Čo sa stalo
Tvorcovia WordPressu vydali koncom októbra 2026 bezpečnostnú aktualizáciu WordPress 7.1.4. Opravuje viacero chýb a najzávažnejšou je slabina v procese aktualizácie jadra, ktorá podľa výrobcu môže viesť k vzdialenému spusteniu kódu počas aktualizácie. Chybu nahlásil výskumník Umut Bayram. Má označenie CVE-2026-119977, v európskej databáze EUVD ide o EUVD-2026-114575.
Bezpečnostná firma Wordfence uviedla, že útočník na zneužitie nepotrebuje žiadny účet na webe. Musí však trafiť krátke okno, keď prebieha úplná aktualizácia jadra WordPressu. Podľa portálu The Hacker News zaznamenal Wordfence počas prvých 21 hodín po zverejnení viac ako 18 500 požiadaviek mieriacich na túto chybu a za 24 hodín zablokoval 12 632 pokusov o útok.
Americká agentúra CISA zaradila chybu 3. novembra 2026 do katalógu aktívne zneužívaných zraniteľností KEV. Ako zneužívanú ju od toho istého dňa vedie aj európska databáza EUVD agentúry ENISA. Firma Previdian podľa The Hacker News zachytila tri pokusy o zneužitie na svojich návnadových serveroch už 30. októbra 2026.
Prečo je to nebezpečné
Ide o takzvaný súbeh (race condition) typu TOCTOU, čo znamená „čas kontroly verzus čas použitia“. Pri úplnej aktualizácii si WordPress dočasne odkladá súbory nového balíka na miesto, ktoré je predvídateľné a dostupné z webu. Na krátky čas tak vznikne medzera, ktorú môže útočník bez prihlásenia využiť na spustenie vlastného kódu.
Predstavte si sťahovanie kancelárie: počas presunu stoja krabice na chodbe pri otvorených dverách. Väčšinu času sa nič nestane, no kto vie, kedy a kde budú krabice stáť, môže si v tej chvíli niečo vziať alebo podstrčiť.
Útok ide cez internet a nevyžaduje prihlásenie ani žiadnu akciu používateľa. Podmienkou je, že musí zasiahnuť práve okno aktualizácie. Ak sa podarí, útočník môže na serveri spustiť vlastný kód. Hodnotenie CVSS počíta s vysokým dopadom na dôvernosť, integritu aj dostupnosť. V praxi to môže znamenať únik údajov z webu, zmeny na webe alebo nahratie škodlivého softvéru.
Skóre závažnosti CVSS na stupnici od 0 do 10 je 8,1, teda vysoké. Pridelila ho firma Wordfence podľa CVSS 3.1. Od maxima ho delí najmä to, že útok je náročný na načasovanie.
Katalóg CISA KEV je zoznam chýb, pri ktorých má americká vláda dôkazy o skutočných útokoch. Federálne úrady v USA musia chybu opraviť do 6. novembra 2026. Či ju využívajú aj ransomvérové skupiny, CISA zatiaľ neuvádza.
EPSS je štatistický odhad pravdepodobnosti zneužitia v najbližších 30 dňoch. K 3. novembru 2026 bol 0,6 %, čo je viac ako pri približne 49 % hodnotených zraniteľností. Potvrdené útoky však majú väčšiu váhu ako tento odhad, preto sa ním neupokojujte.
Koho sa to týka
Zasiahnuté sú všetky inštalácie WordPressu od verzie 4.7 po verziu 7.1.3 vrátane. Opravu obsahuje WordPress 7.1.4 a testovacia verzia 7.2 Beta 3.
Typicky ide o firemné weby, blogy, e-shopy na WooCommerce a prezentácie organizácií na zdieľanom webhostingu, vlastnom serveri alebo VPS. Riziko sa viaže na chvíľu, keď prebieha úplná aktualizácia jadra.
Netýka sa to webov na iných redakčných systémoch. Verzie staršie ako 4.7 popis zraniteľnosti medzi dotknutými neuvádza. Tie však už bezpečnostné opravy nedostávajú, preto ich považujte za rizikové.
Ako zistiť, či ste zasiahnutí
V administrácii WordPressu otvorte Nástenka → Aktualizácie, kde je uvedená aktuálna verzia. Nájdete ju aj v pätičke administrácie vpravo dole. Ak máte prístup na server cez SSH, použite príkazy nižšie, ktoré iba čítajú údaje.
wp core version --path=/var/www/htmlBez nástroja WP-CLI zistíte verziu zo súboru wp-includes/version.php. Cestu /var/www/html v oboch príkazoch upravte podľa umiestnenia vášho webu.
grep -F '$wp_version =' /var/www/html/wp-includes/version.phpAk máte na serveri viac webov, skontrolujte každý zvlášť. Bezpečná je verzia 7.1.4 alebo novšia, prípadne opravená verzia staršej vetvy, keď ju výrobca vydá.
Ako to opraviť
Výrobca odporúča aktualizovať okamžite. Opravená je verzia WordPress 7.1.4. Opravy pre staršie vetvy až po 4.7 výrobca pripravuje a vydáva postupne, konkrétne čísla verzií v oznámení zatiaľ neuviedol. Aktívne podporovaná je vždy len najnovšia verzia.
- Zálohujte súbory webu aj databázu a overte, že sa záloha dá obnoviť.
- Aktualizujte cez Nástenka → Aktualizácie → Aktualizovať teraz, alebo na serveri príkazom
wp core update. - Po aktualizácii overte verziu príkazom
wp core versionalebo v administrácii. - Ak máte zapnuté automatické aktualizácie na pozadí, skontrolujte, že web už naozaj beží na verzii 7.1.4.
- Ak ste na staršej vetve, napríklad 6.x, ideálne prejdite na 7.1.4. Ak to kvôli doplnkom hneď nejde, sledujte vydanie opravy pre vašu vetvu.
Samostatné dočasné riešenie výrobca neuvádza, jedinou opravou je aktualizácia. Keďže chyba súvisí s priebehom aktualizácie, spustite ju čo najskôr a sledujte jej priebeh, neodkladajte ju. Pomôcť môže aj webový firewall od hostingu alebo bezpečnostný doplnok: Wordfence podľa The Hacker News tisíce takých pokusov zablokoval.
Postupujte v poradí: najprv e-shopy a weby s osobnými údajmi, potom ostatné. Hneď potom urobte kontrolu z nasledujúcej časti. Verzia 7.1.4 opravuje aj viacero chýb typu XSS, takže sa oplatí bez ohľadu na túto chybu.
Čo ak už ste mohli byť napadnutí
Podľa The Hacker News zachytila firma Previdian prvé pokusy o útok už 30. októbra 2026. Ak ste od tohto dátumu spúšťali úplnú aktualizáciu jadra na zraniteľnej verzii, web skontrolujte.
- V prístupových logoch webového servera hľadajte požiadavky na súbor
setup-config.phpv nezvyčajných cestách, najmä v čase aktualizácie. Práve na ne podľa Wordfence útoky mierili. - Neznáme administrátorské účty, zoznam vypíše
wp user list --role=administrator. - Zmenené alebo nadbytočné súbory jadra, ktoré odhalí
wp core verify-checksums. Nové súbory PHP hľadajte najmä vwp-content/uploadsawp-content/upgrade, všímajte si aj neznáme doplnky či témy. - Zmeny v
wp-config.php, neočakávané presmerovania alebo spam na webe.
zgrep -i 'setup-config\.php' /var/log/apache2/access.log* /var/log/nginx/access.log* /var/log/httpd/access_log* 2>/dev/null
wp core verify-checksums --path=/var/www/html
find /var/www/html/wp-content/uploads /var/www/html/wp-content/upgrade -name '*.php' -newermt '2026-10-30' -ls 2>/dev/nullCesty k logom a k webu upravte podľa svojho servera. Celý adresár webu príkazom find neprehľadávajte, po aktualizácii sú nové všetky súbory jadra. Ak niečo nájdete, web narýchlo neopravujte sami. Dajte ho do režimu údržby, zachovajte logy a prizvite odborníka na bezpečnostné incidenty. Ak mohol útočník vidieť osobné údaje, podľa GDPR môžete mať povinnosť nahlásiť incident dozornému úradu do 72 hodín. Po vyčistení zmeňte všetky heslá vrátane databázového a kľúče v wp-config.php.