CISA varuje: Aktívne zneužívaná zraniteľnosť WordPressu (CVE-2026-119977) vyžaduje okamžitú aktualizáciu

Americká agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) zaradila 3. novembra 2026 zraniteľnosť CVE-2026-119977 do katalógu aktívne zneužívaných zraniteľností (Known Exploited Vulnerabilities). Táto vysokozávažná chyba v jadre WordPressu umožňuje útočníkom bez prihlásenia spustiť na serveri vlastný kód. Termín na jej nápravu pre federálne agentúry je stanovený na 6. novembra 2026, čo z nej robí urgentnú hrozbu aj pre slovenské a české webové stránky.

Čo sa stalo a prečo je to urgentné

Dňa 28. októbra 2026 vydal bezpečnostný tím WordPressu aktualizáciu, ktorá opravuje 22 bezpečnostných chýb. Najvážnejšia z nich, označená ako CVE-2026-119977, má pridelené skóre CVSS 8,1 z 10.

Podľa záznamov bezpečnostných spoločností, ako je Wordfence, boli pokusy o zneužitie tejto chyby detekované už krátko po zverejnení opravy. CISA svojím alertom potvrdzuje, že nejde o teoretické riziko, ale o reálne prebiehajúce útoky. Každý web, ktorý nebol aktualizovaný na opravenú verziu, je v súčasnosti vystavený priamemu riziku prevzatia kontroly.

Čo je „race condition“ a prečo je nebezpečná

Zraniteľnosť CVE-2026-119977 je klasifikovaná ako chyba typu súbeh (angl. race condition, konkrétne CWE-367: Time-of-check Time-of-use).

Bežný používateľ si pri aktualizácii WordPressu všimne len progress bar. V zákulisí však systém rozbaľuje nové súbory jadra do dočasného, predvídateľného priečinka v adresári upgrade. Tento priečinok je počas krátkeho časového okna prístupný z webu.

Ak útočník v presnom momente, keď prebieha toto rozbaľovanie, odošle špeciálne vytvorenú požiadavku na server, môže „vyhrať súboj s časom“. Dokáže predbehnúť dokončenie bezpečnostnej kontroly a vložiť škodlivý kód, ktorý sa následne vykoná s právami webového servera (Remote Code Execution, RCE). Útočník na to nepotrebuje vaše prihlasovacie údaje ani interakciu od vás.

Ktoré verzie sú ohrozené a kde je oprava

Chyba sa nachádza priamo v jadre WordPressu. Týka sa teda každej inštalácie bez ohľadu na to, akú tému alebo pluginy používate. Ohrozené sú všetky verzie od 4.7 až po 7.1.3.

Tím WordPressu vydal opravu vo verzii 7.1.4 a ako službu používateľom ju spätne portoval aj do starších podporovaných vetiev.

Zdroj: Oficiálne bezpečnostné oznámenie WordPress.org, október 2026.

Ako si overiť a aktualizovať WordPress (Krok za krokom)

Zodpovednosť za aktualizáciu závisí od typu vášho hostingu. Väčšina spravovaných WordPress hostingov (napr. špecializované balíky) aplikuje kritické bezpečnostné záplaty automaticky v priebehu 24 až 48 hodín od ich vydania. Bežný zdieľaný hosting však zvyčajne prenáša túto zodpovednosť na samotného používateľa.

1. Overenie aktuálnej verzie

1. Prihláste sa do administrácie vášho WordPressu (vasadomena.sk/wp-admin).
2. V pravom hornom rohu obrazovky (alebo v sekcii Nástenka → Aktualizácie) skontrolujte číslo verzie.
3. Ak vidíte verziu 7.1.4 (alebo vyššiu príslušnú záplatu pre vašu vetvu), váš web je chránený.

2. Manuálna aktualizácia (ak nie je verzia aktuálna)

1. Vytvorte zálohu: Pred akoukoľvek aktualizáciou si cez hostingový panel alebo plugin (napr. UpdraftPlus) vytvorte úplnú zálohu súborov a databázy.
2. Prejdite do sekcie Nástenka → Aktualizácie.
3. Ak je k dispozícii aktualizácia jadra, kliknite na tlačidlo Aktualizovať teraz.
4. Počkajte na dokončenie procesu a skontrolujte funkčnosť webu.

3. Špecifiká slovenských a českých hostingov

Ak využívate služby ako Websupport, Wedos, Exohosting alebo Active24:

• Spravovaný WordPress hosting: Títo poskytovatelia zvyčajne aktualizujú jadro automaticky. Pre istotu však kontaktujte podporu alebo skontrolujte stav v ich zákazníckom portáli.
• Bežný zdieľaný hosting: Aktualizáciu musíte spustiť manuálne vy vyššie uvedeným postupom. Hosting vám automaticky aktualizuje len PHP, nie samotný WordPress.

Čo robiť, ak používate WordPress 4.6 alebo starší

Verzie 4.6 a staršie už dlhodobo nedostávajú bezpečnostné aktualizácie. Pre ne neexistuje žiadna záplata na CVE-2026-119977.

V tomto prípade máte dve možnosti:

1. Okamžitá migrácia: Presunúť web na moderný hosting s aktuálnym PHP a vykonať čistú inštaláciu najnovšieho WordPressu s následným importom obsahu.
2. Dočasné zmrazenie: Ak migrácia nie je možná ihneď, odpojte web od verejného internetu alebo ho chráňte prísne obmedzeným prístupom cez IP whitelist na úrovni webového servera (napr. cez .htaccess alebo firewall hostingu), kým sa nepodarí vykonať kompletný rebuild.