Blog 24/7
ARK. 1 · 1 min czytaniaWordPress ·

WordPress.org automatycznie sprawdzi każdą aktualizację wtyczki przed dystrybucją

Wydanie wtyczki lub motywu z wysoką oceną ryzyka ma samo wstrzymać dystrybucję. System zatrzymał już backdoor we wtyczce z około 20 tys. aktywnych instalacji.

Karta wpisu: WordPress.org automatycznie sprawdzi każdą aktualizację wtyczki przed dystrybucją

WordPress.org wprowadza automatyczny przegląd bezpieczeństwa każdego wydania wtyczki. Przegląd odbywa się, zanim wydanie trafi do stron przez API aktualizacji. Nowe wtyczki były sprawdzane przy wejściu do katalogu, ale ich kolejne wersje wychodziły bez stałej kontroli. David Perez, współprowadzący zespół oficjalnego repozytorium wtyczek, zwraca uwagę, że wtyczka bezpieczna dziś może w następnym wydaniu wprowadzić podatność albo złośliwy kod.

28 lipca 2026 automatyczny przegląd wykrył backdoor dodany do wydania wtyczki z około 20 tys. aktywnych instalacji. Wersja była jeszcze w okresie oczekiwania, więc nie trafiła do stron przez API aktualizacji. Zespół zamknął pobieranie wtyczki 26 minut po zgłoszeniu od firmy Wordfence. Nazwy wtyczki nie ujawniono.

Od 5 czerwca 2026 każda wtyczka i każdy motyw przechodzą okres oczekiwania przed automatyczną aktualizacją w ramach programu Protect The Shire. Na początku okres ten wynosił 24 godziny, teraz 6. Nowy etap zakłada, że wydanie z wysoką oceną ryzyka samo wstrzyma dystrybucję, bez udziału zespołu wtyczek.

TAB. 2

Źródła

1
The Hacker News — WordPress Adds Automated Plugin Reviews to Block High-Risk Updates Before Distributionthehackernews.com
TAB. 3

Powiązane

3
05.11.2026WordPressCWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksa
05.11.2026WordPressDreamHost potwierdza wyciek haseł FTP/SFTP i sesji poczty webowej
05.11.2026WordPressVercel wiąże sesję logowania z TPM, skradzione ciasteczko nie zadziała gdzie indziej

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com