WordPress vydal 28. októbra 2026 verziu 7.1.4, ktorá opravuje 22 bezpečnostných chýb, vrátane zraniteľnosti umožňujúcej vzdialené spustenie kódu (RCE) bez autentifikácie v procese aktualizácie. Bezpečnostné vydanie rieši aj uložený cross-site scripting (XSS), únik dát a problémy s riadením prístupu. WordPress vyzýva majiteľov webov, aby aktualizáciu nainštalovali okamžite.
Oficiálne oznámenie o vydaní pripisuje nahlásenie chyby v aktualizácii bezpečnostnému výskumníkovi Umutovi Bayramovi. Technická analýza spoločnosti Patchstack popisuje 22 zraniteľností v 17 bezpečnostných upozorneniach, čo vysvetľuje, prečo sa počet uvedených záznamov líši od celkového počtu chýb.
Vydanie viedli Aaron Jorbin a Nik Tsekouras. Na uzatvorení slabín v starších aj novších funkciách sa podieľali nezávislí výskumníci a bezpečnostný tím WordPressu.
Najzávažnejší problém tvorí race condition (súbeh), pri ktorom musí útočník zasiahnuť dočasnú inštaláciu v presne správnom okamihu. Zneužitie nevyžaduje žiadny účet vo WordPresse, ale útok závisí od krátkeho okna počas aktualizácie a od verejného prístupu k adresáru wp-content/upgrade/.
Počas aktualizácií WordPress rozbaľuje súbory práve do tohto adresára. Predtým mohli predvídateľné názvy priečinkov a čistenie, ktoré odstraňovalo index.php, odhaliť rozbalený inštalátor WordPressu. Útočník, ktorý sa k nemu počas aktualizácie dostal, mohol spustiť inštaláciu s databázou pod svojou kontrolou, čo otvára cestu k spusteniu kódu.
WordPress 7.1.4 pridáva k názvom dočasných priečinkov 16 náhodných znakov, obnovuje ochranu súborom index.php a bráni kopírovaniu súboru wp-config.php z pracovného adresára. Patchstack hodnotí zneužitie ako náročné, pretože príležitosť trvá len niekoľko sekúnd. Ide o samostatný problém, ktorý nesúvisí s predchádzajúcou zraniteľnosťou riešenia šablón v jadre WordPressu, o ktorej písal Cybersecuritynews.com.
Uložený XSS a medzery v oprávneniach
Viaceré opravy sa zameriavajú na Interactivity API, ktoré podporuje interaktívne prvky stránok. Útočníci s prístupom na úrovni Contributor mohli uložiť špeciálne upravené atribúty, ktoré prešli filtrovaním obsahu, no neskôr spustili nebezpečné akcie v prehliadači. Aktualizácia blokuje nebezpečné väzby, sprísňuje kontroly a rieši aj problém odmietnutia služby (DoS), ktorý mohol zmraziť kartu prehliadača návštevníka.
Ďalšie opravy uloženého XSS sa týkajú upraveného značenia blokov, selektívneho obnovenia v Customizeri, kategórií a popisov navigácie. Sprísnilo sa aj spracovanie obrázkov a playlistov. Uložený XSS znamená, že škodlivý skriptový obsah zostáva uložený na webe a spustí sa, keď iný používateľ otvorí dotknutý obsah.
Spoločnosť Anthropic nahlásila problémy týkajúce sa žiadostí o odstránenie osobných údajov a špeciálne upravených používateľských mien. Samostatná chyba v Customizeri odhaľovala nepublikované zmeny návštevníkom bez účtu. WordPress tiež sprísnil oprávnenia k poznámkam, takže používatelia už nemajú prístup k poznámkam pripojeným k príspevkom, ktoré nemajú oprávnenie upravovať. Tieto zmeny nadväzujú na skoršie bezpečnostné aktualizácie WordPressu, ktoré riešili podobné riziká.
Aktualizujte WordPress a skontrolujte ochranu
Správcovia môžu vydanie nainštalovať cez Nástenku, Aktualizácie a Aktualizovať teraz, alebo si stiahnuť WordPress 7.1.4 priamo. Weby s automatickými aktualizáciami na pozadí by ju mali dostať automaticky, no majitelia by si mali overiť nainštalovanú verziu a nespoliehať sa na to, že proces prebehol úspešne.
Oficiálna dokumentácia verzie uvádza opravené staršie vetvy vrátane 7.0.8, 6.9.11 a vydaní siahajúcich až po 4.7.39. Nie každá vetva obsahuje všetkých 22 chýb. Aktívne podporovaná zostáva iba najnovšia verzia WordPressu, pričom verzie 4.6 a staršie nedostávajú žiadne bezpečnostné aktualizácie.
Okrem aktualizácie Patchstack odporúča zablokovať webový prístup do wp-content/upgrade/ na úrovni webového servera a skontrolovať účty s oprávnením Contributor alebo vyšším.
Firewall v podobe pluginu pre WordPress nemusí chrániť rozbalený inštalátor, pretože táto kópia sa načíta nezávisle. Vydanie zároveň aktualizuje súčasné koreňové certifikáty po zrušení platnosti certifikátov eMudhra. WordPress 7.2 je naďalej naplánovaný na 8. decembra, ale majitelia webov by s touto bezpečnostnou aktualizáciou nemali váhať v očakávaní väčšieho vydania.
Viac informácii:
https://cybersecuritynews.com/wordpress-7-1-4-fixes-security-flaws