[{"data":1,"prerenderedAt":331},["ShallowReactive",2],{"i-lucide:menu":3,"i-lucide:x":8,"i-lucide:arrow-right":10,"blog-\u002Fblog\u002Fwordpress-7-1-4-aktualizace":12,"blog-more-\u002Fblog\u002Fwordpress-7-1-4-aktualizace":316,"i-lucide:arrow-left":329},{"left":4,"top":4,"width":5,"height":5,"rotate":4,"vFlip":6,"hFlip":6,"body":7},0,24,false,"\u003Cpath fill=\"none\" stroke=\"currentColor\" stroke-linecap=\"round\" stroke-linejoin=\"round\" stroke-width=\"2\" d=\"M4 5h16M4 12h16M4 19h16\"\u002F>",{"left":4,"top":4,"width":5,"height":5,"rotate":4,"vFlip":6,"hFlip":6,"body":9},"\u003Cpath fill=\"none\" stroke=\"currentColor\" stroke-linecap=\"round\" stroke-linejoin=\"round\" stroke-width=\"2\" d=\"M18 6L6 18M6 6l12 12\"\u002F>",{"left":4,"top":4,"width":5,"height":5,"rotate":4,"vFlip":6,"hFlip":6,"body":11},"\u003Cpath fill=\"none\" stroke=\"currentColor\" stroke-linecap=\"round\" stroke-linejoin=\"round\" stroke-width=\"2\" d=\"M5 12h14m-7-7l7 7l-7 7\"\u002F>",{"id":13,"title":14,"author":15,"body":16,"category":299,"date":300,"description":301,"draft":6,"extension":302,"meta":303,"minutes":304,"navigation":305,"path":306,"seo":307,"stem":308,"tags":309,"updated":314,"__hash__":315},"blog\u002Fblog\u002Fwordpress-7-1-4-aktualizace.md","WordPress 7.1.4: oprava 22 chyb a díra, kterou útočníci zkoušejí už teď","petr",{"type":17,"value":18,"toc":290},"minimark",[19,51,61,66,77,88,91,109,116,119,123,130,137,148,155,162,166,242,246,264,268],[20,21,22],"zkratka",{},[23,24,25,38,41,48],"ul",{},[26,27,28,29,33,34,37],"li",{},"WordPress vydal 28. října bezpečnostní verzi ",[30,31,32],"strong",{},"7.1.4",". Opravuje 22 zranitelností, z toho jednu, která za určitých podmínek dovolí spustit na serveru cizí kód ",[30,35,36],{},"bez přihlášení",".",[26,39,40],{},"Podle Wordfence útočníci tuhle chybu zkoušejí zneužít od prvních hodin po vydání: za 21 hodin zaznamenali přes 18 500 pokusů. Potvrzený úspěšný průnik zatím veřejně hlášený není.",[26,42,43,44,47],{},"Většina webů se aktualizuje sama, ale ",[30,45,46],{},"nespoléhejte na to",". Zkontrolujte, že máte 7.1.4 nebo opravenou verzi své starší řady.",[26,49,50],{},"Využijte příležitost a projděte, kdo všechno má do webu účet. Většina ostatních opravených chyb vyžaduje přihlášení.",[52,53,54,55,60],"p",{},"Před týdnem jsme psali o ",[56,57,59],"a",{"href":58},"\u002Fblog\u002Fphp2shell-zranitelnost-php-wordpress","díře PHP2Shell v samotném PHP",", kterou aktualizace WordPressu neopraví. Teď je to naopak: chyba je přímo v WordPressu a opraví ji právě jeho aktualizace. Pro majitele webu je to jednodušší situace, jen je potřeba ověřit, že k aktualizaci opravdu došlo.",[62,63,65],"h2",{"id":64},"co-se-stalo","Co se stalo",[52,67,68,69,72,73,76],{},"Ve středu ",[30,70,71],{},"28. října 2026"," vyšel WordPress 7.1.4. Je to čistě bezpečnostní verze bez nových funkcí. Podle oficiální dokumentace opravuje ",[30,74,75],{},"22 zranitelností"," a WordPress doporučuje aktualizovat okamžitě. Opravy vyšly i pro starší řady až po verzi 4.7 (například 7.0.8, 6.9.11 nebo 6.8.12). Verze 4.6 a starší už žádné opravy nedostávají.",[52,78,79,80,83,84,87],{},"Nejzávažnější z oprav se týká ",[30,81,82],{},"samotného procesu aktualizace",". Když WordPress instaluje celý nový balíček jádra, na pár vteřin rozbalí soubory do dočasné složky, na kterou jde na mnoha serverech přistoupit z internetu. Útočník, který se trefí přesně do té chvíle, se může dostat až ke spuštění vlastního kódu na serveru. Přihlášení k tomu nepotřebuje. Chybu nahlásil výzkumník Umut Bayram a bezpečnostní firma Wordfence ji hodnotí ",[30,85,86],{},"8,1 z 10 (vysoká závažnost)",". Číslo CVE v době psaní ještě nebylo přidělené.",[52,89,90],{},"Háček je v tom, že okno trvá podle laboratorních testů Wordfence jen vteřiny. Jeden náhodný pokus tedy skoro jistě neuspěje. Útočníci to ale vědí, a tak weby obcházejí opakovaně a čekají, až se aktualizace spustí:",[23,92,93,99,106],{},[26,94,95,96],{},"Wordfence nasadil ochranné pravidlo 28. října zhruba tři hodiny po vydání opravy. ",[30,97,98],{},"První zachycený útok přišel za devět minut.",[26,100,101,102,105],{},"Během prvních 21 hodin zaznamenali ",[30,103,104],{},"přes 18 500 požadavků"," na dočasné soubory instalátoru.",[26,107,108],{},"Dva největší zdroje útoků opakovaně „hlídaly\" malou skupinu webů asi 14,5 hodiny, přesně tak, jak by to vypadalo při čekání na chvíli aktualizace.",[52,110,111,112,115],{},"Důležité rozlišení: jde o ",[30,113,114],{},"pokusy o zneužití",". O potvrzeném úspěšném průniku přes tuhle chybu jsme ve zdrojích nic nenašli.",[52,117,118],{},"Zbylých 21 oprav se týká hlavně takzvaného stored XSS, kdy někdo s účtem na webu vloží do obsahu škodlivý kód a ten se spustí, až stránku otevře administrátor. Většina z nich vyžaduje účet s rolí Přispěvatel, Autor nebo Editor. Jedna chyba navíc dovolovala nepřihlášeným návštěvníkům vidět nepublikované úpravy vzhledu webu.",[62,120,122],{"id":121},"co-to-znamená-v-praxi","Co to znamená v praxi",[52,124,125,126,129],{},"Pro většinu firem je dobrá zpráva, že ",[30,127,128],{},"WordPress tyhle opravy instaluje sám",". Automatické aktualizace bezpečnostních verzí jsou ve výchozím nastavení zapnuté. Wordfence přesto výslovně doporučuje to ověřit. Automatiku totiž mohl kdysi vypnout dodavatel webu, hosting nebo některý plugin pro správu a majitel o tom vůbec nemusí vědět.",[52,131,132,133,136],{},"Druhá věc, kterou je dobré vědět: ",[30,134,135],{},"zranitelná je právě chvíle aktualizace",". To ale neznamená, že by bylo bezpečnější aktualizace odkládat. Oprava chybu odstraní a každá další instalace celé verze bez ní je stejné riziko. Kdo se aktualizací bojí, ten si web nechává otevřený déle.",[52,138,139,140,143,144,147],{},"Třetí věc se týká firem, které spoléhají na ",[30,141,142],{},"bezplatný Wordfence",". Placení zákazníci dostali ochranné pravidlo hned 28. října, uživatelé bezplatné verze ho podle Wordfence dostanou až ",[30,145,146],{},"27. listopadu"," (běžné 30denní zpoždění). Do té doby je chrání jen samotná aktualizace.",[52,149,150,151,154],{},"A čtvrtá: u zbylých chyb rozhoduje, ",[30,152,153],{},"kdo má do webu účet",". U firemních webů a e-shopů se běžně stává, že účty zůstávají bývalým zaměstnancům, externím copywriterům nebo agenturám, se kterými už roky nespolupracujete. Každý takový účet je možný vstup, třeba když jeho heslo unikne jinde.",[52,156,157,158,161],{},"Pro úplnost: e-shopy na pronajatých platformách, jako je ",[30,159,160],{},"Shopify"," nebo Shoptet, se to netýká. Týká se to webů, kde běží vlastní instalace WordPressu, včetně e-shopů na WooCommerce.",[62,163,165],{"id":164},"co-udělat-ještě-dnes","Co udělat ještě dnes",[167,168,169,190,196,205,216,226,236],"ol",{},[26,170,171,174,175,179,180,182,183,189],{},[30,172,173],{},"Zkontrolujte verzi WordPressu."," V administraci v menu ",[176,177,178],"em",{},"Nástěnka → Aktualizace",". Bezpečná je verze ",[30,181,32],{},", u starších řad odpovídající opravená verze (7.0.8, 6.9.11, 6.8.12 a další podle ",[56,184,188],{"href":185,"rel":186},"https:\u002F\u002Fwordpress.org\u002Fdocumentation\u002Fwordpress-version\u002Fversion-7-1-4\u002F",[187],"nofollow","seznamu WordPressu",").",[26,191,192,195],{},[30,193,194],{},"Pokud web aktualizaci nemá, aktualizujte."," Před tím si udělejte zálohu, nebo ověřte, že ji dělá hosting. Po aktualizaci vyzkoušejte formuláře, košík a platby.",[26,197,198,201,202],{},[30,199,200],{},"Pokud web spravuje dodavatel, napište mu."," Stačí jedna věta: ",[176,203,204],{},"„Je náš web aktualizovaný na WordPress 7.1.4 nebo opravenou verzi své řady a máme zapnuté automatické bezpečnostní aktualizace?\"",[26,206,207,210,211,215],{},[30,208,209],{},"Požádejte hosting nebo dodavatele o zablokování přístupu ke složce pro aktualizace"," (",[212,213,214],"code",{},"wp-content\u002Fupgrade",") z internetu. Je to jednorázová úprava na serveru a Wordfence ji uvádí jako doplňkovou ochranu.",[26,217,218,221,222,225],{},[30,219,220],{},"Projděte uživatele webu."," V menu ",[176,223,224],{},"Uživatelé"," smažte nebo omezte účty lidí a firem, se kterými už nespolupracujete. Administrátorů nechte co nejméně.",[26,227,228,231,232,235],{},[30,229,230],{},"Používáte Wordfence?"," Zkontrolujte, že má firewall zapnutou rozšířenou ochranu (",[176,233,234],{},"Extended Protection","). Bez ní na tenhle útok nedosáhne, protože útok míří přímo na soubor a WordPress při něm vůbec nenačte. Firewall ale aktualizaci nenahrazuje.",[26,237,238,241],{},[30,239,240],{},"Pokud jste aktualizaci měli až se zpožděním,"," projděte, jestli na webu nepřibyl neznámý administrátor, plugin nebo soubory, které tam nikdo nedával. Při podezření změňte hesla, včetně přístupů do platební brány a reklamních účtů uložených na webu.",[62,243,245],{"id":244},"jak-to-řešíme-my","Jak to řešíme my",[247,248,251,254,257],"nase-reseni",{"cta":249,"topic":250},"Objednat Rychlý sken","Rychlý sken",[52,252,253],{},"Weby, které stavíme, na WordPressu ani na PHP nestojí. Běží na moderní infrastruktuře bez serveru, který by bylo potřeba aktualizovat, takže se jich tahle chyba netýká, včetně tohoto webu.",[52,255,256],{},"Některé weby na WordPressu u klientů spravujeme a technický stav webu bereme jako součást měření. Napadený web znamená výpadek poptávek a objednávek a v horším případě i únik přístupů do reklamních účtů a analytiky.",[52,258,259,260,263],{},"Při ",[30,261,262],{},"Rychlém skenu"," zjistíme zvenčí, na čem web běží, jestli server prozrazuje zastaralou verzi PHP a jestli je web chráněný přes CDN, jako je Cloudflare. Nepotřebujeme k tomu žádné přístupy. Když narazíme na problém, navrhneme konkrétní postup a na úpravách webu se můžeme podílet. Pokud si nejste jistí, jak je na tom váš web, ozvěte se, podíváme se na to.",[62,265,267],{"id":266},"zdroje","Zdroje",[23,269,270,277,283],{},[26,271,272],{},[56,273,276],{"href":274,"rel":275},"https:\u002F\u002Fwordpress.org\u002Fnews\u002F2026\u002F10\u002Fwordpress-7-1-4\u002F",[187],"WordPress: WordPress 7.1.4 Security Release",[26,278,279],{},[56,280,282],{"href":185,"rel":281},[187],"WordPress: dokumentace verze 7.1.4 (seznam 22 oprav a opravených starších verzí)",[26,284,285],{},[56,286,289],{"href":287,"rel":288},"https:\u002F\u002Fwww.wordfence.com\u002Fblog\u002F2026\u002F10\u002Fwordpress-7-1-4-security-release-rce\u002F",[187],"Wordfence: WordPress 7.1.4 opravuje chybu při aktualizaci, pokusy o zneužití po vydání",{"title":291,"searchDepth":292,"depth":292,"links":293},"",2,[294,295,296,297,298],{"id":64,"depth":292,"text":65},{"id":121,"depth":292,"text":122},{"id":164,"depth":292,"text":165},{"id":244,"depth":292,"text":245},{"id":266,"depth":292,"text":267},"technika","2026-10-31T08:57","WordPress vydal bezpečnostní aktualizaci, která opravuje mimo jiné chybu umožňující převzít web bez přihlášení. Útočníci ji zkoušejí od prvních hodin. Vysvětlujeme, koho se to týká a co si zkontrolovat ještě dnes.","md",{},5,true,"\u002Fblog\u002Fwordpress-7-1-4-aktualizace",{"title":14,"description":301},"blog\u002Fwordpress-7-1-4-aktualizace",[310,311,312,313],"bezpečnost","WordPress","WooCommerce","aktualizace",null,"DVLsWLRKJ6o081MqyidmpSjHwMUSynNjpfOoe0OL06s",[317,324],{"path":318,"title":319,"description":320,"date":321,"category":322,"minutes":323},"\u002Fblog\u002Fchatgpt-ads-ai-upravy","ChatGPT od 30. října přepisuje vaše reklamy sám. Co se mění a jak to vypnout","OpenAI zapnulo v reklamách v ChatGPT automatické úpravy: AI může přepsat titulek a popis, přeložit text a poslat člověka na jinou stránku vašeho webu, a to bez vašeho schválení. Co přesně se mění, co zatím nevíme a co si zkontrolovat před Black Friday.","2026-11-06T15:10","ai",6,{"path":325,"title":326,"description":327,"date":328,"category":322,"minutes":323},"\u002Fblog\u002Fmeta-ai-upravy-reklam","Meta vám upravuje reklamy pomocí AI. Od 20. listopadu za výsledek ručíte vy","Meta 28. října zapíná v běžících reklamách prohlížení produktů a od 20. listopadu platí nové podmínky, podle kterých za úpravy reklam od její AI odpovídá inzerent. Co se mění, co je zatím jen hlášené a co si v reklamním účtu zkontrolovat před Black Friday.","2026-10-27T09:40",{"left":4,"top":4,"width":5,"height":5,"rotate":4,"vFlip":6,"hFlip":6,"body":330},"\u003Cpath fill=\"none\" stroke=\"currentColor\" stroke-linecap=\"round\" stroke-linejoin=\"round\" stroke-width=\"2\" d=\"m12 19l-7-7l7-7m7 7H5\"\u002F>",1793974519894]