Oblíbený WordPress plugin Everest Forms, který používá přes 100 000 webů pro tvorbu kontaktních a objednávkových formulářů, se stal terčem nové kritické zranitelnosti. Chyba vedená jako CVE-2026-19598 umožňuje neautentizovaným útočníkům nahrát libovolný soubor a získat tak plnou kontrolu nad napadeným webem – bezpečnostní skóre CVSS 9,8 řadí problém mezi ty nejzávažnější, jaké letos WordPress komunita řešila.
V čem přesně spočívá problém
Zranitelnost se týká funkce pro nahrávání souborů ve formulářích Everest Forms. Kvůli chybějící validaci typu a obsahu nahrávaného souboru může útočník bez jakéhokoli přihlášení nahrát škodlivý PHP skript přímo na server. Jakmile je soubor jednou nahraný, stačí ho spustit přes přímý odkaz – a útočník tak získá stejná práva, jako by měl administrátor webu. Prakticky to znamená možnost mazat obsah, měnit vzhled webu, rozesílat spam, nebo web využít jako odrazový můstek k dalším útokům.
Kdo je v ohrožení
Podle dostupných dat běží zranitelná verze pluginu na desetitisících aktivních instalací. Ohroženy jsou všechny weby, které mají Everest Forms nainstalovaný a neaktualizovali na verzi 3.0.9.5 nebo novější. Riziko je o to vyšší, že formuláře bývají veřejně dostupné na hlavní stránce webu, takže útočník nemusí hledat žádný skrytý vstupní bod – stačí mu formulář, který denně vyplňují běžní návštěvníci.
Proč se podobné chyby objevují tak často
Formulářové pluginy patří dlouhodobě mezi nejrizikovější součásti WordPress ekosystému, protože ze své podstaty přijímají data od neznámých a nedůvěryhodných uživatelů – a nahrávání souborů je jednou z nejcitlivějších operací, jakou plugin může nabízet. Letos už podobný scénář postihl i konkurenční Forminator, kde chyba ohrozila přes 300 000 webů. Vzorec je stejný: masově rozšířený nástroj, funkce pro nahrávání souborů, a jedna chybějící kontrola stačí k tomu, aby se z běžného formuláře stala vstupní brána pro útočníky.
Co udělat hned teď
Pokud na svém webu používáte Everest Forms, zkontrolujte verzi pluginu v administraci a aktualizujte na 3.0.9.5 nebo vyšší. Pokud automatické aktualizace nemáte zapnuté, udělejte to ručně bez odkladu – u zranitelnosti tohoto rozsahu jde o otázku dnů, ne týdnů, než se objeví první pokusy o zneužití. Doporučujeme také zkontrolovat seznam nahraných souborů ve složce uploads, jestli tam není něco, co jste tam sami nenahráli, a projít logy webu na neobvyklou aktivitu z posledních týdnů.
Závěr
Kritické zranitelnosti formulářových pluginů se v roce 2026 staly téměř pravidelnou záležitostí – a Everest Forms je jen dalším příkladem, jak rychle se z běžné komponenty webu může stát bezpečnostní riziko. Nechcete kontrolovat verze pluginů a bezpečnostní hlášení sami? Ozvěte se nám, nastavíme vám pravidelnou správu a monitoring, díky kterým se o podobné novinky nebudete muset starat.
