WordPress CVE-2026-119977: chyba při aktualizaci jádra se zneužívá, CISA ji zařadila do KEV

Americký úřad CISA 3. listopadu 2026 přidal do katalogu zneužívaných zranitelností chybu CVE-2026-119977 v jádru WordPressu. Týká se okamžiku aktualizace a umožňuje spuštění kódu na serveru, oprava je ve verzi 7.1.4.

CISA 3. listopadu 2026 přidala do katalogu známých zneužívaných zranitelností (KEV) chybu CVE-2026-119977 v jádru WordPressu. Jde o souběh operací typu time-of-check time-of-use. Katalog je přitom doklad toho, že útoky na ni už probíhají v praxi, nejde jen o teoretické riziko.

Podle bezpečnostních analýz funguje útok během aktualizace jádra. WordPress při ní rozbalí nové soubory do složky pod wp-content/upgrade, jejíž název se dá odhadnout. Útočník, který tuto cestu zná a trefí krátké okno během aktualizace, může podle popisů dosáhnout spuštění vlastního PHP kódu bez přihlášení. Zdroje se liší v tom, jak snadné to je: některé uvádějí vysokou složitost útoku a nutnost, aby byla složka dostupná přes web.

Opravu přináší WordPress 7.1.4, vydaný 28. října 2026. Podle dostupných zpráv obsahuje i opravy dalších chyb, jejich počet se ale v různých zdrojích liší, proto ho neuvádíme. Bezpečnostní firmy zároveň hlásí první pokusy o zneužití během několika hodin po zveřejnění. Konkrétní počty pokusů se v jednotlivých zprávách výrazně liší, takže je berte jen jako signál, že skenování probíhá ve velkém.

Praktické doporučení je shodné: aktualizovat na 7.1.4 nebo novější a zakázat přístup k adresáři wp-content/upgrade/ přímo z webu na úrovni webového serveru. Po aktualizaci stojí za to projít server a hledat neznámé soubory PHP ve složkách WordPressu, protože aktualizace nezruší případné napadení, které proběhlo dříve.