WordPress weboldal biztonsága 2026-ban: 10 pontos ellenőrzőlista adminisztrátoroknak

A WordPress weboldal biztonsága 2026-ban öt alapfeltételen nyugszik: a bővítmények és témák halogatás nélküli frissítése, kétfaktoros hitelesítés minden admin fiókhoz, a bejelentkezési kísérletek korlátozása, védett wp-config.php és a szerveren kívül tárolt mentések. A Patchstack 2026 februárjában kiadott jelentése szerint 2025-ben rekordszámú, 11 334 új sérülékenység jelent meg a WordPress ökoszisztémában - 91%-uk bővítményekből és témákból származott. A sérülékenység nyilvánosságra hozatalától az első aktív támadásig eltelt idő mediánja mindössze 5 óra. Ez az ellenőrzőlista konkrét lépéseket ad ahhoz, hogyan zárja be ezeket a réseket. Az ellenőrzőlista a WordPress weboldal kezeléséről szóló teljes útmutató folytatása.

Miért nagyobb kihívás 2026-ban a WordPress weboldal biztonsága, mint korábban

A WordPress domináns platform - és éppen ez teszi a legvonzóbb célponttá az automatizált támadások számára. A W3Techs szerint 2026 júliusában a világ összes weboldalának 41,5%-a WordPressen fut. Egyetlen működő exploit egyszerre több ezer weboldalt érint - ezért a botok folyamatosan pásztázzák az internetet, és minden elérhető telepítésen kipróbálják az ismert sérülékenységeket.

A biztonsági iparág számai egyértelműek. A WordPress-biztonságra szakosodott Patchstack 2026 februárjában tette közzé State of WordPress Security in 2026 című éves jelentését. A 2025-ös év legfontosabb megállapításai:

• 11 334 új sérülékenység a WordPress ökoszisztémában - történelmi rekord, 42%-os növekedés 2024-hez képest
• A sérülékenységek 91%-a bővítményekből és témákból származik; a WordPress magjában mindössze 6-ot találtak
• A nyilvánosságra hozataltól az első támadásig eltelt idő mediánja: 5 óra - ennyi a valós ablaka a javítás telepítésére
• A sérülékenységek 46%-ára nincs javítás a nyilvános közzététel pillanatában

A jó hír: egy átlagos céges weboldal elleni támadások többsége nem célzott. Automatizáltak - jön egy bot, kipróbál néhány ismert exploitot, nem talál semmit, és továbbáll. Ha az alapvető intézkedések a helyükön vannak, jóval nagyobb biztonságban van, mint tízből kilenc hasonló weboldal.

Ha a weboldalát AI eszközökkel építette, van egy további kockázati réteg is: a generált kód gyakran nyitva hagy biztonsági réseket. A biztonság a vibe-coded weboldalak auditjára készült 7 pontos ellenőrzőlistánk hetedik pontja - ha még nem végezte el, kezdje ott.

WordPress weboldal biztonsága: 10 pontos ellenőrzőlista

Ezek konkrét lépések - nem elvont tanácsok -, amelyek csökkentik annak kockázatát, hogy egy automatizált támadás sikerrel járjon a weboldala ellen. A WordPress.org a Hardening WordPress útmutatójában (utoljára 2026 januárjában frissítve) azt írja, hogy a legfontosabb lépés a WordPress és a bővítmények naprakészen tartása. A többi pont olyan védelmi réteg, amely minden lépéssel megnehezíti a támadó dolgát.

1. Frissítse azonnal a WordPress magot, a bővítményeket és a témákat. A nyilvánosságra hozataltól az első támadásig tartó 5 órás ablak mellett minden nap halasztás mérhető kockázat. Állítson be értesítést arra az esetre, ha új frissítés vár telepítésre.
2. Kétfaktoros hitelesítés (2FA) minden admin fiókhoz. A 2FA a jelszó bonyolultságától függetlenül megállítja a brute-force támadások döntő többségét. Állítsa be minden Szerkesztő vagy magasabb jogosultságú felhasználónak.
3. Erős, egyedi jelszó minden WordPress fiókhoz. Legalább 16 karakter, kis- és nagybetűk, számjegyek és speciális karakterek kombinációja. Soha ne használja ugyanazt a jelszót különböző rendszerekben.
4. Korlátozza a bejelentkezési kísérletek számát. A WordPress alapértelmezés szerint nem korlátozza a bejelentkezési kísérletek számát - ezt vagy szerverszinten, .htaccess segítségével, vagy a bejelentkezési űrlapot védő bővítménnyel kell megoldani.
5. Állítsa a wp-config.php jogosultságát 400-ra vagy 440-re. Az alapértelmezett 644-es jogosultság mindenki számára olvashatóvá teszi a fájlt - beleértve egy esetleges, a fájlrendszerhez hozzáférő támadót is. A fájl az adatbázis belépési adatait tartalmazza.
6. Helyes fájl- és könyvtárjogosultságok. Fájlok: 644. Könyvtárak: 755. Éles környezetben soha ne 777 - ez a beállítás mindenkinek írási jogot ad.
7. SSL és HTTPS mindenhol, automatikusan megújuló tanúsítvánnyal. 2026-ban a HTTPS abszolút alapkövetelmény. Ellenőrizze, hogy működik-e az átirányítás http://-ről https://-re, és hogy a tanúsítvány lejárat előtt automatikusan megújul-e.
8. Mentések a szerveren kívül, minden nap. Az ugyanazon a szerveren tárolt mentés nem segít, ha a szervert feltörik. A mentések külső felhőtárhelyre valók. Aktív céges weboldalakhoz napi adatbázismentést és heti teljes weboldalmentést javaslunk.
9. Minimalizálja a bővítmények számát. Minden bővítmény potenciális támadási vektor. Törölje mindazokat, amelyeket nem használ aktívan - a deaktivált bővítmény is fájlokat hagy a lemezen. Új bővítmény telepítése előtt ellenőrizze az utolsó frissítés dátumát (ideális esetben legfeljebb 6 hónapos) és az aktív telepítések számát.
10. Biztonsági események monitorozása és értesítések. Állítson be értesítést az ismeretlen eszközökről történő új bejelentkezésekre, a fájlok változásaira és a weboldal leállásaira. Minél hamarabb észleli a rendellenességet, annál kisebb a kár.

Automatikus frissítések: mikor biztonságosak, és mikor kell tesztelni

A mag biztonsági javításainak automatikus frissítését a WordPress.org egyértelműen javasolja bekapcsolni. A bővítményeknél a helyzet valamivel bonyolultabb - a minor verziókat (biztonsági javítások és hibajavítások) többnyire biztonságos automatizálni, a major verziók (például ugrás 3.x-ről 4.x-re) viszont inkompatibilitást hozhatnak. A WordPress 7.0-hoz és az újabb verziókhoz naprakész PHP-t is javaslunk - arról, hogy mit hozott a WordPress 7.0, és miért számít a PHP verziója, a WordPress 7.0: mi az új, és miért AI-barát című cikkben írtunk.

Ha nincs staging környezete a major frissítések előtti teszteléshez, annak kialakítása a leggyorsabban megtérülő befektetések közé tartozik - sokkal olcsóbb, mint egy olyan frissítés utáni javítás, amely tönkretette az éles oldalt.

Bővítmények és témák: itt rejlik a sérülékenységek 91%-a

A WordPress magja viszonylag biztonságos - a probléma a bővítmények és témák kiterjedt ökoszisztémája. Ezt a számot érdemes megismételni: 2025-ben az összes regisztrált WordPress-sérülékenység 91%-a bővítményekből és témákból származott. És 46%-ukra nem volt javítás abban a pillanatban, amikor a biztonsági kutatók nyilvánosan közzétették a sérülékenységet.

Mit jelent ez a gyakorlatban:

• Egy ismeretlen fejlesztőtől származó, egy éve nem frissített bővítmény aktív biztonsági kockázat - függetlenül attól, milyen jól néz ki.
• A deaktivált bővítmény továbbra is fenyegetést jelent - a fájlok a lemezen vannak, és a támadó visszaélhet velük.
• A piacterekről (pl. Envato) származó prémium komponensekben a Patchstack szerint 2025-ben háromszor annyi ismerten kihasznált sérülékenység (KEV) volt, mint az ingyenes komponensekben.

A migráción áteső weboldalaknál - például Elementorról tiszta WordPress témára történő átállásnál - a bővítmények auditja a folyamat kötelező része. Minden bővítmény, amely nem kerül át az új témába, lehetőség a támadási felület csökkentésére.

A gyakorlatban: mit látunk az általunk kezelt weboldalaknál

Az átlagos céges WordPress weboldalakon előforduló biztonsági incidensek többsége előre látható, az előre látható problémák pedig megelőzhetők. Azoknál a weboldalaknál, amelyeknél havi támogatást és karbantartást biztosítunk, újra és újra ugyanazokba a gyenge pontokba ütközünk:

• 18 hónapja nem frissített bővítmény - a fejlesztő felhagyott a projekt karbantartásával
• Éles admin fiók kétfaktoros hitelesítés nélkül
• Ugyanazon a szerveren tárolt mentések, ahol a weboldal fut
• wp-config.php az alapértelmezett 644-es jogosultsággal
• 6.x verziójú WordPress bekapcsolt automatikus biztonsági frissítések nélkül

Azokon a weboldalakon, ahol ezek az alapok működnek, jóval kisebb az esélye egy sikeres automatizált támadásnak. A botok könnyű célpontokat keresnek - az aktív védelemmel rendelkező weboldalt átugorják.

A biztonság a weboldal egészének állapotával is összefügg. Az elavult bővítmények, a régi dizájn és a lassú betöltés - ezek is jelei annak, hogy ideje újratervezni a weboldalt. A technikai adósság észrevétlenül nő; egy biztonsági incidens láthatóan felgyorsítja.

A WordPress weboldal biztonsága nem egyetlen telepített bővítményen múlik. Beállítások és rutinok sorozata - frissítések, 2FA, mentések, jogosultságok, monitoring. Minden réteg csökkenti a sikeres támadás valószínűségét, és lerövidíti a helyreállítás idejét, ha mégis bekövetkezik.

Szeretné, ha WordPress weboldala biztonságáról és frissítéseiről valaki más gondoskodna? A Denva támogatás és karbantartás szolgáltatása rendszeres frissítéseket, szerveren kívüli mentéseket és monitoringot tartalmaz. Kötelezettség nélküli konzultáció - 24 órán belül válaszolunk.