{"id":8313,"date":"2026-09-13T19:42:34","date_gmt":"2026-09-13T19:42:34","guid":{"rendered":"https:\/\/jchost.pl\/blog\/?p=8313"},"modified":"2026-09-14T07:09:09","modified_gmt":"2026-09-14T07:09:09","slug":"elementor-pro-cve-2026-32475-aktualizacja-bezpieczenstwa","status":"publish","type":"post","link":"https:\/\/jchost.pl\/blog\/elementor-pro-cve-2026-32475-aktualizacja-bezpieczenstwa\/","title":{"rendered":"Elementor Pro CVE-2026-32475: 84% stron bez aktualizacji"},"content":{"rendered":"\n
\n
\n
\n
\n
\n
\n \n
\n

\n \n Elementor Pro CVE-2026-32475: 84% stron bez aktualizacji <\/span>\n\n \n \n <\/span>\n <\/h1>\n<\/div>\n\n <\/div>\n <\/div>\n <\/div>\n <\/div>\n <\/div>\n
\n
\n
\n <\/div>\n
\n \n
\n
\n

Aktualizacja wtyczki pojawia si\u0119 w panelu WordPressa. Strona dzia\u0142a, formularz wysy\u0142a wiadomo\u015bci, sklep przyjmuje zam\u00f3wienia, wi\u0119c \u0142atwo pomy\u015ble\u0107: zaktualizuj\u0119 p\u00f3\u017aniej. Przypadek podatno\u015bci CVE-2026-32475 w Elementor Pro<\/strong> dobrze pokazuje, dlaczego takie odk\u0142adanie aktualizacji mo\u017ce by\u0107 ryzykowne.<\/p>\n

19 sierpnia 2026 roku publicznie ujawniono powa\u017cn\u0105 luk\u0119 w Elementor Pro. Tego samego dnia dost\u0119pna by\u0142a ju\u017c poprawiona wersja wtyczki. Pr\u00f3by wykorzystania podatno\u015bci pojawi\u0142y si\u0119 niemal natychmiast. Mimo to, wed\u0142ug danych telemetrycznych Imunify360, pod koniec sierpnia oko\u0142o 84% obserwowanych przez ich sie\u0107 stron, kt\u00f3re w momencie ujawnienia problemu dzia\u0142a\u0142y na wersjach obj\u0119tych ostrze\u017ceniem, nadal nie przesz\u0142o na wersj\u0119 woln\u0105 od tej podatno\u015bci<\/strong>.<\/p>\n

To nie jest historia wy\u0142\u0105cznie o Elementorze. To dobry przyk\u0142ad znacznie szerszego problemu: aktualizacje WordPressa cz\u0119sto traktujemy jako konserwacj\u0119, kt\u00f3r\u0105 mo\u017cna od\u0142o\u017cy\u0107 na spokojniejszy dzie\u0144. Tymczasem cz\u0119\u015b\u0107 z nich zamyka rzeczywiste luki bezpiecze\u0144stwa, a automatyczne skanowanie Internetu sprawia, \u017ce przest\u0119pcy nie musz\u0105 nawet wiedzie\u0107, kim jest w\u0142a\u015bciciel konkretnej strony.<\/p>\n <\/div>\n<\/div>\n\n

\n
\n \"O\u015b \n <\/div>\n \n \n <\/div>\n
\n
\n <\/div>\n <\/div>\n
\n
\n <\/div>\n <\/div>\n \n
\n
\n

Co w\u0142a\u015bciwie wydarzy\u0142o si\u0119 z Elementor Pro?<\/h2>\n

Elementor Pro jest p\u0142atnym rozszerzeniem popularnego kreatora stron Elementor. Jedn\u0105 z jego funkcji jest modu\u0142 formularzy, kt\u00f3ry mo\u017ce pozwala\u0107 u\u017cytkownikowi na przesy\u0142anie plik\u00f3w, na przyk\u0142ad CV, zdj\u0119cia, dokumentu czy za\u0142\u0105cznika do zg\u0142oszenia.<\/p>\n

W wersjach Elementor Pro do 4.2.1 w\u0142\u0105cznie<\/strong> odkryto b\u0142\u0105d w sposobie sprawdzania plik\u00f3w przesy\u0142anych przez formularz. W okre\u015blonej konfiguracji formularza mo\u017cliwe by\u0142o obej\u015bcie kontroli rozszerzenia pliku i przes\u0142anie na serwer pliku, kt\u00f3ry normalnie powinien zosta\u0107 odrzucony.<\/p>\n

Podatno\u015b\u0107 otrzyma\u0142a oznaczenie CVE-2026-32475<\/strong>. Nie dotyczy\u0142a automatycznie ka\u017cdej strony u\u017cywaj\u0105cej Elementora. Do jej wykorzystania potrzebna by\u0142a opublikowana strona z formularzem Elementor Pro zawieraj\u0105cym pole przesy\u0142ania pliku, kt\u00f3re nie by\u0142o oznaczone jako wymagane.<\/p>\n

To istotne zastrze\u017cenie, ale nie zmienia powagi problemu. Taki formularz nie jest przecie\u017c egzotyczn\u0105 konfiguracj\u0105. Mo\u017ce s\u0142u\u017cy\u0107 do przes\u0142ania CV, zdj\u0119cia produktu, dokumentu do wyceny czy za\u0142\u0105cznika do zg\u0142oszenia.<\/p>\n

Co umo\u017cliwia\u0142a podatno\u015b\u0107?<\/h3>\n

W odpowiednio przygotowanym \u017c\u0105daniu osoba atakuj\u0105ca mog\u0142a omin\u0105\u0107 cz\u0119\u015b\u0107 mechanizmu weryfikuj\u0105cego typ przesy\u0142anego pliku. W efekcie na serwer m\u00f3g\u0142 trafi\u0107 mi\u0119dzy innymi plik PHP zapisany w publicznie dost\u0119pnej cz\u0119\u015bci katalogu strony.<\/p>\n

Je\u017celi taki plik m\u00f3g\u0142 zosta\u0107 nast\u0119pnie uruchomiony przez serwer WWW, konsekwencj\u0105 mog\u0142o by\u0107 zdalne wykonanie kodu, czyli RCE<\/strong>. M\u00f3wi\u0105c pro\u015bciej: osoba bez konta w WordPressie mog\u0142a w okre\u015blonych warunkach uzyska\u0107 mo\u017cliwo\u015b\u0107 wykonywania w\u0142asnych polece\u0144 na serwerze w kontek\u015bcie zaatakowanej strony.<\/p>\n

Producent usun\u0105\u0142 problem w Elementor Pro 4.2.2<\/strong>, wydanym 19 sierpnia 2026 roku. Obecnie oczywi\u015bcie nie nale\u017cy instalowa\u0107 specjalnie tej wersji, je\u015bli dost\u0119pna jest nowsza. W\u0142a\u015bciwym dzia\u0142aniem jest aktualizacja do najnowszej zgodnej wersji Elementor Pro, przy czym 4.2.2 jest pierwsz\u0105 wersj\u0105 zawieraj\u0105c\u0105 poprawk\u0119 dla tej konkretnej podatno\u015bci.<\/p>\n

Poprawka by\u0142a dost\u0119pna. Atakuj\u0105cy te\u017c nie czekali<\/h2>\n

Najciekawsza cz\u0119\u015b\u0107 tej historii zaczyna si\u0119 po publikacji poprawki.<\/p>\n

Imunify360 poinformowa\u0142, \u017ce 20 sierpnia, czyli dzie\u0144 po publicznym ujawnieniu podatno\u015bci, w chronionej przez siebie infrastrukturze pojawi\u0142y si\u0119 \u017c\u0105dania pasuj\u0105ce do charakterystycznego sposobu wykorzystania CVE-2026-32475. Do 31 sierpnia firma zarejestrowa\u0142a oko\u0142o 757 tysi\u0119cy takich \u017c\u0105da\u0144<\/strong>. Najwi\u0119kszy ruch przypad\u0142 na 25 sierpnia.<\/p>\n

Niezale\u017cne dane Wordfence r\u00f3wnie\u017c wskazuj\u0105 na rzeczywiste zainteresowanie luk\u0105 ze strony atakuj\u0105cych. Firma poinformowa\u0142a o ponad 190 tysi\u0105cach zablokowanych pr\u00f3b wykorzystania podatno\u015bci<\/strong> i poda\u0142a, \u017ce ataki zacz\u0119\u0142y pojawia\u0107 si\u0119 ju\u017c w dniu publicznego ujawnienia problemu.<\/p>\n

Warto prawid\u0142owo interpretowa\u0107 te liczby. Setki tysi\u0119cy zarejestrowanych \u017c\u0105da\u0144 lub zablokowanych pr\u00f3b nie oznaczaj\u0105 setek tysi\u0119cy skutecznie przej\u0119tych stron<\/strong>. Pokazuj\u0105 jednak co\u015b innego: po ujawnieniu atrakcyjnej luki w popularnym oprogramowaniu automatyczne pr\u00f3by jej wykorzystania mog\u0105 ruszy\u0107 bardzo szybko i na du\u017c\u0105 skal\u0119.<\/p>\n

Sk\u0105d wzi\u0119\u0142o si\u0119 84% nieza\u0142atanych instalacji?<\/h2>\n

Ta liczba pochodzi bezpo\u015brednio z danych Imunify360, a nie z ankiety przeprowadzonej w\u015br\u00f3d w\u0142a\u015bcicieli stron.<\/p>\n

20 sierpnia firma obserwowa\u0142a w swojej sieci oko\u0142o 2,6 miliona stron dzia\u0142aj\u0105cych na wersjach Elementor Pro, kt\u00f3re advisory wskazywa\u0142o jako obj\u0119te podatno\u015bci\u0105<\/strong>. Do 31 sierpnia liczba instalacji dzia\u0142aj\u0105cych na poprawionej wersji znacz\u0105co wzros\u0142a, ale ponad 2,1 miliona stron z pocz\u0105tkowej grupy nadal nie przesz\u0142o na wydanie znajduj\u0105ce si\u0119 poza zakresem podatno\u015bci.<\/p>\n

St\u0105d warto\u015b\u0107 oko\u0142o 84%<\/strong>.<\/p>\n

Nie nale\u017cy wi\u0119c interpretowa\u0107 jej jako stwierdzenia, \u017ce 84% wszystkich stron korzystaj\u0105cych z Elementor Pro na \u015bwiecie by\u0142o w tym momencie mo\u017cliwe do skutecznego zaatakowania. Dane dotycz\u0105 konkretnej infrastruktury obserwowanej przez Imunify360, a samo wykorzystanie CVE-2026-32475 wymaga\u0142o dodatkowo okre\u015blonej konfiguracji formularza.<\/p>\n

Mimo tych zastrze\u017ce\u0144 skala op\u00f3\u017anienia w instalowaniu dost\u0119pnej poprawki jest bardzo wymowna.<\/p>\n <\/div>\n<\/div>\n\n

\n
\n \"84% \n <\/div>\n \n \n <\/div>\n
\n
\n <\/div>\n <\/div>\n \n
\n
\n

Dlaczego popularne wtyczki WordPressa s\u0105 atrakcyjnym celem?<\/h2>\n

Atakuj\u0105cy nie musz\u0105 wybiera\u0107 r\u0119cznie pojedynczych firm. Znacznie bardziej op\u0142acalne jest znalezienie podatno\u015bci w komponencie zainstalowanym na bardzo wielu stronach, a nast\u0119pnie automatyczne wyszukiwanie podatnych instalacji.<\/p>\n

Popularna wtyczka tworzy efekt skali. Jeden b\u0142\u0105d mo\u017ce potencjalnie wyst\u0119powa\u0107 na setkach tysi\u0119cy lub milionach serwis\u00f3w. Po opublikowaniu szczeg\u00f3\u0142\u00f3w podatno\u015bci albo przygotowaniu sposobu jej wykorzystania mo\u017cna uruchomi\u0107 skanowanie du\u017cej liczby stron bez szczeg\u00f3lnego zainteresowania tym, kto jest ich w\u0142a\u015bcicielem.<\/p>\n

Dlatego niewielka strona firmowa nie jest z definicji nieatrakcyjnym celem. W wielu zautomatyzowanych kampaniach nikt nie analizuje wielko\u015bci firmy ani warto\u015bci konkretnej domeny. Liczy si\u0119 odpowied\u017a na znacznie prostsze pytanie: czy na tej stronie znajduje si\u0119 komponent, kt\u00f3ry mo\u017cna wykorzysta\u0107?<\/strong><\/p>\n

Dlaczego w\u0142a\u015bciciele stron zwlekaj\u0105 z aktualizacjami?<\/h2>\n

Powod\u00f3w jest kilka i cz\u0119\u015b\u0107 z nich jest ca\u0142kowicie zrozumia\u0142a.<\/p>\n

\u201eNie chc\u0119, \u017ceby aktualizacja zepsu\u0142a stron\u0119\u201d<\/h3>\n

To prawdopodobnie najcz\u0119stsza obawa. Aktualizacja WordPressa, wtyczki lub motywu rzeczywi\u015bcie mo\u017ce czasem ujawni\u0107 problem ze zgodno\u015bci\u0105. Szczeg\u00f3lnie w rozbudowanym sklepie lub stronie rozwijanej przez wiele lat klikni\u0119cie przycisku \u201eAktualizuj\u201d bez przygotowania nie zawsze jest najlepszym pomys\u0142em.<\/p>\n

Wniosek nie powinien jednak brzmie\u0107 \u201enie aktualizowa\u0107\u201d, lecz \u201emie\u0107 procedur\u0119 bezpiecznej aktualizacji\u201d<\/strong>.<\/p>\n

\u201eStrona dzia\u0142a, wi\u0119c po co jej dotyka\u0107?\u201d<\/h3>\n

Problem bezpiecze\u0144stwa bardzo cz\u0119sto nie daje \u017cadnych widocznych objaw\u00f3w przed atakiem. Podatna funkcja mo\u017ce miesi\u0105cami dzia\u0142a\u0107 dok\u0142adnie tak samo jak wcze\u015bniej.<\/p>\n

Brak b\u0142\u0119du na stronie g\u0142\u00f3wnej, dzia\u0142aj\u0105cy formularz i poprawnie otwieraj\u0105cy si\u0119 sklep m\u00f3wi\u0105 nam przede wszystkim, \u017ce serwis dzia\u0142a funkcjonalnie. Nie potwierdzaj\u0105, \u017ce jego kod nie zawiera znanej ju\u017c publicznie podatno\u015bci.<\/strong><\/p>\n

Brak osoby odpowiedzialnej za utrzymanie strony<\/h3>\n

Strona zosta\u0142a wykonana kilka lat temu, osoba odpowiedzialna za projekt ju\u017c jej nie obs\u0142uguje, a w firmie nikt formalnie nie zajmuje si\u0119 WordPressem. Komunikaty o aktualizacjach pozostaj\u0105 wi\u0119c w panelu, dop\u00f3ki co\u015b rzeczywi\u015bcie nie przestanie dzia\u0142a\u0107.<\/p>\n

To cz\u0119sty problem organizacyjny: w\u0142a\u015bciciel firmy zak\u0142ada, \u017ce stron\u0105 zajmuje si\u0119 hosting lub wykonawca, wykonawca uznaje projekt za zako\u0144czony, a dostawca hostingu odpowiada za infrastruktur\u0119, ale niekoniecznie za aktualizowanie aplikacji klienta.<\/p>\n

Nieaktywna licencja p\u0142atnej wtyczki<\/h3>\n

W przypadku komercyjnych rozszerze\u0144 dochodzi jeszcze kwestia licencji i mechanizmu aktualizacji. Sama obecno\u015b\u0107 p\u0142atnej wtyczki w WordPressie nie zawsze gwarantuje, \u017ce strona b\u0119dzie otrzymywa\u0107 kolejne wydania bez aktywnej subskrypcji.<\/p>\n

To kolejny pow\u00f3d, dla kt\u00f3rego warto okresowo sprawdza\u0107 nie tylko czerwone znaczniki \u201eaktualizacja dost\u0119pna\u201d, ale tak\u017ce stan licencji u\u017cywanych rozszerze\u0144.<\/p>\n

Co mo\u017ce si\u0119 sta\u0107 po wykorzystaniu luki we wtyczce?<\/h2>\n

Skutek zawsze zale\u017cy od rodzaju podatno\u015bci. W przypadku CVE-2026-32475 najpowa\u017cniejszym scenariuszem by\u0142o przes\u0142anie wykonywalnego pliku PHP i uruchomienie go na serwerze.<\/p>\n

Uzyskanie mo\u017cliwo\u015bci wykonywania kodu mo\u017ce otworzy\u0107 drog\u0119 do dalszych dzia\u0142a\u0144, takich jak:<\/p>\n