Aktualizacja strony www to dziś najskuteczniejsza ochrona przed włamaniem. W 2025 roku w ekosystemie WordPressa wykryto 11 334 nowe luki, najczęściej atakowane podatności boty wykorzystują średnio po 5 godzinach, a Joomla 5 od 13 października 2026 r. dostaje już tylko poprawki bezpieczeństwa.

Ile ruchu na stronach generują dziś boty?

Według raportu Imperva Bad Bot Report 2025 w 2024 roku boty wygenerowały 51% całego ruchu w internecie. To pierwszy raz od dekady, gdy automaty przewyższyły ludzi.

Złośliwe boty odpowiadały za 37% ruchu, wobec 32% rok wcześniej. To szósty z rzędu rok wzrostu. Raport wiąże ten skok z rozwojem AI, która ułatwia tworzenie i skalowanie botów.

Do tego dochodzą crawlery modeli AI pobierające treści ze stron. Tego ruchu nie widać w Google Analytics, ale obciąża serwer i zużywa zasoby hostingu.

Jak szybko boty wykorzystują nowe luki?

Bardzo szybko. Z analizy Patchstack wynika, że około połowa groźnych podatności zostaje zaatakowana w ciągu 24 godzin od publikacji. W przypadku najintensywniej atakowanych luk mediana to zaledwie 5 godzin.

W praktyce oznacza to, że aktualizacja „przy okazji, za miesiąc” to za późno. Przez cały ten czas strona jest otwarta dla automatów, które sprawdzają tysiące witryn na godzinę.

Co mówią dane o lukach w WordPressie?

Źródło: Patchstack, State of WordPress Security in 2026.

Wniosek jest prosty: problemem nie jest sam WordPress, tylko wtyczki i motywy. Każdy dodatek na stronie to potencjalna furtka.

Dlaczego stare wersje wtyczek są najgroźniejsze?

Bo boty wciąż ich szukają. Wśród 10 najczęściej atakowanych luk w WordPressie w 2025 roku tylko 4 zostały odkryte w tym samym roku. Pozostałe to podatności z lat 2023–2024, dawno załatane przez producentów.

Atakujący liczą na strony, których nikt nie aktualizuje. Jeśli Twoja strona ma wtyczkę w wersji sprzed 2 lat, jesteś dokładnie w grupie docelowej.

Co mówią dane o bezpieczeństwie Joomli?

Joomla ma mniejszy udział w rynku niż WordPress, ale nie jest przez to bezpieczniejsza. Boty skanują ją tak samo, a luki w starych wersjach są atakowane latami. Kluczowe jest to, czy Twoja wersja nadal dostaje poprawki.

Źródło: Joomla! Project Roadmap.

Jeśli Twoja strona działa na Joomli 3 lub 4, każda nowa luka w tej wersji zostanie z nią na zawsze. Jeśli na Joomli 5, masz rok na migrację do Joomli 6.

Jak długo atakowane są stare luki w Joomli?

Bardzo długo. Dobrym przykładem jest luka CVE-2023-23752 w Joomli 4.0.0–4.2.7. Pozwalała bez logowania odczytać konfigurację strony, w tym dane dostępowe do bazy danych.

Poprawkę (Joomla 4.2.8) wydano 16 lutego 2023 r. Mimo to ataki trwały od marca 2023 r., a 8 stycznia 2024 r. amerykańska agencja CISA wpisała lukę na listę aktywnie wykorzystywanych podatności. Prawie rok po wydaniu poprawki wciąż istniały strony, których nikt nie zaktualizował.

Jak często Joomla wydaje poprawki bezpieczeństwa?

Regularnie. Od stycznia do września 2026 r. ukazało się 6 wydań bezpieczeństwa Joomli 5.4 i 6.x: w styczniu, marcu, maju, lipcu, sierpniu i wrześniu. To średnio jedno wydanie co półtora do dwóch miesięcy.

Każde takie wydanie oznacza, że publicznie znana jest nowa luka. Od tego momentu strona bez aktualizacji jest łatwym celem.

Czy dobry hosting ochroni stronę przed włamaniem?

Tylko częściowo. W testach penetracyjnych Patchstack standardowe zabezpieczenia hostingów (firewalle, WAF, Cloudflare) zatrzymały tylko 26% ataków na luki. W przypadku podatności specyficznych dla WordPressa było to zaledwie 12%.

Hosting chroni serwer. Za to, co działa wewnątrz strony, odpowiada jej właściciel. Żaden firewall nie zastąpi aktualizacji dziurawej wtyczki czy rozszerzenia.

Jak wygląda zainfekowana strona w 2026 roku?

Często wygląda zupełnie normalnie. Współczesne złośliwe oprogramowanie pokazuje różne treści różnym odwiedzającym. Google widzi spam i ukryte linki, klienci są przekierowywani na strony phishingowe, a właściciel widzi czystą stronę.

Infekcję zwykle zauważa się dopiero, gdy strona spada w wynikach Google, trafia na czarne listy lub dzwonią klienci. Niektóre rodzaje malware działają w pamięci serwera i ponownie infekują pliki index.php i .htaccess zaraz po ich wyczyszczeniu.

Skutki włamania to przede wszystkim:

1. Wyciek danych – z formularzy, kont użytkowników i bazy danych.
2. Czarne listy – przeglądarki i antywirusy ostrzegają przed Twoją stroną.
3. Spadki w Google – przez ukryty spam SEO wstrzyknięty w kod.
4. Przeciążenie hostingu – złośliwe skrypty zużywają zasoby serwera.
5. Atakowanie innych – Twoja domena rozsyła spam lub hostuje phishing.

Kiedy ataków jest najwięcej?

Pod koniec roku. Dane z 2025 roku pokazują, że w listopadzie i grudniu liczba wgrywanych złośliwych plików wzrosła niemal trzykrotnie. Atakujący wykorzystują okres świąteczny, gdy ruch na stronach jest duży, a administratorzy pracują mniej.

Jeśli Twoja strona nie była aktualizowana od miesięcy, teraz jest najlepszy moment, żeby to zmienić.

Jak wygląda sytuacja w Polsce?

Według raportu rocznego CERT Polska za 2025 rok zespół otrzymał 658 320 zgłoszeń i zarejestrował 260 783 incydenty bezpieczeństwa. To wzrost liczby incydentów o 152% rok do roku.

CERT Polska udostępnia też bezpłatny serwis moje.cert.pl do monitorowania bezpieczeństwa stron internetowych. Warto z niego skorzystać.

Jak aktualizować stronę na WordPressie?

Rdzeń WordPressa domyślnie instaluje automatycznie drobne poprawki bezpieczeństwa. Wtyczki i motywy, czyli źródło 91% luk i wszystkich poważnych podatności w 2025 roku, trzeba jednak pilnować samodzielnie.

• sprawdzaj aktualizacje co najmniej raz w tygodniu,
• usuwaj nieużywane wtyczki i motywy, a nie tylko je wyłączaj,
• unikaj wtyczek, które nie były aktualizowane od ponad roku,
• nie instaluj „darmowych” wersji płatnych dodatków z nieoficjalnych źródeł,
• przed dużą aktualizacją wykonaj kopię zapasową plików i bazy danych.

Jak aktualizować stronę na Joomli?

• rdzeń aktualizuj przez wbudowany komponent aktualizacji, który przed instalacją sprawdza zgodność rozszerzeń,
• od Joomli 5.4 możesz włączyć automatyczne aktualizacje rdzenia,
• rozszerzenia aktualizuj osobno, bo to one najczęściej są furtką dla atakujących, szczególnie page buildery i szablony komercyjne,
• sprawdzaj oficjalną listę podatnych rozszerzeń (VEL),
• przed każdą aktualizacją wykonaj kopię zapasową, np. Akeeba Backup.

Migracja z Joomli 3 do Joomli 6 to nie jest jedno kliknięcie. Zwykle wymaga wymiany szablonu i części rozszerzeń, które nie są już rozwijane. Dlatego warto ją zaplanować, zanim wsparcie Twojej wersji się skończy.

Jak często aktualizować stronę www?

Czy Twoja strona jest bezpieczna? Sprawdź 6 punktów

1. Czy WordPress lub Joomla działa w aktualnej, wspieranej wersji?
2. Czy wszystkie wtyczki, rozszerzenia i szablon są zaktualizowane?
3. Czy na serwerze nie zostały stare kopie strony, instalacje testowe lub nieużywane dodatki?
4. Czy wszystkie konta administratorów są potrzebne i chronione logowaniem dwuskładnikowym (2FA)?
5. Czy korzystasz tylko z oprogramowania z oficjalnych źródeł?
6. Czy masz aktualną kopię zapasową przechowywaną poza serwerem?

Kto zajmie się aktualizacją Twojej strony?

W Mizzo od 16 lat zajmujemy się administracją stron na Joomli i WordPressie. Aktualizujemy CMS i rozszerzenia, przeprowadzamy migracje ze starych wersji (np. z Joomli 3 lub 5 do Joomli 6) i usuwamy skutki infekcji, łącznie z ukrytym spamem SEO.

Nie wiesz, w jakim stanie jest Twoja strona? Skontaktuj się z nami. Sprawdzimy ją, zanim zrobią to boty.