Vi gick igenom säkerhetsvarningarna för webbplatserna vi underhåller från januari till augusti 2026. Siffran: 154 varningar på 43 webbplatser, på åtta månader. Antalet varningar har ökat radikalt.
Vad som hände på ekosystemnivå 2025
WordPress-säkerhetsföretaget Patchstack publicerade i februari 2026 sin årsrapport om sårbarheter i hela ekosystemet. Siffrorna kommer direkt därifrån:
- 11 334 nya sårbarheter upptäcktes under 2025. Det är 42 % fler än 2024, då man hittade 7 966.
- 91 % av dessa fanns i tillägg och 9 % i teman. I WordPress kärnprogramvara hittades endast 6 sårbarheter under hela året, alla med låg risk.
- De allvarligaste sårbarheterna, lämpliga för massutnyttjande, hittades fler än under de två föregående åren sammanlagt. Ökning jämfört med året innan: 113 %.
- 46 % av sårbarheterna var ännu inte åtgärdade när de offentliggjordes. Att uppdatera tillägget hjälper alltså inte alltid, eftersom en fix ännu inte finns.
- Utnyttjande av en allvarlig sårbarhet börjar i genomsnitt inom fem timmar efter offentliggörandet.
- Traditionella skydd, som brandväggar och skydd på hostingnivå, stoppade i Patchstacks egna tester 26 % av attackerna.
De här siffrorna kommer från Patchstack, som upprätthåller en av världens största databaser över WordPress-sårbarheter och följer utnyttjande i realtid via hundratusentals webbplatser.
Varför syns det just i dina varningar
Antalet tillägg på din webbplats är troligen detsamma som för ett år sedan. Underhållsteamet gör samma jobb som tidigare. Men antalet sårbarheter i hela ekosystemet har ökat med 42 procent, och tilläggen står för 91 procent av dem.
En webbplats som består av tiotals tredjepartstillägg bär alltså mer risk i dag än för ett år sedan, även om ingenting har ändrats på själva webbplatsen. Risken växer i ekosystemet runt omkring.
Här skyller vi inte på någon. Det handlar om hur WordPress tilläggsekosystem fungerar 2026.
Vad man kan göra åt det
Att följa uppdateringar är fortfarande nödvändigt, men inte tillräckligt. Nästan hälften av sårbarheterna offentliggörs innan en fix ens finns, och utnyttjandet börjar inom timmar. Underhåll som bara väntar på nästa uppdatering ligger strukturellt alltid ett steg efter.
Om din webbplats saknar regelbundet underhåll är det läge att skaffa det nu. Övervakning av varningar och snabb reaktion kräver löpande arbete, inte en engångskontroll.
På längre sikt är den avgörande frågan hur mycket tredjepartskod webbplatsen bär. Vi bygger nya projekt med Astro, som inte har en tilläggsmarknad i WordPress stil. Det gör inte webbplatsen automatiskt säker mot allt, men det tar bort den 91-procentiga andelen risk som på WordPress-webbplatser kommer från tillägg.
Om du vill se var din webbplats står i skick och köpbarhet just nu, testa den. Om du vill gå igenom om den nuvarande webbplatsen bör åtgärdas eller förnyas, boka en kostnadsfri kartläggning.
Källa: Patchstack, “State of WordPress Security in 2026” (publicerad 25.2.2026), i samarbete med Monarx.