WordPress: útočníci zneužívají chybu v aktualizaci jádra

Co se stalo

WordPress je nejrozšířenější systém pro správu webů, běží na něm i velká část českých a slovenských firemních webů, blogů a e-shopů (WooCommerce). Chyba CVE-2026-119977 se týká samotného jádra, ne jen některého pluginu.

Podle záznamu v NVD jde o to, že WordPress při úplné aktualizaci jádra ukládá dočasné soubory na předvídatelné místo dostupné z webu. Útočník bez přihlášení toho může využít a během aktualizace spustit na serveru vlastní kód. Tým WordPressu chybu popisuje jako slabinu v procesu aktualizace, která může vést ke spuštění kódu „během okna aktualizace“.

Zařazení do katalogu KEV znamená, že CISA má doklady o skutečném zneužívání. Zda chybu využívají i skupiny s ransomwarem, CISA zatím neuvádí.

Koho se to týká

Každého, kdo provozuje web na WordPressu ve verzi 4.7 až 7.1.3 – firmy, obce, spolky i jednotlivce. Návštěvníci webů nic dělat nemusí, jednat musí provozovatel webu nebo jeho správce či webová agentura.

Opravené verze podle NVD (stačí mít alespoň tu ze své řady):

WordPress připomíná, že plně podporovaná je jen nejnovější verze. Opravy pro starší řady jsou nouzové řešení, ne důvod na staré verzi zůstávat.

Co udělat

1. Zjistěte verzi. V administraci otevřete Nástěnka → Aktualizace – verze je uvedená nahoře. Pokud web spravuje někdo jiný, zeptejte se ho ještě dnes.
2. Aktualizujte. Na stejné stránce klikněte na Aktualizovat nyní. Weby se zapnutými automatickými aktualizacemi se podle WordPressu začnou aktualizovat samy – přesto ověřte, že se to opravdu stalo.
3. Před aktualizací si udělejte zálohu souborů i databáze (u většiny hostingů jde zálohu stáhnout v administraci hostingu).
4. Starou řadu nahraďte aktuální. Pokud máte verzi 4.x nebo 5.x, oprava vás teď ochrání, ale dlouhodobě je bezpečná jen nejnovější verze.
5. Prověřte, že web už napadený není. CISA americkým úřadům ukládá u této chyby i forenzní prověrku. Obecně se vyplatí zkontrolovat:
   • seznam uživatelů – nejsou tam neznámé účty s rolí Administrátor?
   • nedávno změněné nebo nové soubory, hlavně soubory .php ve složce wp-content/uploads, kde být nemají,
   • neznámé pluginy a nečekané přesměrování návštěvníků jinam.
6. Při podezření na napadení změňte hesla do administrace, k databázi i FTP/SSH hostingu a obraťte se na správce nebo hosting. Pokud mohlo dojít k úniku osobních údajů (třeba zákazníků e-shopu), zvažte povinnosti podle GDPR, včetně ohlášení Úřadu pro ochranu osobních údajů.

Aktualizace

• 6. 11. 2026 – první verze článku.