Bezpečnostní výzkumníci odhalili v pluginu Forminator Forms kritickou zranitelnost s CVSS skóre 9,8 – prakticky nejvyšším možným hodnocením závažnosti. Chyba umožňuje neautentizovanému útočníkovi nahrát na server libovolný spustitelný soubor a získat tak plnou kontrolu nad webem. Forminator přitom používají statisíce webů po celém světě pro kontaktní formuláře, ankety a platební brány.
V čem je problém
Zranitelnost, evidovaná jako CVE-2026-15748, spočívá v nedostatečné validaci typu nahrávaných souborů ve formulářových polích pro upload. Útočník tak může obejít kontrolu přípony i MIME typu a nahrát PHP skript nebo jiný spustitelný kód přímo do struktury webu – bez nutnosti se kamkoliv přihlásit. Jakmile je soubor na serveru, stačí ho spustit přes přímý odkaz a útočník získává plný přístup k databázi, souborům i dalším částem hostingu.
Proč je to tak vážné
Formuláře typu Forminator bývají na webu vystavené veřejně a bez přihlášení – přesně to je dělá tak lákavým cílem. Kombinace masového rozšíření pluginu a triviální zneužitelnosti (útok nevyžaduje žádnou interakci uživatele ani administrátora) znamená, že jde o přesně ten typ chyby, který útočníci začnou automatizovaně skenovat během několika dnů od zveřejnění. Podobný scénář jsme letos v létě viděli u zranitelnosti wp2shell přímo v jádru WordPressu.
Co dělat, pokud plugin používáte
Nejdůležitější je okamžitě aktualizovat Forminator Forms na nejnovější opravenou verzi – autoři pluginu záplatu už vydali. Pokud aktualizace není z nějakého důvodu možná ihned, doporučuje se dočasně formuláře s možností nahrávání souborů deaktivovat nebo omezit přístup na úrovni serveru (např. blokací spouštění PHP v uploadovacím adresáři). Užitečné je také zkontrolovat logy hostingu, zda se v uplynulých dnech neobjevily podezřelé nahrávky souborů s neobvyklými příponami.
Širší souvislost: rok plný WordPress záplat
Forminator je jen poslední v řadě letošních vážných WordPress zranitelností – po kritické chybě přímo v jádru (WordPress 7.0.3, 12 oprav včetně pre-auth XSS) i po zneužívané chybě wp2shell je jasné, že pravidelná aktualizace jádra i všech pluginů přestává být „dobrým zvykem“ a stává se nutností. Automatizované skeny zranitelných webů běží prakticky nepřetržitě a čas mezi zveřejněním chyby a jejím masovým zneužitím se dál zkracuje.
Závěr
Kritická díra v tak rozšířeném pluginu, jako je Forminator, je připomínkou, že bezpečnost webu není jednorázová záležitost, ale běžící proces – aktualizace, monitoring a pravidelné audity. Nejste si jistí, jestli je váš web v pořádku a aktuální? Ozvěte se nám, rádi to prověříme.
