Dlaczego wp-old wymaga uwagi

Po ręcznej aktualizacji WordPressa lub przeniesieniu plików do nowej lokalizacji, stary katalog (często nazywany wp-old) zostaje na serwerze. Zawiera on pełną kopię kodu źródłowego, wtyczek, motywów oraz plików konfiguracyjnych sprzed zmiany. Jeśli pozostanie dostępny publicznie, atakuujący mogą wykorzystać znane luki w starszych wersjach.

Krok 1 – Zlokalizuj i zweryfikuj zawartość

  1. Połącz się z serwerem przez FTP/SFTP lub menedżer plików w panelu hostingowym.
  2. Sprawdź, czy katalog wp-old znajduje się w głównym katalogu witryny (np. /public_html/wp-old) lub w podkatalogu.
  3. Porównaj plik wp-includes/version.php w obu lokalizacjach, aby potwierdzić, że wp-old to starsza wersja.

Krok 2 – Ogranicz dostęp do katalogu

Najszybszym sposobem na zablokowanie publicznego dostępu jest dodanie reguły w pliku .htaccess (Apache) lub konfiguracja odpowiedniej lokalizacji w Nginx.

# Apache – w głównym .htaccess
RewriteRule ^wp-old/ - [F,L]

Dla Nginx dodaj do bloku server:

location ^~ /wp-old {
    deny all;
}

Po zapisaniu zmian przetestuj, czy adres twoja-domena.pl/wp-old/ zwraca błąd 403.

Krok 3 – Zrób kopię zapasową przed dalszymi działaniami

Mimo że katalog jest stary, może zawierać nietypowe modyfikacje (np. niestandardowe wtyczki, zmiany w motywie). Przekompresuj cały folder (zip, tar.gz) i przechowaj kopię w bezpiecznej lokalizacji (np. chmura, dysk lokalny).

Krok 4 – Decyzja: aktualizacja, migracja lub usunięcie

Aktualizacja w miejscu

Jeśli wp-old to jedynie kopia zapasowa i nie planujesz powrotu, usuń go po upewnieniu się, że nowa instalacja działa poprawnie.

Migracja danych

Jeśli w wp-old znajdują się unikalne pliki (np. niestandardowe wtyczki, pliki językowe), skopiuj je do odpowiednich miejsc w aktualnej instalacji, a następnie usuń stary katalog.

Pełne usunięcie

Gdy masz pewność, że nic nie jest potrzebne, usuń folder wp-old z serwera. Upewnij się, że nie ma na niego linków w bazie danych (sprawdź tabele wp_options i wp_posts pod kątem ścieżek).

Krok 5 – Monitorowanie po czyszczeniu

  • Przeprowadź skan bezpieczeństwa (np. narzędzia typu Wordfence, Sucuri) w ciągu 24‑48 godzin po usunięciu.
  • Obserwuj logi serwera pod kątem prób dostępu do ścieżki /wp-old.
  • Zaktualizuj reguły zapory (WAF) aby blokować zapytania do tej ścieżki na przyszłość.

Podsumowanie

Katalog wp-old to typowy pozostałość po aktualizacji WordPressa. Niebezpieczeństwo wynika z dostępu do przestarzałego kodu, który może zawierać znane luki. Prosty audyt, blokada dostępu, kopia zapasowa i świadoma decyzja o usunięciu lub migracji unikalnych elementów eliminują ryzyko bez wpływu na działającą witrynę. Regularne sprzątanie po aktualizacjach to dobry nawyk, który podnosi ogólne bezpieczeństwo środowiska WordPress.