Většina kritických děr ve WordPressu se týká pluginů. Tentokrát je to jinak: 22. září 2026 vydal tým WordPressu bezpečnostní opravu pro samotné jádro. Chyba s označením CVE-2026-87902 má skóre 9,2 z 10 a týká se všech verzí od 4.7.0 až po 7.1.1. Jinými slovy prakticky každého WordPressu, který dnes běží na internetu.
Co se vlastně stalo
Jde o takzvané lokální vkládání souborů (local file inclusion) při výběru šablony stránky. WordPress skládá název souboru šablony z částí adresy URL, jenže ověření cesty bylo nedostatečné. Útočník, který nemusí mít žádný účet ani být přihlášený, tak může přimět web, aby načetl PHP soubor mimo složku šablon.
Samotné načtení cizího souboru ještě nemusí znamenat převzetí webu. Na serverech s určitým nastavením PHP a šablonou, která obsahuje složky s předponou page, se ale problém může vyvinout ve vzdálené spuštění kódu. To je ten nejhorší možný scénář: útočník na serveru spouští vlastní příkazy.
Které verze jsou opravené
Tým vydal opravy pro několik větví najednou, takže se dostanete k záplatě i tehdy, když z nějakého důvodu nejste na nejnovější verzi:
- větev 7.1: verze 7.1.2
- větev 7.0: verze 7.0.6
- větev 6.9: verze 6.9.9
- větev 6.8: verze 6.8.10
- větev 6.7: verze 6.7.9
- větev 6.6: verze 6.6.9
- větev 4.7: verze 4.7.37
Chybu objevil bezpečnostní výzkumník Robert Ressl a v červenci ji soukromě nahlásil přes platformu HackerOne. Ke dni vydání opravy nebyly hlášeny žádné pokusy o její aktivní zneužití. To je dobrá zpráva, ale ne důvod otálet: po zveřejnění opravy si útočníci záplatu porovnají s původním kódem a exploit bývá hotový během dnů.
Co udělat hned
1. Zkontrolujte verzi. V administraci najdete verzi v Nástěnce v sekci Aktualizace. Pokud vidíte 7.1.1 nebo nižší, aktualizujte.
2. Ověřte automatické aktualizace. Bezpečnostní opravy jádra se běžně instalují na pozadí. Na řadě webů ale bývají vypnuté, například kvůli konfiguraci hostingu nebo kvůli konstantě v souboru wp-config.php. Zkontrolujte, zda se oprava opravdu nainstalovala.
3. Zálohujte před aktualizací. Malá bezpečnostní vydání jsou nízkoriziková, ale záloha je pojistka, která stojí pár minut.
4. Zvažte doplňková opatření. Bezpečnostní firma Patchstack doporučuje vypnout nastavení PHP register_argc_argv a odstranit nepoužívané komponenty PEAR. Opravu to nenahradí, jen to na některých serverech ztíží zneužití. Jde o zásah na úrovni serveru, který patří do rukou správce hostingu.
Proč je to důležité i pro malé weby
Útoky na WordPress dnes probíhají automatizovaně. Roboti procházejí internet a zkoušejí známé zranitelnosti na tisících webů denně, bez ohledu na to, jestli jde o firemní e-shop, nebo o vizitku živnostníka. Velikost webu tu nehraje roli, rozhoduje jen to, jestli je záplata nasazená.
Chyba v jádru je navíc nepříjemná tím, že vás před ní neochrání ani opatrný výběr pluginů. Můžete používat jen prověřené doplňky a stejně být zranitelní. Proto je pravidelná správa aktualizací základ zabezpečení, ne volitelný luxus.
Závěr
Kritická chyba jádra WordPressu je připomínkou, že zabezpečení není jednorázová věc. Pokud si nejste jistí, na jaké verzi váš web běží nebo zda se aktualizace nainstalovala, ozvěte se nám. Ve Full-Net se o správu, aktualizace a zálohy WordPressu staráme, takže se nemusíte spoléhat na štěstí. Napište nám a zkontrolujeme váš web ještě dnes.
