Technika
WordPress 7.1.4: oprava 22 chyb a díra, kterou útočníci zkoušejí už teď
WordPress vydal bezpečnostní aktualizaci, která opravuje mimo jiné chybu umožňující převzít web bez přihlášení. Útočníci ji zkoušejí od prvních hodin. Vysvětlujeme, koho se to týká a co si zkontrolovat ještě dnes.
Petr Klein5 min čtení
Před týdnem jsme psali o díře PHP2Shell v samotném PHP, kterou aktualizace WordPressu neopraví. Teď je to naopak: chyba je přímo v WordPressu a opraví ji právě jeho aktualizace. Pro majitele webu je to jednodušší situace, jen je potřeba ověřit, že k aktualizaci opravdu došlo.
Co se stalo
Ve středu 28. října 2026 vyšel WordPress 7.1.4. Je to čistě bezpečnostní verze bez nových funkcí. Podle oficiální dokumentace opravuje 22 zranitelností a WordPress doporučuje aktualizovat okamžitě. Opravy vyšly i pro starší řady až po verzi 4.7 (například 7.0.8, 6.9.11 nebo 6.8.12). Verze 4.6 a starší už žádné opravy nedostávají.
Nejzávažnější z oprav se týká samotného procesu aktualizace. Když WordPress instaluje celý nový balíček jádra, na pár vteřin rozbalí soubory do dočasné složky, na kterou jde na mnoha serverech přistoupit z internetu. Útočník, který se trefí přesně do té chvíle, se může dostat až ke spuštění vlastního kódu na serveru. Přihlášení k tomu nepotřebuje. Chybu nahlásil výzkumník Umut Bayram a bezpečnostní firma Wordfence ji hodnotí 8,1 z 10 (vysoká závažnost). Číslo CVE v době psaní ještě nebylo přidělené.
Háček je v tom, že okno trvá podle laboratorních testů Wordfence jen vteřiny. Jeden náhodný pokus tedy skoro jistě neuspěje. Útočníci to ale vědí, a tak weby obcházejí opakovaně a čekají, až se aktualizace spustí:
- Wordfence nasadil ochranné pravidlo 28. října zhruba tři hodiny po vydání opravy. První zachycený útok přišel za devět minut.
- Během prvních 21 hodin zaznamenali přes 18 500 požadavků na dočasné soubory instalátoru.
- Dva největší zdroje útoků opakovaně „hlídaly" malou skupinu webů asi 14,5 hodiny, přesně tak, jak by to vypadalo při čekání na chvíli aktualizace.
Důležité rozlišení: jde o pokusy o zneužití. O potvrzeném úspěšném průniku přes tuhle chybu jsme ve zdrojích nic nenašli.
Zbylých 21 oprav se týká hlavně takzvaného stored XSS, kdy někdo s účtem na webu vloží do obsahu škodlivý kód a ten se spustí, až stránku otevře administrátor. Většina z nich vyžaduje účet s rolí Přispěvatel, Autor nebo Editor. Jedna chyba navíc dovolovala nepřihlášeným návštěvníkům vidět nepublikované úpravy vzhledu webu.
Co to znamená v praxi
Pro většinu firem je dobrá zpráva, že WordPress tyhle opravy instaluje sám. Automatické aktualizace bezpečnostních verzí jsou ve výchozím nastavení zapnuté. Wordfence přesto výslovně doporučuje to ověřit. Automatiku totiž mohl kdysi vypnout dodavatel webu, hosting nebo některý plugin pro správu a majitel o tom vůbec nemusí vědět.
Druhá věc, kterou je dobré vědět: zranitelná je právě chvíle aktualizace. To ale neznamená, že by bylo bezpečnější aktualizace odkládat. Oprava chybu odstraní a každá další instalace celé verze bez ní je stejné riziko. Kdo se aktualizací bojí, ten si web nechává otevřený déle.
Třetí věc se týká firem, které spoléhají na bezplatný Wordfence. Placení zákazníci dostali ochranné pravidlo hned 28. října, uživatelé bezplatné verze ho podle Wordfence dostanou až 27. listopadu (běžné 30denní zpoždění). Do té doby je chrání jen samotná aktualizace.
A čtvrtá: u zbylých chyb rozhoduje, kdo má do webu účet. U firemních webů a e-shopů se běžně stává, že účty zůstávají bývalým zaměstnancům, externím copywriterům nebo agenturám, se kterými už roky nespolupracujete. Každý takový účet je možný vstup, třeba když jeho heslo unikne jinde.
Pro úplnost: e-shopy na pronajatých platformách, jako je Shopify nebo Shoptet, se to netýká. Týká se to webů, kde běží vlastní instalace WordPressu, včetně e-shopů na WooCommerce.
Co udělat ještě dnes
- Zkontrolujte verzi WordPressu. V administraci v menu Nástěnka → Aktualizace. Bezpečná je verze 7.1.4, u starších řad odpovídající opravená verze (7.0.8, 6.9.11, 6.8.12 a další podle seznamu WordPressu).
- Pokud web aktualizaci nemá, aktualizujte. Před tím si udělejte zálohu, nebo ověřte, že ji dělá hosting. Po aktualizaci vyzkoušejte formuláře, košík a platby.
- Pokud web spravuje dodavatel, napište mu. Stačí jedna věta: „Je náš web aktualizovaný na WordPress 7.1.4 nebo opravenou verzi své řady a máme zapnuté automatické bezpečnostní aktualizace?"
- Požádejte hosting nebo dodavatele o zablokování přístupu ke složce pro aktualizace (
wp-content/upgrade) z internetu. Je to jednorázová úprava na serveru a Wordfence ji uvádí jako doplňkovou ochranu. - Projděte uživatele webu. V menu Uživatelé smažte nebo omezte účty lidí a firem, se kterými už nespolupracujete. Administrátorů nechte co nejméně.
- Používáte Wordfence? Zkontrolujte, že má firewall zapnutou rozšířenou ochranu (Extended Protection). Bez ní na tenhle útok nedosáhne, protože útok míří přímo na soubor a WordPress při něm vůbec nenačte. Firewall ale aktualizaci nenahrazuje.
- Pokud jste aktualizaci měli až se zpožděním, projděte, jestli na webu nepřibyl neznámý administrátor, plugin nebo soubory, které tam nikdo nedával. Při podezření změňte hesla, včetně přístupů do platební brány a reklamních účtů uložených na webu.