WordPress 7.0.4 – kolejna aktualizacja

12 sierpnia 2026 roku zespół WordPress opublikował oficjalną aktualizację systemu oznaczoną numerem 7.0.4. Jest to kolejna, wydana w bardzo krótkim czasie łatka bezpieczeństwa (security release), która usuwa istotną podatność wykrytą w kodzie CMS-a. W połączeniu z niedawnymi wydaniami WordPress 7.0.2 oraz WordPress 7.0.3, ostatnie tygodnie pokazują, jak kluczowa dla stabilności i ochrony serwisów jest bieżąca konserwacja oprogramowania.

Historia ostatnich aktualizacji

Szybkie tempo wydań w okresie lipiec–sierpień 2026 roku wynika z intensywnych prac zespołu ds. bezpieczeństwa WordPressa oraz audytów prowadzonych przez zewnętrznych badaczy:

• WordPress 7.0.2 (17 lipca 2026 r.): Wersja ta skupiła się na wyeliminowaniu dwóch poważnych luk (jednej krytycznej i jednej o wysokim priorytecie). Skala zagrożenia była na tyle wysoka, że WordPress.org zdecydował się na wymuszenie automatycznych aktualizacji (forced auto-updates) na podatnych serwisach.
• WordPress 7.0.3 (6 sierpnia 2026 r.): Wydanie to naprawiło aż 12 luk bezpieczeństwa. Kluczowym błędem była podatność CVE-2026-64638 (oceniona na 8.9 CVSS – tzw. XSS2Shell). Umożliwiała ona atak typu Reflected XSS na ekranie logowania jeszcze przed zalogowaniem użytkownika, co w określonych warunkach pozwalało na wykonanie złośliwego kodu PHP na serwerze. Dodatkowo usunięto 4 luki typu Stored XSS (wymagające konta na poziomie co najmniej Contributor) oraz błędy eskalacji uprawnień w instalacjach Multisite.

Co zmienia wydanie WordPress 7.0.4?

W przeciwieństwie do dużych wydań funkcjonalnych, wersja 7.0.4 nie wprowadza zmian wizualnych ani nowych opcji w panelu administracyjnym. Głównym celem tej łatki jest załatanie luki bezpieczeństwa zarejestrowanej pod numerem CVE-2026-65640:

• Opis podatności: Zagrożenie dotyczy możliwości zdalnego wykonania kodu na serwerze (RCE – Remote Code Execution) poprzez złośliwie wygenerowane pliki graficzne przesyłane do biblioteki mediów.
• Warunki wystąpienia: Problem dotyczy serwerów wykorzystujących bibliotekę Imagick połączoną z Ghostscript.
• Wymagane uprawnienia: Wykorzystanie luki wymaga posiadania konta z uprawnieniami na poziomie co najmniej Autor (Author+). Oznacza to, że niezalogowany użytkownik nie może przeprowadzić ataku, jednak zagrożone są serwisy wieloautorskie lub strony, na których doszło do przejęcia konta redaktora.

Wraz z wersją 7.0.4 udostępniono również poprawki zwrotne (backports) dla wcześniejszych gałęzi WordPressa (od wersji 4.7 wzwyż).

Jak bezpiecznie przeprowadzić aktualizację?

Proces aktualizacji WordPressa bywa prosty, ale w przypadku wydań krytycznych warto zachować pełne środki ostrożności:

1. Wykonaj pełny backup – Przed kliknięciem przycisku „Aktualizuj teraz” wykonaj kopię zapasową bazy danych oraz plików na serwerze (wp-content). W razie problemów z kompatybilnością wtyczek lub motywów pozwala to przywrócić witrynę w kilkadziesiąt sekund.
2. Sprawdź stan automatycznych aktualizacji – Wiele instalacji pobiera drobne łatki bezpieczeństwa automatycznie w tle. Przejdź do zakładki Kokpit → Aktualizacje, aby upewnić się, czy Twoja strona działa już na wersji 7.0.4.
3. Testuj na środowisku Staging – W przypadku rozbudowanych serwisów e-commerce lub portali o dużym natężeniu ruchu warto przetestować aktualizację na kopii roboczej (staging) przed wdrożeniem jej na środowisku produkcyjnym.
4. Zadbaj o stabilne i bezpieczne zaplecze hostingowe – Szybka i bezproblemowa obsługa aktualizacji zależy w dużej mierze od infrastruktury serwerowej. Wybierając wysoce zoptymalizowany hosting WordPress w cyber_Folks, zyskujesz m.in. automatyczne kopie zapasowe, wsparcie dla szybkich dysków NVMe, architekturę LiteSpeed oraz wbudowany firewall chroniący przed typowymi atakami.