WordPress 7.1.4: ověřte, že má váš web bezpečnostní opravu

1Co se stalo

Tým WordPressu vydal 28. října 2026 bezpečnostní verzi 7.1.4. Opravuje 22 zranitelností. Většina z nich se dá zneužít jen s přihlášeným účtem, obvykle s rolí Přispěvatel nebo vyšší. Jedna je ale vážnější: za určitých podmínek umožňuje spustit na serveru cizí kód bez přihlášení. Chyba dostala označení CVE-2026-119977. Bezpečnostní firma Wordfence ji hodnotí jako vysoce závažnou, tým WordPressu jako málo závažnou.

Chyba se týká průběhu aktualizace samotného WordPressu. Útočník musí trefit krátké časové okno, kdy aktualizace běží a dočasné soubory jsou dostupné z internetu. Zneužít ji tedy není snadné. I tak ji útočníci začali zkoušet během několika hodin po vydání opravy. Wordfence během prvních 21 hodin zaznamenal přes 18 500 podezřelých požadavků. Zatím nebylo zveřejněno žádné potvrzené napadení webu, s aktualizací ale nečekejte.

2Týká se to i vašeho webu?

Pokud máte web nebo e-shop na WordPressu, včetně WooCommerce, pak ano. Chyba je v jádru WordPressu, ne v šabloně ani v pluginu. Zranitelné jsou všechny verze až po 7.1.3.

Opravu dostaly i starší řady. Kromě verze 7.1.4 jsou bezpečné například verze 7.0.8, 6.9.11, 6.8.12, 6.7.11 nebo 6.6.11. Pro každou řadu od 4.7 výš existuje opravená verze. WordPress 4.6 a starší už opravy nedostávají a takový web je potřeba aktualizovat na podporovanou verzi. Plnou podporu má ale jen nejnovější verze.

3Kdo má aktualizaci na starosti

Weby, které mají zapnuté automatické aktualizace jádra, by měly opravu dostat samy. Bezpečnostní firmy ale doporučují nespoléhat se na to a ověřit si, že aktualizace opravdu proběhla. Na webech s vypnutými automatickými aktualizacemi zůstává chyba otevřená, dokud ji někdo nenainstaluje ručně. Kdo co řeší, záleží na tom, jak je web spravovaný:

Jak je web spravovaný	Kdo aktualizuje	Co máte udělat vy
Spravujete si ho sami	Vy	Aktualizovat v administraci a ověřit číslo verze.
Máte smlouvu o správě s dodavatelem	Dodavatel	Vyžádat si potvrzení, že je aktualizace hotová, a zeptat se na zablokování adresáře popsaného níže.
Máte spravovaný hosting pro WordPress	Obvykle poskytovatel	Ověřit verzi v administraci a sledovat oznámení poskytovatele.

4Jak ověřit, že je web v pořádku

Přihlaste se do administrace a otevřete Nástěnka → Aktualizace. Uvidíte tam aktuální verzi WordPressu a případnou nabídku aktualizace. Číslo verze najdete i v sekci Nástroje → Stav webu → Informace. Pokud vidíte 7.1.4 nebo opravenou verzi své řady, oprava je nasazená.

Bezpečnostní firma Patchstack doporučuje ještě jeden krok, který udělá správce serveru nebo hostingu. Jde o zablokování přístupu z internetu do adresáře wp-content/upgrade, který WordPress používá během aktualizací. Bezpečnostní plugin ve WordPressu na to podle ní nestačí. Zablokování má být přímo v nastavení webového serveru.

Zkontrolovat číslo verze zabere minutu. Je to nejrychlejší způsob, jak zjistit, jestli se vás chyba ještě týká.

Pokud používáte bezplatnou verzi pluginu Wordfence, počítejte s tím, že ochranu proti této chybě dostanete až 27. listopadu. Platící zákazníci ji mají od 28. října. Bezpečnostní firmy navíc uživatelům Wordfence doporučují zapnout rozšířenou ochranu (Extended Protection). Firewall je ale jen pojistka, aktualizaci nenahradí.

Využijte příležitost i k úklidu účtů. Většinu z 22 opravených chyb může zneužít jen přihlášený uživatel. Projděte si proto seznam uživatelů a odeberte účty bývalých zaměstnanců, externistů a všech, kdo už k webu přístup nepotřebují.

5Jak zjistit, jestli byl web napaden

Protože pokusy o útok začaly krátce po zveřejnění opravy, vyplatí se u webu, který běžel na neopravené verzi, ověřit, že je čistý. Bezpečnostní firmy doporučují všímat si hlavně těchto signálů:

• nových administrátorských účtů, které nikdo nezakládal,
• pluginů, které jste neinstalovali,
• neznámých souborů PHP na serveru,
• požadavků na soubory v adresáři wp-content/upgrade v záznamech serveru.

Mimo dobu aktualizace má podle Patchstacku adresář wp-content/upgrade obsahovat jen soubor index.php. Záznamy serveru a obsah adresářů posoudí správce serveru nebo hostingu. Pokud najdete něco podezřelého, nechte web prověřit, obnovte ho ze zálohy pořízené před 28. říjnem, hned poté ho aktualizujte na opravenou verzi a změňte hesla i přístupové klíče k napojeným službám. Pokud web zpracovává osobní údaje zákazníků a útočník k nim mohl získat přístup, myslete i na GDPR. Únik osobních údajů je obvykle potřeba ohlásit Úřadu pro ochranu osobních údajů do 72 hodin od chvíle, kdy se o něm dozvíte.

Shrnutí

WordPress 7.1.4 opravuje 22 chyb, z nichž jednu útočníci aktivně zkoušejí zneužít. Ověřte v administraci, že web běží na verzi 7.1.4 nebo na opravené verzi své řady. Požádejte správce serveru o zablokování přístupu z internetu do adresáře wp-content/upgrade a projděte si uživatelské účty. Pokud máte WordPress 4.6 nebo starší, naplánujte přechod na podporovanou verzi.

Nevíte, kdo se o váš web stará, nebo si chcete nechat aktualizaci ověřit? Napište nám a podíváme se na to s vámi.

Zdroje

• WordPress.org: Version 7.1.4 (anglicky)
• Patchstack: WordPress 7.1.4 Security Release (anglicky)
• SecurityOnline: WordPress Core Vulnerability Exploited in the Wild (anglicky)
• GBHackers: WordPress 7.1.4 Fixes 22 Security Vulnerabilities, Including RCE Flaw Under Active Attack (anglicky)
• Brandefense: WordPress 7.1.4 Security Update (anglicky)
• Rescana: WordPress Core 7.1.4 Fixes an Unauthenticated Upgrade-Window Race RCE (CVE-2026-119977). Update and Block wp-content/upgrade/ (anglicky)