Používate WordPress? Potom by ste mali skontrolovať jeho verziu. Dňa 28. októbra 2026 vydal tím WordPress bezpečnostnú aktualizáciu WordPress 7.1.4, ktorá opravuje až 22 bezpečnostných nedostatkov. Niektoré z nich môžu útočníkom umožniť vykonávať škodlivý kód, manipulovať s obsahom stránky alebo získať prístup k citlivým informáciám.
Situácia je o to vážnejšia, že bezpečnostní výskumníci už zaznamenali aktívne pokusy o zneužitie jednej z opravených zraniteľností.
Kritická zraniteľnosť umožňujúca vzdialené spustenie kódu
Jedným z najzávažnejších problémov je chyba v procese aktualizácie samotného WordPressu. Ide o takzvanú Race Condition – časový konflikt, ktorý môže vzniknúť počas prípravy a inštalácie aktualizácie.
Za určitých okolností môže útočník bez prihlásenia využiť krátke časové okno počas aktualizácie a pokúsiť sa spustiť vlastný kód priamo na serveri.
Takýto útok môže mať vážne následky:
- získanie neoprávneného prístupu k serveru,
- spustenie škodlivého kódu,
- manipulácia s obsahom webovej stránky,
- potenciálne odcudzenie údajov,
- kompromitácia webovej stránky a jej databázy.
Zraniteľnosť je evidovaná pod označením CVE-2026-119977. Organizácia Wordfence jej pridelila hodnotenie CVSS 8,1 z 10.
Dôležité je, že na zneužitie chyby nie je potrebné používateľské konto. Útočník však musí trafiť veľmi krátke časové okno počas aktualizácie, preto nejde o jednoduchý útok, ktorý možno vykonať kedykoľvek.
Útoky už boli zaznamenané
Podľa bezpečnostných informácií spoločnosti Wordfence začali útočníci krátko po vydaní bezpečnostnej aktualizácie aktívne vyhľadávať zraniteľné webové stránky.
Bezpečnostné systémy zaznamenali tisíce požiadaviek smerujúcich na adresáre a súbory súvisiace s procesom aktualizácie WordPressu.
To znamená, že nejde iba o teoretickú bezpečnostnú chybu. Útočníci už aktívne skúšajú identifikovať webové stránky, na ktorých by mohli túto zraniteľnosť využiť.
Zaznamenané pokusy však automaticky neznamenajú úspešné napadnutie konkrétnej webovej stránky.
Aké verzie WordPressu sú ohrozené?
Zraniteľnosti sa týkajú viacerých vývojových vetiev WordPressu. Nestačí preto kontrolovať iba to, či máte verziu nižšiu ako 7.1.4. Aj staršie vetvy dostali samostatné bezpečnostné aktualizácie.