Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Vydavatel oznámil vydání bezpečnostní verze WordPress 7.1.4, která opravuje celou řadu zranitelností včetně vzdáleného spuštění kódu během aktualizačního procesu a četných chyb typu stored XSS. Opravy jsou zpětně portovány až po větev 4.7 a zahrnuty byly také ve verzi WordPress 7.2 Beta 3.
Ve WordPressu bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění kódu, vzdálené odepření služby a narušení důvěrnosti dat.
V jádře systému WordPress do verze 7.0.2 byla odhalena zranitelnost typu Stored XSS v komponentě Quick Edit, způsobená nedostatečným ošetřením zobrazovaných jmen uživatelů (CVE-2026-114570, CVSS 4.9). Podle bezpečnostního oznámení mohou přihlášení útočníci s oprávněním Contributor a vyšším vložit škodlivé skripty, které se spustí při návštěvě administrace uživatelem s vyššími právy, přičemž problém se týká webů s velkým množstvím uživatelů.
Verze WordPress 7.1.3 přináší sedm bezpečnostních oprav a čtyři opravy chyb, včetně řešení zranitelností typu stored XSS, DoS nebo second-order SQL injection. Vzhledem k bezpečnostnímu charakteru vydání zdroj doporučuje weby neprodleně aktualizovat.
Ve WordPressu bylo objeveno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené vyvolání odepření služby a narušení důvěrnosti či integrity dat.
Kritická zranitelnost typu 'path traversal' v jádře WordPress (CVE-2026-87902) ve verzích 4.7 až 7.1.1 umožňuje neautentizovanému útočníkovi načíst lokální PHP soubor mimo adresáře aktivního tématu. Za specifických podmínek může vést ke vzdálenému spuštění kódu a podle zdrojů je již aktivně zneužívána v praxi.
Podle zdroje umožňuje zranitelnost typu cross-site request forgery (CSRF) v doplňku Elementor pro WordPress neautentizovanému útočníkovi vytvářet administrátorské účty.
Podle italského CSIRT jsou k dispozici koncepty kódů (PoC) pro zneužití tří zranitelností v jádře WordPress Core. Tyto chyby již byly výrobcem opraveny.
WordPress ve verzi 7.1.1 opravuje 11 bezpečnostních chyb v jádře, včetně stored XSS, path traversalu či neautorizované instalace motivu vedoucí k RCE. Bezpečnostní opravy vyšly i pro starší podporované větve a WordPress doporučuje okamžitou aktualizaci.
Podle zdroje byly zveřejněny technické podrobnosti a funkční koncept exploitu pro novou CSRF zranitelnost ve WordPressu označovanou jako 'Click2Shell'. Tato chyba postihuje přímo jádro platformy WordPress.
Ve WordPressu bylo odhaleno několik zranitelností. Podle CERT-FR mohou útočníkům umožnit narušení důvěrnosti dat, provedení vzdáleného Cross-Site Scriptingu (XSS) a obcházení bezpečnostních zásad.
Podle italského CSIRT byly v motivu Design Scuole Italia pro WordPress zjištěny čtyři zranitelnosti, z nichž dvě mají vysokou závažnost. Útočník by jejich zneužitím mohl číst libovolné soubory na souborovém systému, obejít autentizační mechanismy a získat přístup k citlivým informacím.
Podle serveru BleepingComputer je nedávno opravená kritická zranitelnost CVE-2026-32475 v pluginu Elementor Pro pro WordPress aktivně zneužívána v útocích. Útočníci na napadené servery nahrávají webshell a spouštějí libovolné příkazy.
Podle zjištění zranitelnost typu SQL injection v pluginu All-in-One WP Migration and Backup pro WordPress umožňuje neautentizovaným útočníkům vzdálené spuštění kódu. Útočníci tak mohou získat plnou kontrolu nad zasaženými weby.
Bezpečnostní výzkumníci zjistili pět kritických zranitelností v populárních WordPressových pluginech a motivech (WPMU DEV Dashboard, Avada, TranslatePress, Pods a GiveWP), které by mohly umožnit útočníkům neoprávnený přístup, převzetí účtu či vzdálené spuštění kódu. Zdroj uvádí, že jsou dostupné oficiální opravy a všechny chyby mají hodnotu CVSS 9,8 nebo 10,0.
Podle NCSC-FI byly v praxi pozorovány pokusy o zneužití zranitelností CVE-2026-61979 a CVE-2026-15981 v doplňku miniOrange SAML SSO pro WordPress. Jejich řetězením může útočník obejít ověřování pravosti, přičemž k dispozici je oficiální oprava.