CISA zaradila chybu vo WordPress Core medzi aktívne zneužívané zraniteľnosti
CISA eviduje CVE-2026-119977 vo WordPress Core ako aktívne zneužívanú zraniteľnosť. Oprava je vo WordPress 7.1.4, pričom pripravujú sa aj opravy pre staršie podporované vetvy.
Americká agentúra CISA zaradila 3. novembra 2026 do katalógu Known Exploited Vulnerabilities zraniteľnosť WordPress CVE-2026-119977. Zaradenie znamená, že agentúra eviduje zneužívanie zraniteľnosti v praxi. Problém sa týka jadra redakčného systému WordPress, konkrétne procesu jeho aktualizácie.
WordPress vydal bezpečnostnú verziu 7.1.4 už 28. októbra 2026 a používateľom odporučil okamžitú aktualizáciu. Canadian Centre for Cyber Security zároveň uvádza, že sú dotknuté inštalácie WordPress Core pred verziou 7.1.4.
Zraniteľnosť WordPress CVE-2026-119977 sa dá zneužiť počas aktualizácie
Podľa popisu CISA a WordPressu môže chyba počas okna aktualizácie jadra viesť k vzdialenému spusteniu kódu. Útočník by tak podľa dostupného popisu mohol vykonať kód na serveri bez prihlásenia, avšak len v čase, keď prebieha úplná aktualizácia WordPress Core.
Nejde o zraniteľnosť samostatného doplnku alebo témy, ale o problém priamo v jadre WordPressu. Riziko je vysoké najmä pre neaktualizované inštalácie, ktoré vykonávajú úplnú aktualizáciu jadra.
Oprava je vo verzii 7.1.4, staršie vetvy čakajú na backporty
Verzia WordPress 7.1.4 obsahuje opravu tejto slabiny. WordPress pri jej vydaní uviedol, že spätne pripravuje opravy aj pre podporované vetvy až po verziu 4.7. Úplný zoznam už vydaných opravených verzií pre staršie vetvy však v overenom oznámení nebol uvedený; v čase vydania 7.1.4 boli tieto backporty ešte rozpracované.
Prevádzkovatelia webov by mali overiť používanú verziu WordPressu a prejsť na 7.1.4 alebo na príslušnú opravenú verziu staršej podporovanej vetvy, keď bude dostupná. Dôležité je tiež sledovať oznámenia WordPressu pri plánovaní aktualizácií jadra.
Rozsah zneužívania zatiaľ nie je verejný
CISA pri WordPress CVE-2026-119977 potvrdzuje aktívne zneužívanie, verejne dostupné informácie však neuvádzajú konkrétne kampane, útočníkov ani napadnuté weby. Nie sú doložené ani podrobnosti o praktickej spoľahlivosti exploitácie či rozsahu prípadných kompromitácií.
Ďalšie informácie sa môžu objaviť spolu s presnými číslami opravených verzií pre staršie vetvy, technickými detailmi od WordPressu, CISA alebo bezpečnostných výskumníkov a prípadnými indikátormi kompromitácie.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – CISA uvádza CVE-2026-119977 ako známu aktívne zneužívanú zraniteľnosť a opisuje riziko neautentifikovaného spustenia kódu počas aktualizácie.
- WordPress 7.1.4 – WordPress potvrdzuje opravu slabiny v aktualizačnom procese, ktorá môže počas aktualizačného okna viesť k vzdialenému spusteniu kódu, a odporúča okamžitú aktualizáciu.
- Canadian Centre for Cyber Security: WordPress security advisory AV26-1117 – Nezávisle potvrdzuje, že CISA pridala CVE-2026-119977 do KEV 3. novembra 2026, a uvádza WordPress Core pred verziou 7.1.4 ako dotknutý.
Overené a aktualizované: 04. 11. 2026 06:20
