie.

Strona statyczna (na przykład Astro)

1. Przeglądarka
2. Sieć CDN
3. Gotowy plik HTML

Strona jest budowana raz, przed publikacją. Na serwerze nie ma panelu logowania, PHP ani bazy danych, więc nie ma czego „włamać” w klasycznym sensie.

element, który uruchamia kod przy każdym wejściu i może mieć podatność

Każdy czerwony element to kod, który uruchamia się przy każdym wejściu i przyjmuje dane od odwiedzającego. To właśnie tam szukają luk boty. Na stronie statycznej ten łańcuch prawie znika, bo strona jest składana przed publikacją, a nie w chwili, gdy ktoś ją otwiera.

Ukryty koszt: czas, który ktoś musi poświęcić

Bezpieczny WordPress jest możliwy. Wymaga jednak stałej pracy: aktualizacji, kopii zapasowych, sprawdzania, czy po aktualizacji wszystko działa, usuwania porzuconych wtyczek, monitorowania. Rozpisałem to szczegółowo w osobnym poradniku o tym, jak zabezpieczyć WordPress.

Ten czas zawsze ktoś opłaca. Albo Ty, swoimi wieczorami, albo agencja w abonamencie opieki. Pozycja „aktualizacje i bezpieczeństwo” to często najdroższy element utrzymania strony na WordPressie, o czym piszę też w tekście o kosztach utrzymania strony.

Pytanie, które warto sobie zadać, brzmi: czy moja strona w ogóle potrzebuje tego wszystkiego, za co płacę tym czasem?

Porównanie

Strona firmowa na WordPressie

• Aktualizacje rdzenia, motywu i każdej wtyczki, najlepiej w ciągu godzin od wydania poprawki.
• Panel logowania wystawiony w internecie: silne hasła, 2FA, ochrona przed zgadywaniem.
• Hosting z PHP i bazą danych, którą też trzeba aktualizować.
• Kopie zapasowe plików i bazy oraz próbne odtworzenie.
• Monitoring zmian w plikach i nowych kont administratorów.

Strona statyczna w Astro

• Brak wtyczek uruchamianych na serwerze, więc brak cotygodniowych aktualizacji.
• Brak panelu logowania na stronie i brak bazy danych do zaatakowania.
• Hosting na sieci CDN, często w darmowym planie.
• Cały kod w repozytorium z historią zmian, więc powrót do poprzedniej wersji trwa minutę.
• Do pilnowania zostają konta: domena, hosting, repozytorium i ewentualny CMS.

Kiedy WordPress nadal ma sens

Uczciwie: są sytuacje, w których nie odradzałbym WordPressa.

• Duży serwis z redakcją, gdzie kilka osób codziennie publikuje treści, potrzebuje ról, akceptacji i harmonogramu.
• Sklep na WooCommerce, który już działa, zarabia i ma zespół albo agencję dbającą o aktualizacje.
• Projekt mocno oparty na konkretnych wtyczkach, na przykład platforma kursów albo członkostwa, gdzie przepisanie funkcji od zera nie ma ekonomicznego sensu.

We wszystkich tych przypadkach warunek jest ten sam: ktoś musi mieć bezpieczeństwo w obowiązkach, a nie „jak znajdzie czas”.

Kiedy lepiej odejść od WordPressa

Najczęściej rozmawiam jednak z firmami, których strona to kilka lub kilkanaście podstron: oferta, realizacje, o firmie, kontakt, czasem blog. Do tego formularz kontaktowy. Taka strona:

Jeśli zaznaczasz większość punktów, Twoja strona prawdopodobnie nie potrzebuje serwera z PHP, bazy danych i dwudziestu wtyczek. Potrzebuje szybkich, gotowych plików i dobrego formularza.

Co robię zamiast tego

Strony firmowe buduję w Astro, jako strony statyczne. Treść, wygląd i SEO projektuję tak samo starannie jak przy WordPressie, ale efektem są gotowe pliki HTML na sieci CDN. Formularz wysyła wiadomości przez osobną funkcję z ochroną przed spamem. Jeśli klient chce sam edytować teksty, dokładam prosty panel CMS, który działa obok strony, a nie na niej.

Przy przeprowadzce z WordPressa najważniejsze jest, żeby nie stracić tego, co strona zbudowała w Google: adresów, przekierowań, treści i danych strukturalnych. Opisałem to krok po kroku w checkliście migracji bez utraty ruchu, a cały proces na stronie o przebudowie strony.

Jeśli masz stronę na WordPressie i nie wiesz, czy to dobry moment na zmianę, napisz do mnie. Powiem szczerze, czy przeprowadzka ma sens, czy wystarczy porządnie zabezpieczyć to, co już masz.