Wersja WordPressa

Wersja WordPressa to parametr monitoringu stron internetowych, który ustala numer wersji rdzenia WordPress zainstalowanego na stronie. Wynikiem jest numer wersji ze wskazaniem źródła odczytu albo wersja nieznana. Sam numer nabiera znaczenia dopiero w zestawieniu z cyklem wsparcia projektu: WordPress.org klasyfikuje każde wydanie jako najnowsze (latest), nieaktualne, ale wciąż łatane (outdated), albo niebezpieczne (insecure) ^[5].

Jak działa

Z zewnątrz wersję rdzenia widać tylko tam, gdzie WordPress sam ją wypisuje. Funkcja get_the_generator tworzy znacznik generatora w kilku formatach: dla HTML jest to <meta name="generator" content="WordPress X">, a dla kanału RSS 2.0 element <generator> z adresem https://wordpress.org/?v=X ^[6]. Każdy format przechodzi przez filtr get_the_generator_{$type}, więc wtyczka może znacznik zmienić albo usunąć ^[6]. Odczyt z zewnątrz obejmuje zatem kod strony głównej i kanał /feed/, bo generator jest w obu miejscach wypisywany osobno ^[6].

Trzecim tropem był plik readme.html w katalogu instalacji. W grudniu 2016 roku z jego nagłówka usunięto wiersz z numerem wersji (wtedy „Version 4.8”), a razem z nim test, który pilnował zgodności tego numeru z wersją rdzenia ^[8]. Numer zniknął więc z pliku od wydania 4.8; starsze instalacje mogą go nadal ujawniać ^[8].

Mylącym tropem jest parametr ?ver= na zasobach z katalogu wp-includes. Domyślną wersją skryptów i stylów rdzenia jest wprawdzie wersja WordPressa (get_bloginfo( 'version' )), ale biblioteki dołączone do rdzenia są rejestrowane z własnymi numerami, np. jQuery z wersją 3.7.1, a jQuery Migrate z 3.4.1 ^[7]. Odczyt ?ver=3.7.1 z pliku jQuery to numer biblioteki, nie rdzenia.

RYS. 1.1Odczyt wersji rdzenia z zewnątrz

Źródła różnią się pewnością. Kod działający wewnątrz WordPressa odczytuje wersję wprost, tak jak rdzeń podstawia ją do adresów własnych zasobów ^[7]. Znaczniki generatora pochodzą z tej samej funkcji, ale filtr może je usunąć ^[6], a readme.html pomaga tylko przy starych instalacjach ^[8]. Brak wszystkich sygnałów oznacza wersję nieznaną, nie aktualną.

RYS. 1.2Pierwszeństwo źródeł wersji

Standardy i specyfikacje

• Polityka wsparcia. Archiwum wydań podaje, że bezpieczna i aktywnie utrzymywana jest tylko najnowsza wersja z serii 7.1 ^[1]. Zespół bezpieczeństwa WordPressa zaznacza, że jedyną aktywnie wspieraną wersją jest najnowsza, a poprawki bezpieczeństwa trafiają do starszych gałęzi wyłącznie grzecznościowo ^[2].
• API wersji. Zapytanie core/version-check/1.7 zwraca oferty aktualizacji: upgrade do najnowszego wydania i oferty autoupdate dla starszych gałęzi. We wrześniu 2026 roku lista sięga od 7.1 do 4.7.35 ^[4]. Zapytanie core/stable-check/1.0 przypisuje każdemu wydaniu jedną z trzech etykiet ^[5].
• Automatyczne aktualizacje. Wprowadzono je w WordPressie 3.7. Domyślnie obejmują wydania drobne, czyli poprawkowe i bezpieczeństwa; od wersji 5.6 nowe instalacje dostają także wydania główne, a istniejące zachowują wcześniejsze ustawienie ^[3]. Stała WP_AUTO_UPDATE_CORE przyjmuje true, false albo 'minor', a AUTOMATIC_UPDATER_DISABLED wyłącza wszystkie aktualizacje automatyczne ^[3].
• CPE. Słownik CPE prowadzony przez NVD zawiera nazwę cpe:2.3:a:wordpress:wordpress:6.8.2:*:*:*:*:*:*:* z tytułem „WordPress 6.8.2”; producent i produkt to wordpress, a wersja jest osobnym składnikiem nazwy ^[10].
• OWASP WSTG. Przewodnik testów wymienia znacznik <meta name="generator" content="WordPress X.X" /> jako identyfikator WordPressa w kodzie strony ^[9].

Zagrożenia i skutki

Wydanie bez poprawek. Etykietę insecure mają wszystkie wydania gałęzi 4.6 oraz wcześniejsze wydania gałęzi wciąż wspieranych, np. 7.0.3 ^[5]. Od lipca 2025 roku wersje 4.1–4.6 nie dostają poprawek bezpieczeństwa; według WordPress.org ponad 99% instalacji działa na nowszych wersjach ^[2]. Najstarszą gałęzią z ofertą automatycznej aktualizacji jest 4.7 ^[4].

Starsza gałąź, ale załatana. Ostatnie wydania starszych gałęzi, np. 6.8.8 czy 4.7.35, mają etykietę outdated, nie insecure ^[5]. Porównanie numeru wyłącznie z najnowszym wydaniem wrzuca je do jednego worka z wersjami bez poprawek. Poprawki wsteczne są jednak grzecznością i mogą się skończyć, tak jak dla gałęzi 4.1–4.6 ^[2].

Wyłączone aktualizacje. Przy WP_AUTO_UPDATE_CORE równym false wyłączone są aktualizacje rdzenia wszystkich typów ^[3]. Wersja stoi wtedy w miejscu, a po wydaniu kolejnej poprawki zmienia etykietę na insecure, jak 7.0.3 po wydaniu 7.0.4 ^[5].

Ukrywanie wersji. Znacznik generatora można usunąć filtrem ^[6], a readme.html od 4.8 numeru nie podaje ^[8]. OWASP nazywa ukrywanie nagłówków, ścieżek i znaczników frameworka „security through obscurity”, które spowalnia tylko najmniej zaawansowanych napastników ^[9]. Wersja nieznana nie mówi więc nic o tym, czy strona jest aktualna.

Błędny odczyt. Numer biblioteki z ?ver= wzięty za wersję rdzenia ^[7] daje wersję, której na stronie nie ma. Wersja jest składnikiem nazwy CPE ^[10], więc taki odczyt wskazuje inne wydanie niż zainstalowane.

Przykłady

Sytuacja	Co widać z zewnątrz	Ocena według cyklu wsparcia
Najnowsze wydanie	meta generator z numerem 7.1 [6]	latest [5]
Ostatnie wydanie starszej gałęzi	?v=6.8.8 w generatorze kanału RSS [6]	outdated, poprawki wsteczne grzecznościowo [5] [2]
Wcześniejsze wydanie wspieranej gałęzi	meta generator z numerem 7.0.3 [6]	insecure [5]
Gałąź po końcu wsparcia	numer 4.6.x w generatorze albo w readme.html starej instalacji [6] [8]	insecure, bez poprawek od lipca 2025 [5] [2]
Generator usunięty, readme.html bez numeru	brak odczytu [6] [8]	wersja nieznana, nie aktualna [9]
Zasób jQuery z ?ver=3.7.1	numer biblioteki, nie rdzenia [7]	odczyt do odrzucenia
Automatyczne aktualizacje wyłączone	numer bez zmian od miesięcy [3]	z czasem insecure [5]