WordPress opravuje kritickou chybu, která umožňovala útočníkům ovládnout weby

WordPress v pátek vydal nouzové bezpečnostní aktualizace, které uzavírají kritickou zranitelnost umožňující vzdálené spuštění kódu (RCE) bez nutnosti autentizace. Ta umožňuje anonymnímu útočníkovi převzít plnou kontrolu nad jakoukoli výchozí instalací WordPressu pomocí jediného požadavku HTTP.

Zranitelnost

Verze 7.0.2 a 6.9.5, vydané 17. července 2026, řeší chybu sledovanou pod označením CVE-2026-63030, kterou výzkumníci, kteří ji objevili, nazvali "wp2shell". Zranitelnost řetězí chybu ve směrování dávkových požadavků REST API s SQL injekcí, čímž dosahuje neautentizovaného RCE – nejzávažnější třídy webových zranitelností – a nevyžaduje přihlášení, žádnou speciální konfiguraci ani pluginy.nebula+3

Chyba postihuje WordPress ve verzích 6.9.0 až 6.9.4 a 7.0.0 až 7.0.1. Související, ale méně závažný problém s SQL injekcí, CVE-2026-60137, postihuje verze od 6.8 výše a je opraven ve verzi 6.8.6. Verze starší než 6.8 nejsou ani jedním z těchto problémů ovlivněny.aikido+2

Podle příspěvku na blogu Cloudflare ↘ 10.51% zveřejněného v pátek je RCE zneužitelné, "pokud není používána trvalá mezipaměť objektů", což je podmínka platná pro většinu standardních instalací WordPressu. Bezpečnostní tým WordPressu informoval Cloudflare o zranitelnostech ještě před veřejným vydáním, což společnosti umožnilo nasadit ochranu WAF v 17:03 UTC.cloudflare

Zmírnění a reakce

WordPress.org aktivoval vynucené automatické aktualizace pro postižené weby, ačkoliv instalace s vypnutými automatickými aktualizacemi nebo prostředí řízená verzemi nemusí záplatu obdržet automaticky. Oficiální oznámení WordPressu označilo chybu za "nejzávažnější problém s nejvyšší prioritou" v historii organizace.wordpress+2

Pro weby, které nemohou okamžitě aktualizovat, bezpečnostní týmy doporučují zablokovat na úrovni WAF jak `/wp-json/batch/v1`, tak formu s řetězcem dotazu `?rest_route=/batch/v1`. Zablokování pouze hezké trvalé cesty ponechává alternativní cestu otevřenou.nebula+1

Paradox open-source

Protože je WordPress open-source, veřejný archiv oprav činí záplatu – a potažmo i návod k chybě – okamžitě dostupnou jak obráncům, tak útočníkům. V době zveřejnění nebylo hlášeno žádné zneužití, ale bezpečnostní výzkumníci poznamenali, že u RCE zranitelností v jádru "hodiny znamenají víc než dny". WordPress pohání odhadem 40 procent všech webových stránek, což činí období mezi dostupností záplaty a jejím plošným nasazením dobou akutního rizika pro neaktualizované instalace.nebula