Masz Elementor Pro? Aktualizuj natychmiast. Krytyczna luka jest już wykorzystywana w atakach

Jeżeli korzystasz z Elementor Pro, warto sprawdzić wersję wtyczki natychmiast. Krytyczna podatność CVE-2026-32475 umożliwia nieuwierzytelnionemu napastnikowi przesłanie na serwer złośliwego pliku PHP, co może doprowadzić do zdalnego wykonania kodu i przejęcia całej witryny WordPress. Co najważniejsze, luka nie jest już tylko problemem teoretycznym — trwa jej aktywne wykorzystywanie.

Atakujący wykorzystują podatne formularze Elementor Pro do instalowania web shelli, które zapewniają dalszy dostęp do serwera. Wordfence informuje, że od rozpoczęcia kampanii zablokował już blisko 200 tys. prób wykorzystania tej konkretnej luki. Poprawka jest dostępna od 19 sierpnia w Elementor Pro 4.2.2.

CVE-2026-32475 pozwala przejąć podatną stronę WordPress

CVE-2026-32475 dotyczy modułu formularzy dostępnego w Elementor Pro, a dokładniej mechanizmu obsługującego przesyłanie plików przez pole File Upload. Błąd w sposobie walidowania przesyłanych danych powoduje, że odpowiednio przygotowane żądanie może ominąć zabezpieczenia kontrolujące rozszerzenie pliku. W rezultacie na serwer może zostać przesłany wykonywalny plik PHP, który następnie może zostać uruchomiony przez napastnika. W praktyce oznacza to możliwość wykonania dowolnego kodu w kontekście podatnej witryny.

To jedna z najpoważniejszych klas podatności w ekosystemie WordPressa, ponieważ atakujący nie musi wcześniej zdobywać konta administratora ani nawet zwykłego użytkownika. Jeżeli witryna spełnia warunki potrzebne do wykorzystania błędu, sam publicznie dostępny formularz może stać się punktem wejścia do serwera.

Skutki mogą wykraczać daleko poza zmianę treści strony. Po uzyskaniu możliwości wykonywania kodu napastnik może próbować tworzyć nowe konta administratorów, wykradać dane z bazy, uzyskać dostęp do plików konfiguracyjnych WordPressa, modyfikować witrynę albo wykorzystać serwer do dalszych działań. Dlatego w tym przypadku aktualizacja nie powinna być odkładana na później.

Ataki już trwają. To nie jest luka „na wszelki wypadek”

Najważniejsza informacja dla administratorów jest taka, że CVE-2026-32475 jest już aktywnie wykorzystywana w internecie. Pierwsze próby wykorzystania luki zaobserwowano 19 sierpnia, czyli praktycznie w momencie publicznego ujawnienia problemu i wydania poprawionej wersji Elementor Pro. Od tego czasu skala ruchu systematycznie rosła.

Wordfence poinformował na początku września, że jego zapora zablokowała około 190 tys. prób wykorzystania CVE-2026-32475 wymierzonych w chronione przez firmę witryny. Liczba ta nie oznacza oczywiście 190 tys. skutecznie przejętych stron, ponieważ mówimy o zablokowanych żądaniach, ale bardzo dobrze pokazuje skalę automatycznego skanowania WordPressów w poszukiwaniu podatnych instalacji.

W obserwowanych atakach przestępcy próbują umieszczać na serwerach web shelle, czyli niewielkie skrypty dające możliwość późniejszego wykonywania poleceń i wgrywania kolejnych plików. Taki mechanizm jest szczególnie niebezpieczny, ponieważ samo zaktualizowanie wtyczki po wcześniejszym skutecznym ataku może już nie wystarczyć. Jeżeli web shell został wcześniej zapisany na serwerze, może pozostać aktywny nawet po usunięciu pierwotnej podatności. Właśnie dlatego właściciele witryn korzystających ze starszego Elementor Pro powinni nie tylko wykonać aktualizację, ale też sprawdzić, czy strona nie została już naruszona.

Nie każda strona z Elementor Pro jest podatna

CVE-2026-32475 nie działa automatycznie na każdej instalacji Elementor Pro. Do skutecznego wykorzystania podatności potrzebny jest co najmniej jeden opublikowany formularz Elementor Pro zawierający pole File Upload, czyli funkcję pozwalającą użytkownikowi dołączyć plik do formularza. Taka konfiguracja jest jednak bardzo popularna na stronach firmowych, sklepach i portalach.

Pole przesyłania plików często pojawia się w formularzach rekrutacyjnych służących do wysyłania CV, formularzach kontaktowych z możliwością dodawania załączników, zgłoszeniach serwisowych, formularzach reklamacyjnych czy systemach umożliwiających przesyłanie zdjęć i dokumentów. Dlatego choć podatność wymaga określonej konfiguracji, jej realna powierzchnia ataku jest bardzo duża.

Nie należy też zakładać, że strona jest bezpieczna tylko dlatego, że pole uploadu nie jest oznaczone jako wymagane. Problem znajduje się w samym mechanizmie obsługi plików, więc możliwość przesłania załącznika wystarcza do stworzenia potencjalnego punktu ataku.

Jeżeli nie jesteśmy pewni, czy któryś formularz wykorzystuje File Upload, najbezpieczniejszym rozwiązaniem pozostaje aktualizacja Elementor Pro niezależnie od konfiguracji. Poprawiona wersja usuwa klasę błędu, więc analiza każdego formularza z osobna nie powinna zastępować instalacji łatki.

Może Cię zainteresować: Jak sprawdzić, czy strona internetowa jest bezpieczna? SSL, domena i płatności

Elementor Pro 4.2.2 usuwa podatność

Poprawka została wydana 19 sierpnia 2026 roku w Elementor Pro 4.2.2. Oficjalny changelog Elementor wskazuje w tej wersji poprawę zabezpieczeń między innymi w widżecie Form, co odpowiada zmianom potrzebnym do usunięcia podatności CVE-2026-32475.

Oznacza to, że witryny korzystające z Elementor Pro 4.2.1 lub wcześniejszej wersji powinny zostać zaktualizowane przynajmniej do 4.2.2. Obecnie dostępne są już jeszcze nowsze wydania, dlatego w praktyce najlepiej przejść od razu na aktualną stabilną wersję kompatybilną z daną stroną, zamiast zatrzymywać się na pierwszym wydaniu zawierającym poprawkę.

Przed aktualizacją warto oczywiście wykonać kopię zapasową witryny i bazy danych, szczególnie w przypadku rozbudowanych stron produkcyjnych. Sam Elementor również rekomenduje backup przed zmianami oraz utrzymywanie aktualnych wersji zarówno Elementor Core, jak i Elementor Pro, ponieważ niezgodność pomiędzy nimi może powodować problemy z działaniem strony.

W tym przypadku ryzyko związane z pozostaniem na podatnej wersji jest jednak zdecydowanie większe niż typowe ryzyko aktualizacji. Skoro exploit jest już aktywnie wykorzystywany, odkładanie poprawki oznacza pozostawienie publicznie dostępnego punktu wejścia, którego automatyczne skanery aktywnie szukają.

Samo zaktualizowanie Elementor Pro może nie wystarczyć

Jeżeli strona była dostępna publicznie z podatną wersją Elementor Pro po 19 sierpnia, warto potraktować ją jako potencjalnie narażoną i przeprowadzić podstawowy przegląd bezpieczeństwa. Aktualizacja zatrzyma nowe próby wykorzystania samej luki, ale nie usuwa automatycznie plików, które mogły zostać przesłane przed instalacją poprawki.

Szczególną uwagę należy zwrócić na nietypowe lub niedawno zmodyfikowane pliki PHP, nowe konta administratorów, nieoczekiwane zadania cron, zmiany w plikach motywu i wtyczek oraz podejrzane przekierowania. W obserwowanej kampanii atakujący umieszczają wykonywalne pliki w katalogu związanym z uploadami formularzy Elementor, a następnie wykorzystują je jako web shell.

W przypadku stron firmowych rozsądne będzie również sprawdzenie logów serwera i WAF od 19 sierpnia oraz zmiana haseł administratorów, jeśli pojawiają się jakiekolwiek oznaki kompromitacji. Jeżeli na serwerze znaleziony zostanie web shell lub inny podejrzany plik, problem należy traktować jako pełny incydent bezpieczeństwa, a nie wyłącznie potrzebę usunięcia jednego pliku.

Dobrą praktyką jest również przywrócenie strony z pewnej kopii zapasowej wykonanej przed atakiem, jeśli można jednoznacznie określić moment kompromitacji, a następnie ponowne zaktualizowanie wszystkich komponentów WordPressa.

Elementor Pro jest wyjątkowo atrakcyjnym celem dla cyberprzestępców

Elementor należy do najpopularniejszych narzędzi do budowania stron WordPress, a Elementor Pro jest wykorzystywany na milionach witryn. Wordfence podaje ponad 6 mln aktywnych instalacji Elementor Pro, co automatycznie sprawia, że krytyczna luka w tej wtyczce jest niezwykle atrakcyjna dla grup prowadzących masowe kampanie.

Atakujący nie muszą ręcznie wyszukiwać pojedynczych stron. Po publicznym ujawnieniu szczegółów podatności mogą przygotować automatyczne skanery przeszukujące internet, wykrywać potencjalnie podatne WordPressy i seryjnie próbować wykorzystać lukę. Właśnie dlatego pomiędzy opublikowaniem informacji o podatności a rozpoczęciem szerokich ataków coraz częściej mijają godziny, a nie tygodnie.

Popularność WordPressa powoduje, że podobne kampanie mogą szybko osiągać ogromną skalę. Strona niewielkiej lokalnej firmy nie jest przy tym automatycznie mniej atrakcyjna niż duży portal. W masowych kampaniach liczy się przede wszystkim to, czy witryna jest podatna i czy można ją wykorzystać do wysyłania spamu, hostowania złośliwego kodu, przekierowywania użytkowników, kradzieży danych albo jako kolejny element infrastruktury atakujących.

Dlatego regularne aktualizowanie wtyczek jest w WordPressie nie tylko kwestią nowych funkcji, ale jednym z podstawowych elementów bezpieczeństwa całego serwera.

Co powinien zrobić właściciel strony z Elementor Pro?

Pierwszym krokiem powinno być sprawdzenie wersji Elementor Pro w panelu WordPressa. Jeżeli jest to 4.2.1 lub starsza wersja, aktualizację należy przeprowadzić natychmiast. Najlepiej zainstalować najnowsze stabilne wydanie dostępne dla danej licencji, pamiętając wcześniej o wykonaniu pełnej kopii zapasowej strony i bazy danych.

Następnie warto sprawdzić, czy strona posiada formularze wykorzystujące pole File Upload. Jeśli tak, a podatna wersja Elementor Pro działała publicznie po rozpoczęciu ataków, powinno się przeanalizować pliki serwera i logi pod kątem nietypowych zmian. Brak widocznej podmiany strony nie jest dowodem, że nic się nie wydarzyło, ponieważ web shell może działać w tle i nie pozostawiać żadnych oczywistych zmian na froncie.

Administratorzy korzystający z usług hostingowych z zarządzanym bezpieczeństwem mogą również skontaktować się z dostawcą i poprosić o sprawdzenie logów oraz skanowanie malware. W przypadku własnego VPS lub serwera analiza powinna objąć nie tylko WordPressa, lecz również konta systemowe, procesy, harmonogramy zadań i pozostałe witryny znajdujące się na tym samym koncie hostingowym.

Najważniejsza zasada jest jednak bardzo prosta: nie czekać na kolejne ostrzeżenie, ponieważ aktywne wykorzystanie luki zostało już potwierdzone.

Podsumowanie

CVE-2026-32475 jest jedną z najpoważniejszych luk w Elementor Pro w ostatnim czasie, ponieważ umożliwia nieuwierzytelnionemu napastnikowi przesłanie wykonywalnego pliku PHP, a w konsekwencji zdalne uruchamianie kodu na serwerze. Podatność dotyczy wersji 4.2.1 i starszych, jeżeli na stronie znajduje się opublikowany formularz wykorzystujący pole File Upload.

Najważniejsze jest jednak to, że atakujący już wykorzystują tę lukę. Wordfence zaobserwował niemal 200 tys. prób eksploatacji, a w prowadzonych kampaniach na serwery trafiają web shelle umożliwiające dalsze przejmowanie witryn.

Poprawka znajduje się w Elementor Pro 4.2.2 i wszystkich nowszych wydaniach. Jeżeli więc strona nadal działa na starszej wersji, nie jest to przypadek, w którym warto czekać na dogodny termin serwisowy. Aktualizacja powinna zostać wykonana natychmiast, a witryny narażone od 19 sierpnia warto dodatkowo sprawdzić pod kątem śladów wcześniejszego włamania.

Źródło: Wordfence – Attackers Actively Exploiting Critical Vulnerability in Elementor Pro Plugin, wrzesień 2026. Opracowanie własne.

Dziękujemy za przeczytanie artykułu na Techoteka.pl.
Publikujemy codziennie informacje o sztucznej inteligencji, nowych technologiach, IT oraz rozwoju agentów AI.
Obserwuj nas na Facebooku, aby nie przegapić kolejnych artykułów.