Nazwa wtyczki	CMP – Wkrótce dostępne i konserwacja
Rodzaj podatności	Dowolne przesyłanie plików
Numer CVE	CVE-2026-6518
Pilność	Niski
Data publikacji CVE	2026-04-19
Adres URL źródła	CVE-2026-6518

Pilna informacja o bezpieczeństwie: Dowolne przesyłanie plików (CVE-2026-6518) w wtyczce CMP – Wkrótce dostępne i konserwacja (≤ 4.1.16) — Co właściciele stron WordPress muszą teraz zrobić

Autor: Zespół ds. bezpieczeństwa WP-Firewall

Uwaga: Ta informacja została napisana przez badaczy i inżynierów bezpieczeństwa WP-Firewall, aby pomóc właścicielom stron WordPress zrozumieć, wykrywać, łagodzić i odzyskiwać się z podatności na dowolne przesyłanie plików, która dotyczy wersji wtyczki CMP – Wkrótce dostępne i konserwacja (≤ 4.1.16). Jeśli Twoja strona korzysta z tej wtyczki, przeczytaj poniższe działania i natychmiast je wdroż.

Streszczenie

Zgłoszono krytyczny problem bezpieczeństwa dla wtyczki WordPress “CMP – Wkrótce dostępne i konserwacja” dotyczący wersji do 4.1.16 włącznie. Podatność (śledzona jako CVE-2026-6518) pozwala uwierzytelnionemu użytkownikowi z uprawnieniami na poziomie administratora na przesyłanie dowolnych plików za pośrednictwem niebezpiecznego punktu końcowego, który nie ma odpowiedniej autoryzacji i walidacji danych wejściowych. Ponieważ dowolne przesyłanie plików może być wykorzystane do umieszczania powłok PHP lub innych plików wykonywalnych na serwerze, ta podatność może prowadzić do pełnego zdalnego wykonania kodu (RCE) i kompromitacji strony.

Chociaż dostęp do punktu wymaga konta administratora, rzeczywiste ryzyko jest znaczne — konta administratorów są kompromitowane za pomocą phishingu, ponownego użycia danych uwierzytelniających, słabych haseł lub innych wad wtyczek. Zautomatyzowane skrypty exploit mogą szybko wykorzystać ten problem na wielu stronach. Autor wtyczki wydał wersję 4.1.17, która zawiera poprawkę. Jeśli nie możesz zaktualizować natychmiast, postępuj zgodnie z poniższymi krokami łagodzenia.

• Wynik CVSS (zgłoszony): 7.2 (Wysoki)
• CVE: CVE-2026-6518
• Dotknięta wtyczka: CMP – Wkrótce dostępne i konserwacja — wersje ≤ 4.1.16
• Poprawione w: 4.1.17

---

Dlaczego to jest niebezpieczne (prosty język)

Na pierwszy rzut oka przesyłanie plików wydaje się nieszkodliwe — administratorzy przesyłają obrazy, PDF-y i inne media przez cały czas. Ale gdy wtyczka udostępnia punkt końcowy, który akceptuje przesyłanie plików bez odpowiedniej walidacji typu pliku, nazwy, ścieżki lub zapewnienia, że przesyłający ma odpowiednie kontrole uprawnień i ważny nonce, atakujący może dostarczyć złośliwy plik (na przykład powłokę PHP). Jeśli ten plik jest przechowywany w miejscu, gdzie serwer WWW wykonuje PHP, atakujący może zdalnie uruchomić dowolny kod PHP, eskalować dostęp i utrzymać trwałość. To jedna z najczęstszych dróg do pełnej kompromitacji.

Kluczowe wektory ataku:

• Przesyłanie powłoki PHP do katalogu przesyłania lub innego zapisywalnego katalogu.
• Zastępowanie/tworzenie plików PHP rdzenia wtyczki lub motywu w celu uzyskania trwałego wykonania kodu.
• Przechwytywanie danych uwierzytelniających bazy danych, tworzenie nowych użytkowników administratora, wykradanie danych lub uruchamianie dalszych ataków z Twojej strony.

Nawet gdy exploit wymaga uprawnień administratora, atakujący czasami może eskalować do administratora za pomocą innych podatności, inżynierii społecznej lub kradzieży danych uwierzytelniających. Dlatego traktuj ten problem jako pilny.

---

Podsumowanie techniczne luki w zabezpieczeniach

• Typ podatności: Dowolne przesyłanie plików (brak autoryzacji / brak kontroli uprawnień).
• Przyczyna główna: Punkt końcowy wtyczki obsługujący przesyłanie nie zweryfikował odpowiedniej autoryzacji ani nie zwalidował/oczyścił poprawnie zawartości i nazw przesyłanych plików. Nonce, kontrole uprawnień i ograniczenia MIME/typów plików były niewystarczające lub nieobecne.
• Uderzenie: Uwierzytelniony atakujący (wymagany dostęp na poziomie administratora) może przesyłać pliki wykonywalne (na przykład .php), które mogą być wywoływane w celu osiągnięcia zdalnego wykonania kodu.
• Możliwość wykorzystania: Wysokie w scenariuszach, w których poświadczenia administratora zostały skompromitowane; średnie w innych sytuacjach, w których sąsiednia luka pozwala na eskalację uprawnień.
• Skrawek: Zaktualizuj wtyczkę do wersji 4.1.17 lub nowszej (zawiera poprawkę, która weryfikuje autoryzację i obsługę plików).

---

Kto jest w bezpośrednim niebezpieczeństwie?

• Strony korzystające z wtyczki CMP – Coming Soon & Maintenance w wersji 4.1.16 lub starszej.
• Strony, na których konta administratorów mogą być współdzielone, słabe lub skompromitowane.
• Środowiska, które pozwalają na wykonanie przesłanych plików PHP (domyślnie WordPress przesyłanie jest często zapisywalny i może wykonywać PHP w zależności od konfiguracji serwera).
• Środowiska hostingowe bez dodatkowych zabezpieczeń WAF na perymetrze lub wzmocnienia wykonania plików.

---

Natychmiastowe działania (co należy zrobić teraz)

1. Zaktualizuj wtyczkę do 4.1.17 lub nowszej
   • To jest jedyna prawdziwa poprawka. Zaloguj się do panelu administracyjnego WordPress i natychmiast zaktualizuj wtyczkę.
   • Jeśli zarządzasz wieloma stronami, wdrażaj aktualizacje centralnie lub za pomocą narzędzi do zarządzania.
2. Jeśli nie możesz zaktualizować natychmiast — zastosuj tymczasowe działania łagodzące:
   • Dezaktywuj wtyczkę CMP, aż będziesz mógł ją zaktualizować.
   • Ogranicz dostęp do wp-admin do znanych adresów IP (jeśli to możliwe) za pomocą kontroli na poziomie hosta lub serwera.
   • Ogranicz dostęp administratorów: tymczasowo usuń nieistotne konta administratorów i przeprowadź audyt istniejących.
   • Wymuś resetowanie haseł i włącz uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich administratorów.
   • Dodaj zasady serwera, aby zapobiec wykonaniu plików PHP w katalogu uploads (przykłady poniżej).
3. Skanuj w poszukiwaniu zagrożeń
   • Przeprowadź pełne skanowanie złośliwego oprogramowania (skanowanie na poziomie plików i oparte na sygnaturach).
   • Sprawdź ostatnie przesyłane pliki pod kątem nieznanych plików (szczególnie Plik .php, Plik .html, .php5, .php7, .phar).
   • Sprawdź nowych użytkowników, zmodyfikowane pliki rdzenia/wtyczek, niespodziewane zaplanowane zadania (wp-cron entries) oraz wychodzące połączenia sieciowe do nietypowych miejsc docelowych.
4. Rotuj klucze i poświadczenia
   • Zmień hasła administratorów i wszelkie klucze API, które mogą być narażone.
   • Zmień dane logowania do bazy danych i zaktualizuj wp-config.php wartości, jeśli podejrzewa się kompromis.
   • Cofnij wszelkie tokeny OAuth lub integracje zewnętrzne, które mogą być dotknięte.
5. Monitoruj dzienniki
   • Przejrzyj logi serwera WWW i PHP w poszukiwaniu podejrzanych żądań POST do punktów końcowych wtyczek, szczególnie przesyłek multipart/form-data.
   • Szukaj żądań z nietypowymi agentami użytkownika lub z podejrzanych adresów IP, które podejmują powtarzające się próby przesyłania.

---

Przykład wzmocnienia serwera (zapobieganie wykonaniu przesłanego PHP)

Dodaj do katalogu przesyłania (Apache .htaccess):

# Wyłącz wykonanie skryptów w katalogu przesyłania

Dla Nginx:

location ~* /wp-content/uploads/.*\.(php|php5|php7|phtml)$ {

Uwaga: Jeśli Twój dostawca hostingu używa PHP-FPM z fastcgi handlerami, upewnij się, że katalogi przesyłania nie są kierowane do handlera PHP. Skonsultuj się z pomocą techniczną swojego hostingu, jeśli nie jesteś pewien.

---

Wykrywanie: Wskaźniki kompromisu (IoCs)

Natychmiast poszukaj tych wskaźników:

• Nieoczekiwane pliki PHP w wp-content/uploads/ katalogu:

  find wp-content/uploads -type f -iname "*.php" -ls

• Pliki z podejrzanymi nazwami (losowe ciągi lub nazwy takie jak wp-cache.php, images.php, upload.php, mu-plugins/*.php).
• Zmodyfikowane pliki wtyczek lub motywów z niedawnymi znacznikami czasu:

  stat lub ls -l --time=ctime

• Nieznani użytkownicy administratora utworzeni w ciągu ostatnich kilku dni.
• Wpisy w bazie danych WordPressa odnoszące się do nieznanych zadań cron lub opcji, które zostały niedawno zmienione.
• Ruch sieciowy wychodzący z witryny do nieznanych domen (sprawdź zaporę ogniową lub dzienniki wychodzące hostingu).
• Niespodziewane zaplanowane zadania, które działają jako administrator:

  wp cron event list --path=/path/to/site

• Dzienniki serwera WWW pokazujące żądania POST do specyficznych punktów końcowych wtyczek, szczególnie punktów końcowych kończących się /upload lub podobnych, lub żądania z ładunkami multipart/form-data do punktów końcowych AJAX wtyczek.

Szukaj powszechnych wzorców webshell:

• eval(base64_decode(
• preg_replace('/.*/e'
• system($_GET['cmd'] Lub passthru($_REQUEST['cmd']
• Podejrzane użycie assert() Lub create_function() w plikach niebędących częścią rdzenia.

---

Szczegółowa lista kontrolna reakcji na incydent

Krok po kroku działania, jeśli podejrzewasz wykorzystanie:

1. Izolować
   • Jeśli podejrzewasz aktywne wykorzystanie, rozważ wyłączenie witryny (tryb konserwacji) lub zablokowanie ruchu zewnętrznego podczas badania.
   • Poinformuj swojego dostawcę hostingu — mogą pomóc w izolacji lub zrobieniu migawki środowiska.
2. Zachowaj dowody
   • Utwórz migawki systemu plików i bazy danych do celów kryminalistycznych.
   • Zapisz dzienniki serwera WWW, dzienniki PHP-FPM i dzienniki dostępu.
   • Zapisz znaczniki czasu dla podejrzanej aktywności.
3. Skanuj i usuń
   • Użyj aktualnego skanera złośliwego oprogramowania, aby zidentyfikować podejrzane pliki.
   • Ręcznie sprawdź i usuń wszelkie potwierdzone web shelle lub backdoory.
   • Bądź ostrożny: napastnicy często umieszczają wiele backdoorów o różnych nazwach i lokalizacjach.
4. Czyszczenie
   • Zastąp zmienione pliki rdzenia, wtyczek i motywów świeżymi kopiami z oficjalnych źródeł.
   • Jeśli strona została skompromitowana, rozważ ponowną instalację rdzenia WordPress, motywów i wtyczek po weryfikacji integralności.
5. Poświadczenia
   • Wymuś reset haseł dla wszystkich użytkowników, szczególnie kont administratorów.
   • Unieważnij sesje (np. wp zniszcz-sesję lub zmień sole w wp-config.php).
   • Rotuj klucze API i poświadczenia bazy danych, jeśli mogły zostać uzyskane.
6. Ponowna audyt
   • Po oczyszczeniu, ponownie dokładnie przeskanuj.
   • Uważnie monitoruj logi pod kątem powtórzeń.
7. Wzmocnienie po incydencie.
   • Zastosuj zasadę najmniejszych uprawnień — ogranicz liczbę administratorów.
   • Wymuszaj 2FA dla wszystkich kont administracyjnych.
   • Regularnie audytuj konta i zainstalowane wtyczki.
   • Włącz automatyczne aktualizacje wtyczek tam, gdzie to rozsądne, testując najpierw na środowisku testowym dla krytycznych stron.

---

Jak WAF i wirtualne łatanie pomagają (co zalecamy)

Nowoczesne zapory aplikacji internetowych zapewniają zarówno zapobieganie, jak i wirtualne łatanie. Gdy ujawniona zostanie znana luka w wtyczce, WAF może:

• Dodać ukierunkowaną regułę, aby zablokować żądania, które pasują do sygnatury exploita (np. określony wzór URI, parametry lub ładunki używane przez skrypty exploita).
• Zablokować próby przesyłania, które zawierają wykonawczy zawartość lub podejrzane metadane plików.
• Ogranicz liczbę i blokuj powtarzające się nieudane próby dostępu do punktów końcowych administratora.
• Zapobiegaj wykorzystaniu, nawet jeśli podatny plugin pozostaje niezałatany przez krótki czas.

W WP-Firewall stosujemy podejście warstwowe:

• Reguły oparte na sygnaturach dla znanych wzorców exploitów.
• Reguły behawioralne do wykrywania anomalii (nietypowe przesyłania plików, zmiany w aktywności administratora, nagły duży ruch POST).
• Monitorowanie integralności plików i skaner złośliwego oprogramowania w celu odkrycia podejrzanych plików, które mogły zostać przesłane.
• Wirtualne łatanie w celu ochrony podatnych punktów końcowych, aż do wdrożenia poprawki pluginu.

Uwaga: Wirtualne łatanie nie jest substytutem zastosowania poprawki dostawcy — daje czas na bezpieczną aktualizację i zmniejsza natychmiastowe ryzyko.

---

Przykłady pomysłów na zasady WAF (koncepcyjne)

Poniżej znajdują się koncepcyjne reguły, które WAF mógłby egzekwować w celu złagodzenia ataków na przesyłanie plików, podczas gdy poprawka pluginu jest w toku. Muszą być starannie testowane w produkcji, aby uniknąć fałszywych pozytywów.

1. Blokuj przesyłania, które próbują dodać rozszerzenia PHP lub inne wykonywalne:

   • Warunek: multipart/form-data POST do punktu końcowego przesyłania pluginu I nazwa pliku kończąca się na Plik .php, Plik .html, .php5, .pl, .py, .exe.
   • Działanie: Blokuj i rejestruj.

2. Blokuj zawartość przesyłania, która zawiera otwierające tagi PHP:

   • Warunek: Ciało żądania zawiera <?php Lub <?=.
   • Działanie: Blokuj i rejestruj.

3. Blokuj żądania, które nie mają ważnego nagłówka nonce lub ciasteczka (jeśli plugin normalnie wysyła nonce):

   • Warunek: AJAX POST do konkretnego adresu URL pluginu bez ważnego nonce WordPress.
   • Akcja: Zablokuj lub wyzwij.

4. Ogranicz liczbę żądań do punktów końcowych administracyjnych:

   • Warunek: Więcej niż X żądań POST na minutę do wp-admin lub punktów końcowych pluginu z tego samego adresu IP.
   • Działanie: Ogranicz lub zablokuj.

Te reguły powinny być stosowane w kontekście obrony w głębokości i dostosowane do każdej witryny.

---

Praktyczna lista kontrolna wzmocnienia dla administratorów WordPress.

• Natychmiast zaktualizuj podatny plugin do najnowszej wersji (4.1.17+).
• Ogranicz administratorów:
  • Audytuj konta administratorów; usuń lub zdegradować użytkowników, którzy nie potrzebują praw administratora.
  • Używaj unikalnych adresów e-mail dla kont administratorów.
• Wymuszaj silne hasła i włącz uwierzytelnianie wieloskładnikowe dla wszystkich kont administratorów.
• Wyłącz edytowanie plików przez wp-admin, ustawiając define( 'DISALLOW_FILE_EDIT', true ); W wp-config.php.
• Używaj kont hostingowych z minimalnymi uprawnieniami (oddzielni użytkownicy FTP/SFTP, tylko SFTP).
• Wyłącz niepotrzebne funkcje PHP (np. exec, shell_exec) na poziomie serwera, gdzie to możliwe.
• Udostępniaj stronę przez HTTPS i wymuszaj HSTS.
• Regularne kopie zapasowe i przetestowane procedury przywracania — przechowuj co najmniej dwie ostatnie kopie zapasowe w bezpiecznym miejscu.
• Wprowadź zapobieganie wykonywaniu plików dla folderu przesyłania (jak pokazano powyżej).
• Monitoruj aktywność administratorów i próby logowania (pluginy lub logi serwera).
• Utrzymuj aktualne rdzenie WordPressa, motywy i wszystkie pluginy oraz usuń nieużywane pluginy/motywy.

---

Odzyskiwanie po potwierdzonej kompromitacji: krok po kroku

1. Przywróć z znanej dobrej kopii zapasowej utworzonej przed kompromitacją, jeśli dostępna i zweryfikowana.
2. Zastosuj aktualizację pluginu i środki wzmacniające serwer.
3. Zmień wszystkie dane uwierzytelniające (użytkownicy WP, baza danych, FTP/SFTP, panel sterowania).
4. Ponownie przeskanuj przywróconą stronę w poszukiwaniu ukrytych tylnych drzwi.
5. Umieść stronę pod zwiększonym nadzorem przez co najmniej 30 dni.
6. Przeprowadź analizę przyczyn źródłowych — jak napastnik uzyskał możliwość przesyłania? Czy użyli skradzionych danych administratora, podatności niezwiązanego pluginu, czy inżynierii społecznej?
7. Udokumentuj incydent i dodaj wszelkie nowe środki zaradcze do swojego podręcznika operacyjnego.

---

Dla deweloperów: najlepsze praktyki dotyczące bezpiecznego przesyłania plików

• Zawsze używaj sprawdzeń uprawnień (bieżący_użytkownik_może) i weryfikuj nonces dla wszelkich punktów końcowych, które modyfikują dane lub akceptują pliki.
• Ogranicz przesyłanie do bezpiecznych typów plików i sprawdzaj zarówno typy MIME, jak i rozszerzenia plików.
• Oczyść nazwy plików i unikaj polegania wyłącznie na sprawdzaniu rozszerzeń.
• Przechowuj przesyłane pliki poza katalogiem głównym serwera lub upewnij się, że nie mogą być wykonywane przez serwer.
• Ogranicz rozmiar przesyłanych plików i waliduj długość zawartości oraz rzeczywisty rozmiar ładunku.
• Używaj losowych, nieoczywistych nazw plików i przechowuj metadane w bazie danych.
• Waliduj zawartość pliku (np. potwierdź, że obrazy są prawdziwymi obrazami za pomocą getimagesize Lub imagecreate).
• Zachowaj komunikaty o błędach w ogólnym stylu — nie ujawniaj wewnętrznych ścieżek ani śladów stosu.

---

Jak WP-Firewall pomaga Ci zredukować ryzyko (co robimy inaczej)

Jako dostawca zabezpieczeń WordPress, nasze podejście kładzie nacisk na praktyczne, szybkie zabezpieczenia i jasne wskazówki dotyczące usuwania problemów.

Kluczowe możliwości, które oferujemy:

• Zarządzany zapora aplikacji internetowej (WAF) z ukierunkowanymi regułami i wirtualnym łatawaniem, aby blokować próby wykorzystania znanych luk wtyczek.
• Skaner złośliwego oprogramowania z heurystyką do znajdowania powłok internetowych i podejrzanych przesyłek.
• Zarządzane łagodzenie ryzyk OWASP Top 10: nasze zasady celują w powszechne wektory, w tym dowolne przesyłanie plików, niebezpieczną deserializację i wstrzykiwanie.
• Nielimitowana przepustowość i skanowanie dużych witryn (brak niespodziewanych kosztów za indeksowanie).
• Zautomatyzowane powiadomienia i wskazówki, aby administratorzy wiedzieli, co robić dalej.
• Dla płatnych poziomów: automatyczne usuwanie złośliwego oprogramowania, funkcje czarnej/białej listy IP, zaplanowane raporty bezpieczeństwa i zaawansowane wsparcie.

Projektujemy zabezpieczenia, aby były minimalnie zakłócające i zapewniały natychmiastową ochronę, gdy ujawniane są luki — co jest kluczowe, gdy exploit pojawia się w sieci.

---

Zarejestruj się w darmowym planie, aby szybko chronić swoją stronę

Tytuł: Zapewnij swojej stronie natychmiastową podstawową ochronę — zacznij od darmowego planu WP-Firewall

Jeśli używasz WordPressa i chcesz zmniejszyć ryzyko kompromitacji podczas triage i łatania, nasz darmowy plan podstawowy to łatwy pierwszy krok. Oferuje on niezbędne zabezpieczenia, w tym zarządzany firewall, pełny WAF, skanowanie złośliwego oprogramowania, nielimitowaną przepustowość i pokrycie w zakresie łagodzenia ryzyk OWASP Top 10 — wszystko, czego potrzebuje mała strona, aby rozpocząć korzystanie z profesjonalnych zabezpieczeń. Zarejestruj się w darmowym planie i zyskaj natychmiastową podstawową ochronę: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Jeśli chcesz automatycznego usuwania i szybszych opcji reakcji, rozważ nasze poziomy Standard i Pro, które dodają automatyczne usuwanie złośliwego oprogramowania, kontrolę IP, miesięczne raporty bezpieczeństwa i funkcje wirtualnego łatania.)

---

Często zadawane pytania (FAQ)

P: Jeśli exploit wymaga dostępu administratora, czy to nadal realne ryzyko?

O: Tak. Konta administratorów są często celem ataków i mogą być kompromitowane poprzez ponowne użycie poświadczeń, phishing, inne luki wtyczek lub skradzione sesje. Napastnicy często łączą luki: uzyskanie niskich uprawnień może eskalować, lub poświadczenia mogą być kradzione innymi metodami. Traktuj każdą lukę, która może prowadzić do RCE, jako priorytet wysokiego poziomu.

P: Zaktualizowałem wtyczkę — czy muszę jeszcze coś zrobić?

O: Tak. Zaktualizuj natychmiast, a następnie przeskanuj swoją stronę w poszukiwaniu oznak kompromitacji za pomocą niezawodnego skanera złośliwego oprogramowania. Zmień hasła, włącz 2FA i przeglądaj ostatnie przesyłania i zmiany plików. Jeśli zauważysz coś podejrzanego, postępuj zgodnie z powyższą listą kontrolną reakcji na incydenty.

P: Jeśli nie mogę zaktualizować, czy firewall może mnie całkowicie chronić?

O: WAF z ukierunkowanymi regułami i wirtualnym łatanie zapewnia skuteczną tymczasową ochronę, ale nie jest trwałym substytutem aktualizacji. Używaj WAF, podczas gdy planujesz i testujesz aktualizację wtyczki, aby zapobiec wykorzystaniu w międzyczasie.

P: Czy kopie zapasowe są wystarczające?

O: Kopie zapasowe są niezbędne, ale musisz upewnić się, że są czyste i nieinfekowane. Ponadto, same kopie zapasowe nie zapobiegają ponownej kompromitacji twojej strony po przywróceniu, chyba że naprawisz przyczynę i zmienisz poświadczenia.

---

Ostateczne uwagi i najlepsze praktyki

• Łataj niezwłocznie. Aktualizacje, takie jak wydanie wtyczki 4.1.17, są długoterminowym rozwiązaniem.
• Utrzymuj podstawy: minimalne uprawnienia, 2FA, silne hasła i rutynowe audyty.
• Używaj warstwowych zabezpieczeń: utwardzanie serwera, WAF, skanowanie złośliwego oprogramowania, kopie zapasowe i aktywne monitorowanie.
• Przygotuj plan reakcji na incydenty teraz, aby twój zespół był gotowy, jeśli wydarzy się najgorsze.

Jako specjaliści ds. bezpieczeństwa WordPressa rozumiemy tempo, w jakim pojawiają się luki, oraz ograniczenia, z jakimi boryka się wielu administratorów. Naszym celem jest dostarczenie jasnych, wykonalnych wskazówek, abyś mógł szybko zredukować ryzyko i pewnie się odbudować, jeśli dojdzie do kompromitacji.

Jeśli potrzebujesz pomocy w skanowaniu, utwardzaniu lub monitorowaniu swoich stron WordPress — w tym ochrony przed tą konkretną luką w przesyłaniu plików — rozważ rozpoczęcie od naszego darmowego planu podstawowego, aby uzyskać natychmiastowe podstawowe zabezpieczenia: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

---

Jeśli chcesz, możemy dostarczyć:

• Lista kontrolna dostosowana do twojego środowiska hostingowego,
• Przykładowe zasady WAF gotowe do wdrożenia (przetestowane pod kątem zgodności),
• Podręcznik śledczy i polecenia do znajdowania powszechnych powłok webowych.

Skontaktuj się z pomocą techniczną WP-Firewall lub zarejestruj się w darmowym planie, aby natychmiast rozpocząć zabezpieczanie swoich instalacji WordPress.