A WordPress-oldalakat ma jellemzően nem jelszótalálgatással törik fel, hanem úgy, hogy a frissen nyilvánosságra került bővítményhibákat órákon belül, automatizáltan, tömegesen kihasználják. A Patchstack mérése szerint a legintenzívebben támadott hibáknál a publikálástól az első tömeges támadásig eltelt idő mediánja mindössze 5 óra — miközben a legtöbb oldaltulajdonos havonta egyszer frissít. Ez a kettő közötti időszak, a frissítési ablak a 2026-os WordPress-biztonság legfontosabb csataterepe. A jó hír: az ablak bezárható, és ehhez nem kell informatikusnak lenned.
Hogyan törik fel ma a WordPress oldalakat?
A jelszavas támadás nem tűnt el — a Wordfence hálózata 2024-ben több mint 55 milliárd jelszótámadást blokkolt —, de erős jelszóval és kétlépcsős belépéssel ellene viszonylag könnyű védekezni. A Wordfence éves jelentése szerint ráadásul a jelszótámadások száma csökkent, miközben a sérülékenységek kihasználása nőtt: a támadók súlypontja átkerült a publikált hibák azonnali kihasználására.
Ehhez minden adott is nekik. 2025-ben 11 334 új sérülékenység került elő a WordPress-ökoszisztémában — 42%-kal több, mint egy évvel korábban —, és ezek 91%-a bővítményekben volt.
2025-ben több súlyos, magas kockázatú sérülékenység került elő a WordPress-ökoszisztémában, mint az előző két évben együttvéve — a tömegesen kihasználható hibák száma egyetlen év alatt 113%-kal nőtt. (Forrás: Patchstack)
A támadó oldalán a folyamat teljesen automatikus: botok figyelik a sérülékenység-adatbázisokat, és amint egy hiba publikussá válik, az interneten elérhető összes WordPress-oldalon végigpróbálják. Fontos ezt jól érteni: nem a te oldaladat nézték ki — mindenkiét megpróbálják, a tiédet is.
Mennyi idő alatt használják ki a támadók egy új hibát?
Gyorsabban, mint ahogy a legtöbb oldaltulajdonos egyáltalán értesül róla. A Patchstack riportja szerint a legintenzívebben támadott hibáknál a publikálástól az első tömeges kihasználásig eltelt idő súlyozott mediánja 5 óra — és az idővonal innen csak romlik:
| Idő a publikálás után | A legtámadottabb hibák ekkora része áll már aktív támadás alatt |
|---|---|
| 6 órán belül | 20% |
| 24 órán belül | 45% |
| 7 napon belül | 70% |
*(Forrás: Patchstack-adatok összesítése, 2026)*
Friss példa, hogy ez a gyakorlatban mit jelent: a Gravity SMTP levelezőbővítmény hibájánál a Wordfence több mint 17 millió támadási kísérletet blokkolt, a csúcsnapon 4 millió felettit. Arról, hogy érintett vagy-e, és pontosan mit tegyél, külön cikkben írtunk.
A frissítési ablak: a publikálás és a te frissítésed közti veszélyzóna
Számoljunk. A tömeges támadás a publikálás után átlagosan 5 órával elindul. Te mikor frissítesz? Ha havonta egyszer, az ablakod akár 30 nap is lehet — hetekig futsz nyitott, közismert hibával, pontosan azzal, amire a botok vadásznak.
És van két rosszabb hír is. Egyrészt a hibák 46%-ához a publikálás pillanatában még javítás sincs — ilyenkor hiába frissítenél azonnal. Másrészt a támadók a régi hibákat sem felejtik el: a 2025-ben legtöbbet támadott tíz sérülékenységből csak négy volt 2025-ös, a többi több éve ismert hiba, amely elavult bővítményt futtató oldalakon még mindig működik (Patchstack).
Mi az a virtuális patchelés, és hogyan zárja be az ablakot?
A virtuális patch egy tűzfalszabály, amely a hibát kihasználó kéréseket már azelőtt blokkolja, hogy elérnék az oldalt. Nem nyúl a bővítmény kódjához: a támadó forgalmat szűri ki, ezért akkor is véd, ha a fejlesztő javítása késik — vagy el sem készül. A hibát magát nem szünteti meg, tehát a frissítést nem váltja ki, de biztonságos időt ad rá.
Erre azért van szükség, mert az általános, hoszting-szintű védelem a WordPress-specifikus támadásokkal szemben gyenge.
A Patchstack tesztjében a vizsgált tárhelyszolgáltatók védelmi rendszerei a WordPress-sérülékenységeket célzó támadásoknak mindössze 26%-át blokkolták — a maradékot csak alkalmazásszintű, WordPress-t „értő” tűzfal fogja meg. (Forrás: Patchstack)
Az ügyfeleinknél is ez a felállás vált be. Az egyik oldalon a tűzfal naplójában pár órával egy bővítményhiba publikálása után megjelentek az első próbálkozások — a bővítményhez akkor még javítás sem létezett. A virtuális patch fogta meg őket, a frissítést pedig akkor telepítettük, amikor a fejlesztő elkészült vele. Az oldaltulajdonos az egészből egy értesítőt látott, nem egy feltört webshopot.
Mit jelent ez a te oldaladra nézve?
Négy lépést érdemes bevezetned, fontossági sorrendben:
2. Csökkentsd a felületet: törölj minden nem használt bővítményt, és válassz eleve karbantartott plugineket — ebben segít a pluginválasztásról szóló cikkünk.
3. Használj WordPress-specifikus tűzfalat virtuális patch képességgel, mert a hoszting védelme önmagában kevés.
4. Figyeld az oldalad: a feltörés 8 árulkodó jelét te magad is észreveheted, informatikus nélkül.
Az erős jelszó és a kétlépcsős belépés továbbra is kötelező alap — csak már nem elégséges. A támadók nem az ajtódon kopogtatnak: a falban keresik a frissen publikált repedéseket.
Zárd be a frissítési ablakot — segítünk
A WP Pajzs csomagjában pontosan ez a két elem dolgozik együtt: folyamatos frissítéskezelés és WordPress-specifikus tűzfal virtuális patcheléssel, hogy az oldalad a publikálás utáni kritikus órákban se legyen védtelen.
Ha tudni szeretnéd, mekkora most a te frissítési ablakod, kérd az ingyenes biztonsági gyorsellenőrzésünket: 15 percben megmutatjuk, hol vagy kitéve, és mit érdemes először bezárnod. Ez a cikk a háromrészes sorozatunk záró része — az első a Gravity SMTP-hibáról, a második a biztonságos pluginválasztásról szól.
Gyakori kérdések
Hogyan törik fel ma a WordPress oldalakat?
Túlnyomórészt automatizáltan: botok figyelik az újonnan publikált bővítményhibákat, és órákon belül tömegesen próbálják kihasználni őket minden elérhető oldalon. A jelszótámadás nem tűnt el, de jó jelszóval és kétlépcsős belépéssel jól kivédhető — a fő kockázat ma a javítatlan sérülékenység.
Mennyi idő alatt használják ki a támadók egy új hibát?
A Patchstack mérése szerint a legintenzívebben támadott hibáknál a publikálástól az első tömeges kihasználásig eltelt idő súlyozott mediánja 5 óra, és a nagy hatású hibák közel felét már 24 órán belül támadják. Egy héten belül a legtámadottabb hibák 70%-a aktív kihasználás alatt áll.
Mi az a virtuális patchelés?
Tűzfalszabály, amely a sérülékenységet kihasználó kéréseket blokkolja, mielőtt elérnék az oldalt — így akkor is véd, amikor a fejlesztő javítása még nem készült el. A hibát magát nem szünteti meg, ezért a frissítést nem váltja ki, csak biztonságos időt ad rá.
Elég, ha havonta egyszer frissítek?
Már nem. Havi rutinnal átlagosan heteken át futsz nyilvánosan ismert hibákkal, miközben a tömeges kihasználás a publikálás után órákkal elindul. Kapcsolj be automatikus telepítést a biztonsági frissítésekre, és tegyél mellé virtuális patchelésre képes, WordPress-specifikus tűzfalat.
