Co se stalo
Tvůrci WordPressu vydali koncem října 2026 bezpečnostní aktualizaci WordPress 7.1.4. Opravuje několik chyb a nejzávažnější z nich je slabina v procesu aktualizace jádra, která podle výrobce může vést ke vzdálenému spuštění kódu během aktualizace. Chybu nahlásil výzkumník Umut Bayram. Má označení CVE-2026-119977, v evropské databázi EUVD jde o EUVD-2026-114575.
Bezpečnostní firma Wordfence uvedla, že útočník k zneužití nepotřebuje žádný účet na webu. Musí však trefit krátké okno, kdy probíhá úplná aktualizace jádra WordPressu. Podle serveru The Hacker News zaznamenal Wordfence během prvních 21 hodin po zveřejnění více než 18 500 požadavků mířících na tuto chybu a za 24 hodin zablokoval 12 632 pokusů o útok.
Americká agentura CISA zařadila chybu 3. listopadu 2026 do katalogu aktivně zneužívaných zranitelností KEV. Jako zneužívanou ji od stejného dne vede i evropská databáze EUVD agentury ENISA. Firma Previdian podle The Hacker News zachytila tři pokusy o zneužití na svých návnadových serverech už 30. října 2026.
Proč je to nebezpečné
Jde o takzvaný souběh (race condition) typu TOCTOU, tedy „čas kontroly versus čas použití“. Při úplné aktualizaci si WordPress dočasně odkládá soubory nového balíku na místo, které je předvídatelné a dostupné z webu. Na krátkou dobu tak vznikne mezera, kterou může útočník bez přihlášení využít ke spuštění vlastního kódu.
Představte si stěhování kanceláře: během přesunu stojí krabice na chodbě u otevřených dveří. Většinou se nic nestane, ale kdo ví, kdy a kde krabice budou, může si v tu chvíli něco vzít nebo podstrčit.
Útok probíhá přes internet a nevyžaduje přihlášení ani žádnou akci uživatele. Podmínkou je, že musí zasáhnout právě okno aktualizace. Pokud se podaří, útočník může na serveru spustit vlastní kód. Hodnocení CVSS počítá s vysokým dopadem na důvěrnost, integritu i dostupnost. V praxi to může znamenat únik dat z webu, změny na webu nebo nahrání škodlivého softwaru.
Skóre závažnosti CVSS na stupnici od 0 do 10 je 8,1, tedy vysoké. Přidělila ho firma Wordfence podle CVSS 3.1. Od maxima ho dělí hlavně to, že útok je náročný na načasování.
Katalog CISA KEV je seznam chyb, u kterých má americká vláda důkazy o skutečných útocích. Federální úřady v USA musí chybu opravit do 6. listopadu 2026. Zda ji využívají i ransomwarové skupiny, CISA zatím neuvádí.
EPSS je statistický odhad pravděpodobnosti zneužití v příštích 30 dnech. K 3. listopadu 2026 činil 0,6 %, což je více než u přibližně 49 % hodnocených zranitelností. Potvrzené útoky však mají větší váhu než tento odhad, proto se jím neuklidňujte.
Koho se to týká
Zasaženy jsou všechny instalace WordPressu od verze 4.7 do verze 7.1.3 včetně. Opravu obsahuje WordPress 7.1.4 a testovací verze 7.2 Beta 3.
Typicky jde o firemní weby, blogy, e-shopy na WooCommerce a prezentace organizací na sdíleném webhostingu, vlastním serveru nebo VPS. Riziko se váže na okamžik, kdy probíhá úplná aktualizace jádra.
Netýká se to webů na jiných redakčních systémech. Verze starší než 4.7 popis zranitelnosti mezi dotčenými neuvádí. Ty však už bezpečnostní opravy nedostávají, proto je považujte za rizikové.
Jak zjistit, zda jste zasaženi
V administraci WordPressu otevřete Nástěnka → Aktualizace, kde je uvedena aktuální verze. Najdete ji také v patičce administrace vpravo dole. Pokud máte přístup na server přes SSH, použijte příkazy níže, které pouze čtou údaje.
wp core version --path=/var/www/htmlBez nástroje WP-CLI zjistíte verzi ze souboru wp-includes/version.php. Cestu /var/www/html v obou příkazech upravte podle umístění vašeho webu.
grep -F '$wp_version =' /var/www/html/wp-includes/version.phpPokud máte na serveru více webů, zkontrolujte každý zvlášť. Bezpečná je verze 7.1.4 nebo novější, případně opravená verze starší větve, jakmile ji výrobce vydá.
Jak to opravit
Výrobce doporučuje aktualizovat okamžitě. Opravená je verze WordPress 7.1.4. Opravy pro starší větve až po 4.7 výrobce připravuje a vydává postupně, konkrétní čísla verzí v oznámení zatím neuvedl. Aktivně podporovaná je vždy jen nejnovější verze.
- Zazálohujte soubory webu i databázi a ověřte, že zálohu lze obnovit.
- Aktualizujte přes Nástěnka → Aktualizace → Aktualizovat nyní, nebo na serveru příkazem
wp core update. - Po aktualizaci ověřte verzi příkazem
wp core versionnebo v administraci. - Pokud máte zapnuté automatické aktualizace na pozadí, zkontrolujte, že web už opravdu běží na verzi 7.1.4.
- Pokud jste na starší větvi, například 6.x, ideálně přejděte na 7.1.4. Pokud to kvůli pluginům hned nejde, sledujte vydání opravy pro vaši větev.
Samostatné dočasné řešení výrobce neuvádí, jedinou opravou je aktualizace. Protože chyba souvisí s průběhem aktualizace, spusťte ji co nejdříve a sledujte její průběh, neodkládejte ji. Pomoci může i webový firewall od hostingu nebo bezpečnostní plugin: Wordfence podle The Hacker News tisíce takových pokusů zablokoval.
Postupujte v pořadí: nejdříve e-shopy a weby s osobními údaji, potom ostatní. Hned poté proveďte kontrolu z následující části. Verze 7.1.4 opravuje i několik chyb typu XSS, takže se vyplatí bez ohledu na tuto chybu.
Co když už jste mohli být napadeni
Podle The Hacker News zachytila firma Previdian první pokusy o útok už 30. října 2026. Pokud jste od tohoto data spouštěli úplnou aktualizaci jádra na zranitelné verzi, web zkontrolujte.
- V přístupových lozích webového serveru hledejte požadavky na soubor
setup-config.phpv neobvyklých cestách, zejména v době aktualizace. Právě na ně podle Wordfence útoky mířily. - Neznámé administrátorské účty, seznam vypíše
wp user list --role=administrator. - Změněné nebo nadbytečné soubory jádra, které odhalí
wp core verify-checksums. Nové soubory PHP hledejte hlavně vewp-content/uploadsawp-content/upgrade, všímejte si i neznámých pluginů či šablon. - Změny ve
wp-config.php, nečekaná přesměrování nebo spam na webu.
zgrep -i 'setup-config\.php' /var/log/apache2/access.log* /var/log/nginx/access.log* /var/log/httpd/access_log* 2>/dev/null
wp core verify-checksums --path=/var/www/html
find /var/www/html/wp-content/uploads /var/www/html/wp-content/upgrade -name '*.php' -newermt '2026-10-30' -ls 2>/dev/nullCesty k logům a k webu upravte podle svého serveru. Celý adresář webu příkazem find neprohledávejte, po aktualizaci jsou nové všechny soubory jádra. Pokud něco najdete, web narychlo neopravujte sami. Přepněte ho do režimu údržby, uchovejte logy a přizvěte odborníka na bezpečnostní incidenty. Pokud mohl útočník vidět osobní údaje, podle GDPR můžete mít povinnost ohlásit incident dozorovému úřadu do 72 hodin. Po vyčištění změňte všechna hesla včetně databázového a klíče ve wp-config.php.