Da li je WordPress bezbedan? Šta podaci zaista pokazuju

„Da li je WordPress bezbedan?“ jedno je od prvih pitanja koje svaki vlasnik biznisa postavlja pre nego što se odluči za ovu platformu i sasvim je opravdano. WordPress pokreće ogroman deo interneta, što ga čini stalnom metom napada. Međutim, iskren odgovor nije jednostavno da ili ne. Pravo pitanje je gde se rizik zapravo nalazi, a podaci ukazuju na mesto koje većina ljudi ne očekuje.

Brojke iza ovog pitanja

Prema Patchstack izveštaju State of WordPress Security in 2026, istraživači su tokom 2025. godine zabeležili 11.334 nove ranjivosti u WordPress ekosistemu. Od toga je samo šest pronađeno u samom WordPress core-u. To znači da je core, softver na kojem počiva platforma za desetine miliona sajtova, činio tek delić procenta svih prijavljenih problema.

Preostalih 91% ranjivosti poticalo je iz plugina, dok je ostatak bio povezan sa temama. Drugim rečima, softver koji održavaju Automattic i WordPress core tim izuzetno je stabilan. Rizik se gotovo u potpunosti nalazi u sloju koji vlasnici sajtova naknadno dodaju.

Odakle zapravo dolaze ranjivosti

Ova razlika je važna jer menja ono što „zaštita WordPress sajta“ zapravo znači u praksi. Nije poenta u izbegavanju WordPressa, već u tome šta se na njega instalira i kako se time upravlja.

Svaki plugin predstavlja deo koda treće strane koji radi sa pristupom vašem sajtu. WordPress plugini mogu značajno da prošire mogućnosti sajta, ali svaki dodatni plugin predstavlja još jednu komponentu koju je potrebno održavati i zaštititi. Neki se održavaju veoma pažljivo, uz brzo objavljivanje bezbednosnih zakrpa i aktivan razvoj. Drugi su napušteni, ažuriraju se jednom godišnje, ako i toliko, ili ih razvijaju mali timovi bez posebnog bezbednosnog procesa. Sajt sa dvadeset plugina praktično zavisi od dvadeset različitih izvora koda, a bezbednost celog sistema može zavisiti od najslabije karike.

Upravo zato se razgovor o bezbednosti WordPressa ne može završiti pitanjem „koliko plugina imate?“. Važno je koji su plugini instalirani, koliko često se ažuriraju i da li i dalje imaju aktivnu podršku. Napušten plugin sa poznatom ranjivošću predstavlja mnogo veći rizik od deset plugina koji se redovno održavaju.

Pravi način napada verovatno nije ono što mislite

Ranjivosti u kodu samo su jedan deo priče. Prema podacima kompanija Sucuri i Wordfence, dve veoma poznate kompanije u oblasti WordPress bezbednosti, 81% hakovanih WordPress sajtova kompromitovano je korišćenjem slabih ili ukradenih pristupnih podataka, a ne iskorišćavanjem softverske ranjivosti.

To znači da najčešći put do WordPress sajta nije neki naročito sofisticiran tehnički napad. Dovoljna je stranica za prijavljivanje sa slabom lozinkom, bez dvofaktorske autentifikacije i bez ograničenja broja neuspešnih pokušaja prijavljivanja. Napadači ne moraju da pronađu zero-day ranjivost ako do pristupa mogu doći jednostavnim pogađanjem ili kupovinom ukradenih pristupnih podataka.

To potpuno menja način na koji treba posmatrati bezbednost. Sajt može koristiti najnoviju verziju WordPressa, imati sve plugine ažurirane i opet biti kompromitovan zbog načina na koji je zaštićen administratorski nalog.

Šta ovo znači za vaš sajt

Kada se svi ovi podaci sagledaju zajedno, slika je prilično jasna. WordPress core nije glavni rizik. Problem predstavljaju plugin ekosistem kojim se ne upravlja adekvatno i slaba kontrola pristupa.

Za vlasnika biznisa ovo je veoma korisna razlika, jer apstraktan strah poput „da li je ova platforma bezbedna?“ pretvara u konkretan skup stvari koje je moguće kontrolisati. Bezbednost WordPress sajta nije samo osobina platforme. Ona zavisi od toga kako se sajt održava.

Praktična lista za bezbednost WordPress sajta

• Redovno proveravajte plugine. Uklonite sve neaktivne. Za svaki aktivan plugin proverite da li je ažuriran u poslednjih nekoliko meseci.
• Koristite jake lozinke i dvofaktorsku autentifikaciju za svaki nalog sa administratorskim ili uredničkim pristupom.
• Ograničite broj pokušaja prijavljivanja kako biste blokirali brute-force napade pre nego što uspeju.
• Redovno ažurirajte WordPress core, teme i plugine prema definisanom rasporedu, a ne samo kada se pojavi problem.
• Koristite pouzdan bezbednosni plugin ili servis koji prati poznate ranjivosti konkretnih plugina koje koristite, umesto da se oslanjate samo na opšte skeniranje sajta.
• Redovno pravite rezervne kopije i čuvajte ih odvojeno od aktivnog sajta, kako bi u slučaju kompromitovanja sajt mogao da bude vraćen umesto da posledice budu katastrofalne.

Ništa od ovoga ne zahteva egzotične alate. Potrebna je disciplina i, u većini slučajeva, tim koji održavanje sajta posmatra kao kontinuiranu odgovornost, a ne kao posao koji se završava njegovim postavljanjem.

WordPress sam po sebi nije ranjivost. Ono što se na njega instalira i način na koji se sajt nakon toga održava odlučuju da li će ostati bezbedan ili postati još jedna statistika.