Jeden z nejrozšířenějších WordPress pluginů na světě má vážnou bezpečnostní chybu. All-in-One WP Migration and Backup, který na svých webech používají miliony správců pro stěhování a zálohování, obsahuje zranitelnost umožňující vzdálené spuštění kódu. Podle bezpečnostní firmy Defiant je ohroženo přes 3 miliony webů a k 3. září zůstávalo zhruba 3,2 milionu instalací bez záplaty.
Co se vlastně stalo
Chyba je vedená jako CVE-2026-19949 a má skóre závažnosti 8,8 z 10. Týká se všech verzí do 7.109 včetně. Oprava vyšla 20. srpna 2026 ve verzi 7.110, jenže část webů ji stále nemá nainstalovanou. Právě tohle zpoždění je u WordPressu klasický problém: záplata existuje, ale útočníci vědí, že spousta webů ji ještě týdny nenasadí.
Jak útok funguje
Jde o takzvanou SQL injection druhého řádu. Vstup od útočníka se nezneužije okamžitě, ale uloží se do databáze a nebezpečným se stane až později, když ho plugin znovu použije v dotazu. V tomto případě útočník odešle na veřejný příspěvek škodlivý trackback nebo komentář s adresami a zpětnými lomítky na konci. Ten se v databázi tváří nevinně.
K nákaze dojde ve chvíli, kdy správce webu provede archivaci a obnovu, tedy přesně tu činnost, kvůli které plugin instaluje. Při obnově plugin přepisuje adresy URL v obsahu, a protože vstup dostatečně neošetřuje, změní se uložený text na spustitelný SQL příkaz. Ten může vyzradit tajný klíč obnovy a útočník si pak dokáže nahrát webshell nebo škodlivý must-use plugin. Výsledkem je plné převzetí webu.
Co musí být splněno, aby útok vyšel
- útočník může odeslat komentář nebo trackback (přístup k REST API komentářů bez přihlášení),
- správce webu později provede archivaci a obnovu.
Druhá podmínka útok trochu zmírňuje, není to nákaza na jedno kliknutí. Na druhou stranu spousta webů migruje pravidelně, například při přechodu na nový hosting, do testovacího prostředí nebo při obnově po problému. A automatizované skenery umí škodlivé komentáře rozesílat hromadně a čekat.
Co udělat hned
- Aktualizujte plugin na verzi 7.110 nebo novější. Je to jediné skutečné řešení.
- Zkontrolujte komentáře a trackbacky. Podezřelé příspěvky s divnými adresami a zpětnými lomítky smažte, zvlášť pokud jste po 20. srpnu neaktualizovali a mezitím prováděli obnovu.
- Vypněte trackbacky, pokud je nepoužíváte. Většina webů z nich nemá žádný užitek a jen otevírají další cestu k útoku.
- Projděte web na známky kompromitace: neznámé soubory ve složce mu-plugins, nové administrátorské účty, cizí kód v souborech šablony.
- Nemějte plugin aktivní, když ho nepotřebujete. Migrační a zálohovací nástroje patří na web jen v době, kdy se používají.
Proč je tohle poučení pro každý web
Příběh se opakuje: kritická chyba, oprava vydaná před několika týdny a miliony webů, které stále běží se zranitelnou verzí. Za posledních pár týdnů jsme na blogu psali o chybách v Elementor Pro, Everest Forms nebo Forminatoru. Společný jmenovatel je vždy stejný, rozhodující není, jestli o chybě víte, ale jak rychle ji záplatujete.
Ruční aktualizace jednou za měsíc už dnes nestačí. Automatické aktualizace zabezpečení, monitoring zranitelností a pravidelné zálohy uložené mimo web jsou základní výbava každého profesionálně spravovaného webu. A záloha, kterou vytvoří stejný plugin, jenž je zranitelný, není žádná pojistka, proto ji ukládejte i jinam.
Závěr
Pokud používáte All-in-One WP Migration, aktualizujte ještě dnes a zkontrolujte web. Nechcete to řešit sami? Ve Full-Net Servis se o správu, aktualizace a zabezpečení vašeho WordPressu postaráme, ozvěte se nám a udělejte si s námi bezplatnou kontrolu webu.
