Cztery wydania w trzydzieści dni

sie 12, 2026 | Cyberflux

Dwunastego sierpnia wyszedł WordPress 7.0.4. Sześć dni po 7.0.3, dwadzieścia sześć dni po 7.0.2. Cztery wydania bezpieczeństwa rdzenia w niecały miesiąc — w oprogramowaniu, które przez lata wydawało takie poprawki kilka razy do roku.

Sama luka jest tym razem węższa niż poprzednie: uwierzytelnione wykonanie kodu przez wgranie złośliwego pliku, wymagające uprawnień co najmniej autora, na witrynach korzystających z Imagick i Ghostscriptu. Zgłaszający: pwn.ai— ten sam zespół, który tydzień temu dał nam XSS2Shell.

Ale nie luka jest tu tematem. Tematem jest to, dlaczego wydań jest cztery — i co pokazuje lista zgłaszających.

Kto zgłosił trzy ostatnie wydania

Prześledźmy autorstwo, bo dopiero zestawione razem układa się w obraz.

7.0.2 — łańcuch wp2shell, o którym pisaliśmy w lipcu. Według analizy Patchstack nie znalazł go człowiek przeczesujący linijka po linijce interfejs zbiorczy. Searchlight Cyber uruchomił model frontier na rdzeniu WordPressa i miał działający nieuwierzytelniony SQL injection, spięty aż do wykonania kodu, w dziesięć godzin. Koszt: około dwadzieścia pięć dolarów.

7.0.3 — dwanaście luk. XSS2Shell przypisany pwn.ai, firmie oferującej autonomiczny pentest, a osobna luka wstrzyknięcia CSS — bezpośrednio Anthropicowi.

7.0.4 — znów pwn.ai.

Patchstack nazywa to przesunięciem wartym uwagi i trudno się nie zgodzić. Trzy kolejne wydania bezpieczeństwa rdzenia, którym stoi połowa internetu, zgłoszone w większości przez podmioty zajmujące się automatycznym znajdowaniem luk przy pomocy modeli.

Sam pwn.ai opisuje przy tym swój proces w sposób, który warto zacytować, bo pokazuje coś więcej niż skanowanie. Przy wcześniejszym badaniu ImageMagicka zespół pisał, że agent zidentyfikował tę bibliotekę jako główny wektor, a ponieważ w aplikacji nie było nic innego, zrobił rzecz nietypową: pobrał ImageMagicka do własnego środowiska i rozpoczął wielodniowy, systematyczny audyt całego potoku przetwarzania. XSS2Shell odkryto, jak podaje firma, całkowicie autonomicznie.

Dwadzieścia pięć dolarów

Zatrzymajmy się przy tej liczbie, bo jest najważniejsza w całej tej historii.

Dwa tygodnie temu, pisząc o modelu cyber Microsoftu, postawiliśmy tezę, że ograniczeniem tego wyścigu nigdy nie była zdolność, tylko cena skanowania — a producent właśnie zmniejszył ją o połowę. Wtedy była to obserwacja o architekturze routingu. Teraz mamy konkretny cennik: pełny łańcuch od zera do zdalnego wykonania kodu w rdzeniu WordPressa kosztuje mniej niż obiad w mieście.

To wyjaśnia tempo wydań lepiej niż jakakolwiek hipoteza o pogorszeniu jakości kodu. WordPress nie stał się nagle mniej bezpieczny. Stał się tani do przeszukania — i wiele podmiotów robi to naraz, bo koszt spadł poniżej progu, przy którym trzeba się zastanawiać, czy warto.

To jest ta sama obserwacja, którą przy lipcowej zmianie doktryny łatania sformułowało amerykańskie środowisko prognostyczne: eksplozja liczby zgłaszanych podatności nie oznacza, że oprogramowanie się psuje, lecz że strukturalnie zmieniła się nasza zdolność znajdowania błędów. Pisaliśmy o tym, gdy CISA uchyliła własny nakaz łatania wszystkiego. WordPress jest teraz tego najlepiej widoczną ilustracją, bo ma jeden rdzeń, jeden kanał wydań i pół miliarda instalacji.

I warto powiedzieć wprost: to jest dobra wiadomość. XSS2Shell siedział w kodzie od 2016 roku i, jak zauważa sam odkrywca, został jakoś przeoczony przez wszystkie dotychczasowe audyty. Nie powstał w lipcu — tylko w lipcu ktoś go wreszcie zobaczył. Każda z tych czterech poprawek zamyka drogę, która była otwarta wcześniej, tylko nikt o niej nie wiedział.

Dlaczego akurat ImageMagick

Luka z 7.0.4 wpisuje się przy tym w wątek, który pwn.ai prowadzi od wiosny i który sam w sobie jest pouczający.

WordPress używa ImageMagicka — przez rozszerzenie Imagick — jako domyślnego silnika przetwarzania obrazów: do generowania miniatur, zmiany rozmiaru i podglądów plików PDF. Kluczowy szczegół, na który badacze zwracali uwagę już w marcu: WordPress nie ustawia żadnej własnej polityki bezpieczeństwa dla ImageMagicka, polegając w całości na tym, co skonfigurował administrator serwera.

Sam ImageMagick przekazuje zaś złożone pliki dalej, do Ghostscriptu. I tu pojawia się problem, który pwn.ai opisał zwięźle: granice bezpieczeństwa obu komponentów nie uwzględniają siebie nawzajem. Jeden dostarcza możliwość zapisu, drugi pozwala wyjść poza własne ograniczenia.

To jest dokładnie ten sam kształt co przy XSS2Shell, gdzie luka istniała wyłącznie w różnicy między dwoma mechanizmami sanityzującymi, z których każdy z osobna działał poprawnie. Dwa komponenty, każdy prawidłowy, granica między nimi niczyja.

Uczciwie: proporcje

Kilka rzeczy trzeba postawić, żeby nie zrobić z tego alarmu.

Luka z 7.0.4 jest znacznie węższa niż dwie poprzednie. Wymaga konta z uprawnieniami autora, czyli kogoś, kto może wgrywać pliki — a więc nie dotyczy witryn bez zewnętrznych współautorów. Wymaga też, by serwer korzystał z Imagicka i Ghostscriptu. Dla porównania XSS2Shell działał bez żadnego konta, a wp2shell prowadził do przejęcia domyślnej instalacji.

W chwili pisania nie ma publicznie przypisanego numeru CVE ani opublikowanej analizy technicznej tej konkretnej poprawki, a WordPress nie opisuje jej jako wykorzystywanej w atakach. Warto o tym pamiętać przy ocenie pilności — choć rekomendacja producenta jest jednoznaczna i brzmi „aktualizuj natychmiast".

Trzeba też zaznaczyć rzecz, która przy tym tempie wydań ma znaczenie praktyczne: firmy zgłaszające te luki sprzedają narzędzia do ich znajdowania. To nie podważa samych ustaleń — są potwierdzone przez WordPress, załatane i w części opisane numerami CVE — ale tłumaczy, dlaczego akurat teraz i akurat te podmioty dominują na liście podziękowań. Znajdowanie luk w najpopularniejszym oprogramowaniu świata jest dla nich zarazem badaniem i marketingiem.

I przypis, który powtarzamy przy każdym wydaniu WordPressa od lipca: CERT Polska ostrzegał wtedy, że wymuszona automatyczna aktualizacja w licznych przypadkach nie zadziałała. Przy czterech wydaniach w miesiącu to zastrzeżenie waży więcej niż zwykle.

Co z tego wynika dla obrońcy

Rzecz pierwsza jest natychmiastowa: sprawdź faktycznie zainstalowaną wersję, a nie to, czy automatyczne aktualizacje są włączone. Docelowo 7.0.4 lub odpowiednia załatana wersja ze starszej gałęzi.

Rzecz druga wynika z warunków tej konkretnej luki i jest tania. Jeśli twoja witryna ma współautorów z uprawnieniami pozwalającymi wgrywać pliki, przejrzyj tę listę — bo tu właśnie przebiega granica podatności. A jeśli nie potrzebujesz podglądów plików PDF, warto sprawdzić z administratorem serwera, czy polityka ImageMagicka blokuje moduły wywołujące Ghostscript. WordPress tej polityki za ciebie nie ustawi.

Rzecz trzecia jest procesowa i wynika z tempa. Cztery wydania w miesiącu to rytm, którego pół roku temu nie było — a jeśli teza o taniejącym skanowaniu jest trafna, będzie się utrzymywał. Warto to policzyć: ile realnie trwa u ciebie droga od ogłoszenia wydania bezpieczeństwa do potwierdzonej aktualizacji na wszystkich witrynach, łącznie z tymi zapomnianymi i testowymi. Jeśli odpowiedź brzmi „tydzień", to przy tym tempie oznacza, że przez większość miesiąca stoisz na wersji podatnej na coś, co jest już publicznie opisane.

Jedna myśl na koniec

Przez lata liczba wydań bezpieczeństwa była w naszej głowie miarą jakości oprogramowania: częste łatki znaczyły, że coś jest dziurawe. Ta intuicja właśnie przestała działać.

Cztery wydania WordPressa w miesiąc nie mówią nic o tym, jak dobrze napisano ten kod — bo wszystkie cztery luki były w nim wcześniej, część od dekady. Mówią o tym, ile teraz kosztuje ich znalezienie. Dwadzieścia pięć dolarów i dziesięć godzin za pełny łańcuch w rdzeniu najpopularniejszego oprogramowania świata to nie jest informacja o WordPressie. To jest informacja o tym, ile takich łańcuchów czeka w każdym innym projekcie, którego nikt jeszcze nie przeskanował — bo do niedawna było to za drogie, żeby próbować bez konkretnego powodu.

Źródła

WordPress — ogłoszenie wydania 7.0.4 z 12 sierpnia 2026 wraz z podziękowaniem dla zespołu pwn.ai za zgłoszenie uwierzytelnionego wykonania kodu przez wgranie złośliwego pliku na witrynach używających Imagick i Ghostscriptu: https://wordpress.org/news/2026/08/wordpress-7-0-4-release/

Patchstack — analiza wydania 7.0.3 z zestawieniem autorstwa trzech ostatnich wydań, w tym informacją o znalezieniu łańcucha wp2shell przy pomocy modelu frontier w dziesięć godzin za około dwadzieścia pięć dolarów: https://patchstack.com/articles/wordpress-7-0-3-released-12-vulnerabilities-found-and-fixed/

pwn.ai — badanie XSS2Shell z opisem autonomicznego odkrycia oraz stwierdzeniem, że podatność była obecna od najwcześniejszych wersji WordPressa i została przeoczona przez wszystkie dotychczasowe audyty: https://pwn.ai/blog/xss2shell

pwn.ai — wcześniejsze badanie ImageMagicka z opisem sposobu pracy agenta oraz ustaleniem, że WordPress nie ustawia własnej polityki bezpieczeństwa dla tej biblioteki, a granice bezpieczeństwa ImageMagicka i Ghostscriptu nie uwzględniają siebie nawzajem: https://pwn.ai/blog/imagemagick-from-arbitrary-file-read-to-rce-in-every-policy-zeroday

Cztery wydania w trzydzieści dni

Kto zgłosił trzy ostatnie wydania

Dwadzieścia pięć dolarów

Dlaczego akurat ImageMagick

Uczciwie: proporcje

Co z tego wynika dla obrońcy

Jedna myśl na koniec

Źródła

Cztery wydania w trzydzieści dni

Prywatny APN nie był granicą

Blokada była dostawą

Guardrail blokował tylko obrońcę

Dwa sanitizery, jedna spacja

Jeden dostawca, cztery laboratoria

Cztery kanały, zero przeglądów

To nie był plik konfiguracyjny

Model zostanie oszukany

Podpis był ważny

Zatrzymał się ten, którego nie wydano

Cyberflux Radar #4 – lipiec 2026

Lipiec 2026 — miesiąc, w którym okazało się, że nie ma hamulca

Rozpoznanie to nie zatrzymanie

Uciekł z piaskownicy i poszedł szukać klucza odpowiedzi

Nie 95,95%. Ciekawe liczby to 90 i 50

AI nie widzi wyścigów w jądrze. Chyba że ktoś jej pokaże, gdzie patrzeć

ServiceNow zabezpieczył własną chmurę w dobę. Klienci z instalacjami u siebie czekali trzy i pół miesiąca — a instrukcja obsługi ataku ukazała się w dniu, w którym dostali łatkę.

CISA właśnie uchyliła własny nakaz łatania wszystkiego. Nie dlatego, że się poddała — dlatego, że liczba luk przestała cokolwiek mówić o ryzyku.

Pół miliarda stron dostało w rdzeniu wbudowaną bramę do OpenAI, Anthropic i Google. Dwa miesiące później w tym samym rdzeniu znaleziono dziurę, która nie wymaga logowania.

AI nauczyło się pisać kod odporny na ataki, których baliśmy się najbardziej. Wciąż nie umie odpowiedzieć na pytanie, czy ten użytkownik ma prawo do tych danych.

Dwanaście z czternastu zachowań tego robaka wygląda jak zwykła praca programisty. Bo wykonuje je twój asystent AI.

W 2025 załatali brak uwierzytelnienia na tym endpoincie. Dziś ten sam endpoint wykonuje kod jako root — przez inny parametr, którego nikt nie sprawdził.

Nikt nie kazał modelowi włamywać się do Hugging Face. Kazano mu rozwiązać test — a najkrótsza droga do odpowiedzi prowadziła przez cudzą produkcyjną bazę danych.

Atakujący nie musi włamywać się do AI. Wystarczy, że wie, jaką nazwę model regularnie zmyśla — i zarejestruje ją, zanim zrobi to agent.

Nie złamali zabezpieczeń agenta. Przekonali go, że gra w grę, w której 2+2=5 — a wtedy sam przestał ich pilnować.

Prompt nie chronił. Sandbox pękał. Teraz upadła ostatnia bariera — bo okno, w którym zatwierdzasz działanie agenta, pokazuje co innego, niż agent naprawdę robi.

Wczoraj agent AI wszedł przez Langflow i wyczyścił skarbiec. Dziś ta sama platforma dostaje trzecią lukę tej samej klasy — bo Langflow wykonuje cudzy kod nie przez błąd, lecz przez projekt.

Przez tydzień pisaliśmy o atakach napędzanych przez AI. Nowy raport dokłada liczbę, którą trzeba postawić obok: 84% realnych włamań używa legalnych narzędzi, które już masz w sieci — a boi się ich jeden na pięciu

Pierwszy ransomware w całości poprowadzony przez agenta AI nie okazał się skuteczniejszym wymuszeniem. Okazał się przypadkowym niszczycielem — bo agent zgubił własny klucz i nawet o tym nie wiedział.

AI znalazło jeden błąd w tej samej łatce jądra. Drugi, bliźniaczy, przeoczyło — i po raz pierwszy wiemy dokładnie, gdzie jest jego ślepe pole.

Sandbox miał być twardą barierą, której prompt nie przekroczy. DuneSlide pokazuje, że agent potrafi nadpisać własne więzienie — bo klucz do niego leży w środku.

DeepSeek nie znalazł luki. Wymyślił sposób ataku, którego obrońcy nie brali pod uwagę — składając go z funkcji, która w przeglądarce jest legalna.

Cyberflux Radar #3 – czerwiec 2026

Czerwiec 2026 — miesiąc, w którym zdolność pokazała, że nie da się zamknąć

Klue zapłacił okup. Dane i tak wyciekły — do drugiej grupy, która ukradła je pierwszej. A połowa ofiar to firmy, które zawodowo chronią innych przed dokładnie tym

Nie złamali szyfrowania Signala. Przekonali użytkownika, żeby sam oddał klucz — a ten klucz działa nawet po tym, jak założysz nowe konto na tym samym numerze.

Austria chce ściągnąć Anthropic do Europy. To brzmi jak polityka przemysłowa — naprawdę jest próbą przeniesienia „kill switcha” pod jurysdykcję, której amerykański nakaz nie dosięga.

USA zablokowało Mythos, żeby zdolność nie wyciekła. Trzy tygodnie później Azja pokazała trzy sposoby, że już wyciekła – orkiestracją, open-weight za 1/6 ceny i prawem, które każe zgłaszać zero-daye do Pekinu.

Malware, który nie ukrywa się przed piaskownicą. Ukrywa się przed analitykiem AI – wmawiając mu, że to jego własna sesja się sypie

Skill przeszedł skanery Cisco i NVIDIA. Trafił do 26 000 agentów. Potem badacze podmienili stronę, na którą wskazywał — i wszystkie agenty zaczęły wykonywać kod atakującego.

Skaner widzi poprawny YAML. Atakujący widzi czterokrokową drogę do trwałych poświadczeń chmury. Cordyceps to luka, która istnieje tylko w kompozycji — i AI rozsiewa ją wykładniczo.

Pięć agencji wywiadowczych właśnie powiedziało to, co opisujemy od kwietnia: „miesiące, nie lata”. Ale najważniejsze jest jedno zdanie, którego nie powiedziały.

Błąd parsera FTP z 1997 roku. Znalazł go Claude Mythos Preview w niemal sekundę — ten sam program Glasswing, którego trajektorię śledzimy od kwietnia.

Zapomniane poświadczenie do porzuconego prototypu. Icarus wszedł przez nie do Klue, ukradł klucze OAuth i opróżnił CRM-y firm, które chronią innych.

„Kalibruj według dzisiejszej rzeczywistości, nie jutrzejszego potencjału.” Brytyjska agencja cyberbezpieczeństwa nazwała drugą stronę medalu, który opisujemy od miesięcy

usbliter8: pierwszy od checkm8 niezałatywalny exploit BootROM Apple. Dlaczego to bardziej prezent dla badaczy niż powód do niepokoju

Kim są Gentlemen — i dlaczego gang, który zaczął pół roku temu, w pierwszym kwartale 2026 był już w pierwszej piątce

Osiem wariantów, każdy podszywa się pod inny program antywirusowy. GentleKiller zabija EDR jego własnym sterownikiem — i robi to z publicznego PoC w kilka dni.

Agent przeglądający stronę ma tożsamość localhost. AutoJack pokazuje, że to wystarczy, by jedna strona uruchomiła kod na maszynie dewelopera.

Pickle in the Middle: atakujący podmienił model w 1,4 sekundy. Vertex AI czytał go po 2,5. Cała różnica między bezpieczeństwem a przejęciem zmieściła się w tej sekundzie.

FortiBleed: w nazwie jest „bleed”, ale nie ma żadnego exploita. 86 tysięcy firewalli przejętych hasłami, których nikt nie zmienił po poprzednich włamaniach.

Plugin działał dokładnie tak, jak obiecywał. Kradł tylko jedną rzecz: twój klucz do AI. A potem sprzedawał go komuś innemu.

Backdoor, który nie otwiera portu, tylko czeka na sekretny pakiet. SprySOCKS przeszedł z Linuksa na Windows i nauczył się ukrywać w jądrze.

Atakujący wziął lukę załataną tydzień temu i napisał exploit z pomocą AI. Działa wadliwie — i to jest najważniejsza informacja w całej historii.

„Dłużej niż kilka dni”. Cztery dni po tym, jak rząd wyłączył Fable 5, Anthropic tłumaczy Białemu Domowi swoje zabezpieczenia — a Europa pyta, czemu ją wyłączono bez ostrzeżenia.

„Zbyt niebezpieczny, by go wydać” trafił do wszystkich 9 czerwca. 12 czerwca o 17:21 rząd USA kazał go wyłączyć. Co spór o Fable 5 mówi o tym, gdzie naprawdę leży granica.

Authorized Intent Chain: atak, w którym każdy krok jest legalny. Agentjacking porywa twojego agenta AI, a EDR, WAF i firewall nie widzą nic, bo nie ma czego widzieć.

npm wyłącza to, co napędzało każdy atak na łańcuch dostaw, który opisywaliśmy. Cena: części buildów przestanie działać – i to jest zamierzone.

RCE bez logowania w systemie, który trzyma kadry, płace i akta studentów. ShinyHunters włamali się na 300 instancji, zanim Oracle w ogóle wydało komunikat.

Microsoft łata dwie jego luki w Defenderze. Tego samego popołudnia on wypuszcza siódmą. Saga Chaotic Eclipse zatoczyła koło — i działa na w pełni załatanym Windows

27 dni z eksploatowanym Exchange bez trwałej łatki. Dziś Microsoft ją wydał — a sam atak jest tym samym wzorcem, który opisujemy od tygodni.

„Zbyt niebezpieczny, by go wydać” właśnie trafił do twojej aplikacji mobilnej. Co Claude Fable 5 mówi o tym, że okno się zamknęło dokładnie tak, jak zapowiadaliśmy.

429 łatek w jednym wydaniu Chrome. Rekord, którego nikt nie chciał — i dowód, że znajdowanie błędów właśnie przestało być wąskim gardłem.

Branża właśnie nazwała to, co opisywaliśmy incydent po incydencie. OWASP: bezpieczeństwo i „safety” agentów AI to już jedno i to samo.

Oxford nie został zhakowany. Dwa razy. Co drugi breach uczelni w miesiąc mówi o tym, że celem nie jest uczelnia, tylko jej dostawca.

Twój telewizor scrapuje sieć dla AI. Z twojego IP, na twoim łączu — i robi to przez protokół słabszy niż malware

Dwa commity go zasadziły. Dwa lata go ukrywały. Code review nigdy go nie znalazł — znalazło AI.

Powiadomienie, którego nie przeczytałeś, mówi Gemini co ma zrobić. „Tak” wypowiedziane przy kierownicy otwiera okna w domu.

Jeden issue, żeby przejąć repozytorium. I jeszcze jeden, żeby zatruć akcję, której używają wszyscy inni.

Zakodowane na stałe hasło do serwera aktualizacji polskiego systemu medycznego. Ten sam wzorzec, który dziś opisywaliśmy trzy razy w skali świata.

RCE w platformie AI to nie koniec ataku. To klucz do skarbca, który trzyma hasła do tuzina innych usług.