Útočníci míří na weby s WordPressem ve chvíli, kdy se aktualizuje jádro

WordPress vydal 28. října bezpečnostní verzi 7.1.4. Oznámení k ní vypisuje třináct položek a dvanáct z nich jsou běžné opravy toho, co web ukazuje návštěvníkovi. Třináctá se liší: míří na okamžik, kdy si WordPress sám přepisuje vlastní soubory. O šest dní později ji americká agentura CISA zapsala mezi zranitelnosti, u kterých je zneužití doložené.

Slabé místo je výměna souborů, ne hotový web

Když WordPress povyšuje jádro, nestahuje jednotlivé soubory. Vezme celý balík nové verze, rozbalí si ho stranou a teprve pak ho přesune na místo. Záznam CVE-2026-119977 říká, že cesty k té odložené kopii byly předvídatelné a zároveň dosažitelné z webu. Po dobu výměny tak mohl i nepřihlášený útočník spustit na serveru vlastní kód.

Odborně je to souběh typu TOCTOU, tedy rozdíl mezi stavem, který program ověřil, a stavem, se kterým pak opravdu pracoval. Okno je krátké a hodnocení závažnosti to přiznává: složitost útoku je ve vektoru CVSS vedená jako vysoká. Zbytek vektoru příznivý není. Útok jde vést po síti, bez přihlášení a bez toho, aby mu kdokoli u webu pomohl, a dopad na důvěrnost, celistvost i dostupnost je vysoký. Výsledná známka je 8,1 z deseti.

Chybu nahlásil Umut Bayram. Firma Wordfence, která k ní jako přidělovatel vydala číslo CVE, u něj uvádí bezpečnostní společnost Picus Security. Dotčené jsou verze od 4.7 po 7.1.3, tedy všechny větve, které od WordPressu ještě dostávají bezpečnostní opravy.

Pětadvacet vydání v jeden den

Oznámení k 7.1.4 říká, že se opravy dostaly zpětně do všech takových větví. U WordPressu to sahá neobvykle hluboko: nejstarším opraveným vydáním je 4.7.39, nejnovějším 7.1.4 a dohromady jich vyšlo pětadvacet.

Jak výjimečný den to byl, ukáže seznam stabilních vydání, který WordPress sám zveřejňuje jako strojová data. Eviduje 984 vydání a u 959 z nich má značku insecure. Bez té značky zůstává přesně těch pětadvacet, která vyšla 28. října.

Od vydání opravy k federální lhůtě

datum	co se stalo
28. 10. 2026	WordPress vydal 7.1.4 a čtyřiadvacet opravných vydání starších větví
31. 10. 2026	Wordfence zveřejnil záznam CVE-2026-119977 se známkou 8,1
3. 11. 2026	CISA zařadila chybu do katalogu zneužívaných zranitelností
6. 11. 2026	lhůta, do které s ní mají americké federální úřady něco udělat

Pokusy se počítají po tisících

U svého záznamu o zranitelnosti vede Wordfence počítadlo zablokovaných pokusů. Ke 4. listopadu na něm stálo 13 537 za posledních čtyřiadvacet hodin. Je to číslo firmy, která ochranu WordPressu prodává, a platí jen pro weby s její službou. Řádově ale odpovídá tomu, proč chyba skončila v katalogu CISA.

Ten katalog měl 3. listopadu 1 767 položek. U nové položky dala CISA lhůtu do 6. listopadu, tedy tři dny, a označila ji příznakem, který podle směrnice BOD 26-04 žádá vedle záplaty i forenzní prohlídku. Úřad tedy nepočítá s tím, že by stačilo zaplátovat a jít dál.

Kolik webů se toho týká

WordPress běží podle měření W3Techs z 3. listopadu 2026 na 39,5 procenta všech webů a na 58,2 procenta těch, u kterých se dá redakční systém rozpoznat. Vlastní statistika wordpress.org k tomu přidává rozpad podle sérií: 65,8 procenta instalací je na sérii 7.1.

Kolik z nich už opravu má, se z toho grafu vyčíst nedá. Série 7.1 zahrnuje zranitelná vydání 7.1 až 7.1.3 i opravenou 7.1.4 a graf drobná vydání nerozlišuje. Weby se zapnutou aktualizací na pozadí dostaly 7.1.4 samy, protože drobná vydání se takhle rozesílají; kde ji hostitel nebo správce vypnul, čeká se na ruční zásah.

Co je v té verzi kromě toho

Zbylé položky jsou většinou uložené skriptování napříč weby, tedy chyby, při kterých se cizí kód dostane do stránky přes obsah uložený v databázi. Postihly mimo jiné bloky komentářové stránkovací navigace, blok Kategorie, bloky Playlist a obrázek a rozhraní Interactivity API. Dvě z nich oznámení připisuje společnosti Anthropic. Jedna položka opravou chyby není: 7.1.4 přebalila kořenové certifikáty kvůli odvolání certifikační autority eMudhra, tedy kvůli téže kauze, kvůli které Python zabudoval do modulu ssl seznam zakázaných klíčů.

Vydání 7.1.4 je podle oznámení krátkocyklové, tedy mimo běžný plán. Nejbližší velká verze 7.2 má vyjít 8. prosince a její beta 3 opravy už obsahuje.

Zdroje

• WordPress 7.1.4, oznámení o vydání, WordPress.org, 28. 10. 2026
• WordPress Core 4.7.0 – 7.1.3 – Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution, Wordfence Intelligence
• CVE-2026-119977, National Vulnerability Database, NIST
• Known Exploited Vulnerabilities Catalog, CISA
• Stable check, strojový seznam vydání WordPressu
• Statistics, rozpad instalací podle verzí, WordPress.org
• Usage statistics and market share of WordPress, W3Techs, 3. 11. 2026