Tým WordPressu vydal 7.0.3 – bezpečnostní release, který opravuje dvanáct zranitelností napříč jádrem. Nejzávažnější z nich, CVE-2026-64638, umožňuje neautentizovaný reflected XSS útok přímo na přihlašovací obrazovce a za určitých podmínek vede až ke spuštění PHP kódu na serveru. Pokud provozujete WordPress a ještě jste neaktualizovali, měli byste to udělat co nejdřív.
Co konkrétně 7.0.3 opravuje
Vedle zmíněné XSS zranitelnosti na přihlašovací obrazovce release řeší i chybu umožňující eskalaci oprávnění na multisite instalacích – útočník s nízkými právy tak mohl za specifických okolností získat administrátorský přístup k celé síti webů. Zbytek opravených chyb tvoří několik uložených XSS zranitelností v různých částech administrace, které mohly posloužit jako vstupní bod pro útoky na přihlášené uživatele.
Proč je pre-auth XSS tak nebezpečný
To, že zranitelnost nevyžaduje přihlášení, ji řadí do nejvyšší rizikové kategorie – stačí, aby útočník poslal odkaz na přihlašovací stránku vašeho webu, a bez jakékoli interakce s běžným uživatelským účtem může vložit škodlivý skript. V kombinaci s cestou k spuštění PHP kódu jde potenciálně o plnou kompromitaci serveru, nikoli jen o kosmetický problém.
Co dělat právě teď
Většina webů na sdíleném hostingu se aktualizuje automaticky, ale spoléhat se na to je riskantní – automatické aktualizace se občas nespustí kvůli konfliktu s pluginem nebo vlastní úpravou jádra. Zkontrolujte verzi ve WP admin → Řídicí panel → Aktualizace, a pokud vidíte cokoli nižšího než 6.9.5 nebo 7.0.3, aktualizujte ručně. Zálohu udělejte i tak – je to standardní bezpečnostní hygiena, ne důsledek téhle konkrétní chyby.
Závěr
Bezpečnostní záplaty tohoto rozsahu nejsou výjimkou, ale rutinní součástí provozu WordPressu – rozdíl dělá jen to, jak rychle na ně zareagujete. Nejste si jistí, jestli je váš web v pořádku, nebo aktualizaci raději svěříte někomu jinému? Ozvěte se nám, prověříme to a postaráme se o bezpečný upgrade.
