WordPress i WooCommerce: problemy i kiedy przejść

WordPress napędza dziś 40,3% wszystkich stron internetowych, a WooCommerce jest najpopularniejszym silnikiem sklepów na tej platformie. To wciąż rozsądny wybór dla prostej strony albo małego sklepu bez nietypowych mechanik sprzedaży, ale ma mierzalne koszty: rosnącą liczbę podatności w rozszerzeniach, słabsze ładowanie strony niż u konkurencji i abonamenty za wtyczki, które w skali roku potrafią przewyższyć koszt samego hostingu. Poniżej są liczby, nie opinie, żeby dało się je policzyć dla własnego sklepu.

Ile podatności bezpieczeństwa ma WordPress rocznie?

W 2025 roku w ekosystemie WordPressa ujawniono 11 334 nowe podatności, o 42% więcej niż rok wcześniej. Dane pochodzą z raportu Patchstack, State of WordPress Security in 2026, opublikowanego 25 lutego 2026. 1 966 z nich, czyli 17%, oceniono jako wysokiego ryzyka, z realną szansą na zautomatyzowany atak na dużą skalę, a kolejne 4 124 (36%) jako na tyle poważne, że wymagały szybkiej reakcji dostawcy. Liczba wysoce eksploatowalnych podatności wzrosła rok do roku o 113%.

Patchstack sprzedaje zabezpieczenia dla WordPressa, więc te liczby traktujemy jako dane dostawcy, nie niezależnego audytora. Kierunek zmiany potwierdza jednak inna firma z tej samej branży: Wordfence w swoim kwartalnym raporcie zagrożeń odnotował 2 213 podatności tylko w czwartym kwartale 2025 roku (Wordfence, Quarterly WordPress Threat Intelligence Report, Q4 2025, luty 2026). Dwie niezależne firmy monitorujące ten sam ekosystem widzą tę samą skalę problemu, więc to nie jest liczba wyssana z jednego, zainteresowanego sprzedażą źródła.

Patchstack zwraca uwagę na jeszcze jeden szczegół: w 2025 roku odkryto więcej poważnych podatności niż w poprzednich dwóch latach razem wziętych, a znaczną część tego wzrostu odpowiadają płatne, premium komponenty sprzedawane na zewnętrznych marketplace'ach wtyczek, gdzie kontrola jakości kodu bywa słabsza niż w oficjalnym repozytorium WordPress.org. Płacenie za wtyczkę nie jest więc samo w sobie gwarancją bezpieczeństwa, jeśli sprzedawca nie utrzymuje jej równie starannie jak darmowy odpowiednik.

Ile stron internetowych zależy od tego samego ekosystemu?

Skala WordPressa jest jednocześnie jego siłą i powodem, dla którego jest tak częstym celem: napędza 40,3% wszystkich stron internetowych i 58,8% rynku systemów zarządzania treścią, wobec 5,4% (7,8% rynku CMS) dla Shopify i 0,1% dla Shoper (W3Techs, Usage statistics of content management systems, stan na 14 września 2026). Dla atakującego oznacza to prostą matematykę: jedna podatność w popularnej wtyczce WooCommerce potencjalnie daje dostęp do setek tysięcy sklepów naraz, więc automatyczne skanery szukające konkretnych, znanych luk mają ogromną, łatwą do namierzenia populację celów. Mała platforma niszowa nie jest automatycznie bezpieczniejsza technicznie, ale rzadziej opłaca się pisać pod nią masowe, zautomatyzowane ataki.

Skąd biorą się te podatności: rdzeń czy wtyczki?

91% podatności z raportu Patchstack dotyczyło wtyczek, 9% motywów, a tylko 6 sztuk, poniżej 0,1% wszystkich, samego rdzenia WordPressa, i te oceniono jako niskiego priorytetu. To najważniejsza liczba w całym raporcie: ryzyko nie leży w WordPressie jako takim, tylko w tysiącach niezależnie rozwijanych wtyczek, które każdy sklep instaluje, żeby dodać funkcję niedostępną w rdzeniu.

Konkretny przykład z tego samego raportu: wtyczka WooCommerce Payments w wersjach do 5.6.1 miała lukę pozwalającą na przejęcie uprawnień administratora bez logowania. Znaleziono ją w 2023 roku, a mimo to w 2025 nadal figurowała wśród dziesięciu najczęściej wykorzystywanych podatności WordPressa, bo część sklepów nigdy nie zaktualizowała wtyczki do bezpiecznej wersji. To dobrze ilustruje ogólną zasadę: ryzyko prawie zawsze wynika z zaniedbanej aktualizacji, nie z samego mechanizmu WooCommerce. Sklep, w którym nikt nie pilnuje wersji wtyczek, jest podatny nawet dwa lata po tym, jak łatka jest publicznie dostępna.

Jak szybko ładują się sklepy na WordPressie w porównaniu z innymi platformami?

Według zestawienia Digital Applied, opartego na danych HTTP Archive i CrUX za listopad 2025, tylko 46,28% stron na WordPressie przechodzi w całości test Core Web Vitals (Digital Applied, Core Web Vitals Benchmarks 2026, publikacja 12 czerwca 2026, na bazie HTTP Archive, Core Web Vitals Technology Report). To dane uśrednione po milionach stron bardzo różnej jakości, nie sufit tego, co da się osiągnąć na dobrze utrzymanym WordPressie, ale pokazują skalę zjawiska, i to zestawienie zewnętrznej firmy analitycznej, nie surowy odczyt z panelu HTTP Archive.

Ciekawe jest to, gdzie dokładnie WordPress traci punkty:

• Interaktywność (INP) zdaje 85,89% stron: reagują na kliknięcia i dotyk szybko, to nie jest problem.
• Ładowanie (LCP) to słaby punkt, głównie przez wolny czas odpowiedzi serwera (TTFB), zanim strona w ogóle zacznie się renderować.

Dla porównania w tym samym zestawieniu: Shopify zdaje 75,22% (dane z czerwca 2025, inny miesiąc niż reszta zestawienia, co trzeba zaznaczyć jako zastrzeżenie metodologiczne), Squarespace 70,39% przy INP 95,85%, a Duda 84,87%, najwyżej z porównywanych platform. Różnica między WordPressem a tymi platformami bierze się głównie z hostingu współdzielonego i liczby doładowywanych skryptów wtyczek, nie z samego silnika strony jako takiego.

Ile kosztują wtyczki WooCommerce w skali roku?

Sam WooCommerce jest darmowy. Koszt pojawia się dopiero przy rozszerzeniach, które w wielu sklepach są koniecznością, nie dodatkiem: bez nich nie da się sprzedawać subskrypcji, rezerwować terminów czy różnicować cen ilościowych. Oficjalne ceny z woocommerce.com, sprawdzone 14 września 2026, dla ośmiu popularnych rozszerzeń:

*Przelicznik orientacyjny po kursie USD do PLN ok. 3,71 z 14 września 2026 (XE). Ceny źródłowe są w dolarach, bo WooCommerce.com rozlicza się globalnie, nie w złotówkach.

Sklep, który potrzebuje na przykład subskrypcji, rezerwacji terminów i rabatów ilościowych, płaci za te trzy rozszerzenia 607 USD rocznie, czyli około 2 250 zł, i to zanim doliczy się hosting, motyw i czas programisty na wdrożenie oraz utrzymanie każdej z nich osobno. Każde rozszerzenie ma swój własny cykl aktualizacji, który trzeba pilnować niezależnie od pozostałych, więc koszt nie kończy się na licencji.

Dlaczego aktualizacja wtyczki potrafi zepsuć sklep?

Każda wtyczka WooCommerce jest osobnym programem, napisanym przez osobny zespół, aktualizowanym według własnego harmonogramu. Sklep z sześcioma czy dziesięcioma wtyczkami ma tyle samo niezależnych punktów, w których nowa wersja jednej z nich może zderzyć się z kodem innej albo z motywem. W praktyce oznacza to, że aktualizacja wgrana w dniu promocji potrafi zablokować koszyk, zepsuć układ karty produktu albo wyłączyć bramkę płatności, zwykle bez wcześniejszego ostrzeżenia.

To nie jest usterka, którą da się raz naprawić i zapomnieć. To ryzyko wpisane w model, w którym funkcje sklepu pochodzą z dziesiątek niezależnie rozwijanych dodatków, zamiast być częścią jednego, spójnie testowanego kodu. Im więcej wtyczek, tym więcej możliwych kombinacji konfliktów, a testowanie każdej aktualizacji przed wdrożeniem na produkcję rzadko jest w praktyce robione w małych sklepach, bo wymaga osobnego środowiska testowego i czasu, którego nikt nie wycenił na starcie.

Typowy przebieg takiej awarii wygląda podobnie w wielu sklepach: autor wtyczki do płatności albo dostawy wypuszcza nową wersję, WordPress proponuje aktualizację, ktoś ją klika w przerwie między innymi obowiązkami, a chwilę później okazuje się, że koszyk przestał liczyć rabaty albo strona płatności zwraca błąd. Znalezienie przyczyny wymaga wtedy wyłączania wtyczek jedna po drugiej, aż problem zniknie, co przy sklepie z kilkunastoma aktywnymi rozszerzeniami potrafi zająć więcej czasu niż samo wdrożenie nowej funkcji.

Jak hosting wpływa na szybkość i bezpieczeństwo sklepu WooCommerce?

Tani hosting współdzielony jest najczęstszą przyczyną słabego TTFB, czyli tego samego wskaźnika, który ciągnie w dół wynik Core Web Vitals całego ekosystemu WordPressa. Serwer dzielony z setkami innych stron ma ograniczone zasoby procesora i pamięci, a każde zapytanie do bazy danych, które WooCommerce generuje przy przeglądaniu katalogu czy dodawaniu do koszyka, czeka w kolejce razem z zapytaniami sąsiadów.

Hosting wpływa też na bezpieczeństwo. Tańsze plany rzadziej mają automatyczne kopie zapasowe co kilka godzin, skanowanie złośliwego kodu czy pełną izolację między kontami na tym samym serwerze, więc włamanie na sąsiednią stronę czasem rozlewa się dalej niż powinno. Dedykowany hosting pod WooCommerce rozwiązuje część tych problemów, ale kosztuje więcej niż podstawowy pakiet współdzielony i sam w sobie nie usuwa ryzyka po stronie wtyczek, opisanego wyżej.

Co można zrobić, zostając na WooCommerce

Nie każdy sklep musi migrować, żeby ograniczyć te ryzyka. Kilka praktyk realnie obniża szansę na incydent, bez zmiany platformy:

• Aktualizować wtyczki regularnie, najlepiej w ustalonym cyklu, a nie dopiero po ostrzeżeniu o ataku.
• Ograniczyć liczbę zainstalowanych wtyczek do tych faktycznie używanych: każda nieaktywna, ale zainstalowana wtyczka wciąż jest potencjalnym wektorem ataku.
• Testować aktualizacje na kopii sklepu przed wdrożeniem na produkcję, zwłaszcza przed sezonem wyprzedaży, gdy przestój kosztuje najwięcej.
• Wybrać hosting z automatycznymi kopiami zapasowymi co kilka godzin i skanowaniem malware, nie tylko najtańszy dostępny plan.
• Włączyć uwierzytelnianie dwuskładnikowe dla panelu administracyjnego, bo znaczna część ataków celuje właśnie w przejęcie konta administratora.

Kiedy WordPress i WooCommerce wystarczą

To nie jest tekst przeciwko WordPressowi. Dla dużej części sklepów to wciąż rozsądny wybór, i warto to powiedzieć wprost:

• Prosty katalog produktów bez nietypowych mechanik sprzedaży, w standardowym modelu: dodaj do koszyka, zapłać, wyślij.
• Ciasny budżet na start i potrzeba szybkiego uruchomienia, bez tygodni projektowania.
• Dostęp do dużej puli specjalistów, którzy znają WordPress i WooCommerce, co realnie ułatwia znalezienie kogoś do utrzymania sklepu w przyszłości.
• Gotowość na regularne aktualizacje i monitoring, najlepiej w ramach stałej opieki, a nie samodzielnie i od czasu do czasu, gdy ktoś sobie przypomni.

Zdecydowana większość ryzyk opisanych wyżej wynika z nieaktualnych, nadmiarowo nagromadzonych albo źle utrzymanych wtyczek, nie z samego WooCommerce jako silnika. Sklep, który dostaje regularną opiekę: aktualizacje, kopie zapasowe, monitoring wydajności, może działać na WordPressie latami bez poważnego incydentu. Taką opiekę, także dla sklepów, które zostają na WooCommerce, opisujemy na stronie opieki i rozwoju.

Kiedy warto przejść na sklep pisany od zera

Przejście przestaje być tylko kosztem, a zaczyna być oszczędnością, gdy pojawia się kilka z poniższych sygnałów naraz:

• Sklep potrzebuje mechanik, których WooCommerce nie ma natywnie: dropów z limitem sztuk na osobę, produktów szytych na wymiar, sprzedaży miejsc na wydarzenia, prowizji dzielonej między wielu sprzedawców.
• Lista zainstalowanych wtyczek przekracza kilkanaście pozycji, a każda kolejna aktualizacja wymaga testowania całego sklepu, nie tylko jednej funkcji.
• W ostatnim roku zdarzyła się przynajmniej jedna awaria po aktualizacji albo próba włamania przez podatną wtyczkę.
• Roczny koszt licencji rozszerzeń, hostingu i czasu programisty na łatanie zaczyna się zbliżać do kosztu jednorazowego wdrożenia dedykowanego sklepu.
• Szybkość ładowania na telefonie realnie wpływa na sprzedaż, a dalsza optymalizacja WooCommerce nie daje już efektów proporcjonalnych do włożonego czasu i pieniędzy.

Jeśli rozpoznajesz swój sklep w trzech i więcej punktach z tej listy, warto policzyć realny koszt przejścia, zamiast tylko zakładać, że będzie drogo. Pełne zestawienie kosztów, od platform SaaS przez WooCommerce po sklep od zera, jest w poradniku ile kosztuje sklep internetowy. Sam proces migracji, z zachowaniem pozycji w Google, przekierowaniami i bez utraty danych klientów, opisujemy na stronie redesignu i migracji.

Co dalej

WordPress i WooCommerce to wybór z konkretnym profilem ryzyka: darmowy rdzeń, płatne i niezależnie utrzymywane rozszerzenia, a koszt utrzymania rośnie razem z liczbą funkcji, których sklep faktycznie potrzebuje. Sklep pisany od zera ma odwrotny profil: wyższy koszt startu, za to każda mechanika jest częścią jednego kodu, za który odpowiada jedna pracownia, a nie osobny autor każdej wtyczki. Pełne porównanie obu modeli pokazuje, kiedy ta różnica realnie się opłaca, a kiedy zostanie na WooCommerce jest po prostu tańsze.