Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Malwarebytes varuje před nárůstem webových útoků typu ClickFix na legitimních webech a zneužíváním zranitelností v technologiích jako PHP či Node.js. Společnost doporučuje aktualizovat software, ověřovat podezřelé požadavky stránek a používat bezpečnostní rozšíření i správce hesel.
Útočník pronikl na web vývojářské společnosti TeamUpdraft, která stojí za populárními zálohovacími a bezpečnostními pluginy pro WordPress. Podle zprávy mohlo dojít ke kompromitaci propojovacích klíčů nástroje UpdraftCentral, které slouží k odesílání příkazů na připojené webové stránky.
Podle zdroje obsahovaly některé stažené verze pluginu Rank Math PRO z oficiálních stránek malware. Ten v rámci útoku na dodavatelský řetězec instaloval do webů skrytá zadní vrátka.
Podle zdroje útočníci aktivně zneužívají zranitelnosti typu stored XSS ve dvou nesouvisejících doplňcích pro WordPress, Ninja Forms a WPC Product Bundles for WooCommerce. Cílem útoků je instalace zadních vrátků a vytváření podvodných administrátorských účtů.
Podle zjištění útočník kompromitoval web správce doplňku Admin Menu Editor Pro pro WordPress a distribuoval škodlivé aktualizace více než 200 zákazníkům. Tyto upravené verze vytvářely skrytý uživatelský účet a kompromitovaly zhruba 1 500 webů.
Podle zjištění útočníci aktivně zneužívají kritickou zranitelnost v prémiovém pluginu WooCommerce Wholesale Lead Capture pro WordPress. Chyba jim umožňuje nahrát do napadeného systému PHP backdoor.
Podle serveru BleepingComputer je nedávno opravená kritická zranitelnost CVE-2026-32475 v pluginu Elementor Pro pro WordPress aktivně zneužívána v útocích. Útočníci na napadené servery nahrávají webshell a spouštějí libovolné příkazy.
Výzkumníci odhalili rozsáhlou operaci StopAndProtect, která zneužívá tisíce napadených webů na redakčním systému WordPress jako řídicí a distribuční infrastrukturu. Útočníci šíří malware pomocí techniky ClickFix a podle zjištění kombinují krádeže dat s ransomwarem a dalšími škodlivými nástroji.
Podle bezpečnostních výzkumníků zasáhl ekosystém WordPress útok na dodavatelský řetězec v rámci kampaně cílící na BuddyBoss. Útočník kompromitoval distribuční kanál pluginů a témat BuddyBoss a využil jej k infikování stovek navazujících webových stránek.