Pokud je váš web na WordPressu ve verzi nižší než 7.1.4, může na něm cizí člověk bez hesla spustit vlastní kód, a to právě ve chvíli, kdy web spouští aktualizaci jádra. Chybu CVE-2026-119977 najdete podle Národní databáze zranitelností (NVD) v každé verzi WordPressu od 4.7.0 po 7.1.3. Oprava vyšla 28. října 2026 ve verzi 7.1.4.
CISA zařadila chybu 3. listopadu 2026 do katalogu aktivně zneužívaných zranitelností (KEV); NVD ji hodnotí CVSS skóre 8,1 a americké federální úřady ji musí opravit do 6. listopadu 2026. Objevil ji Umut Bayram z Picus Security a nahlásil ji přímo bezpečnostnímu týmu WordPressu.
- CVE-2026-119977 postihuje WordPress 4.7.0 až 7.1.3; oprava je ve verzi 7.1.4 z 28. října 2026.
- CISA potvrdila aktivní zneužívání a 3. listopadu 2026 chybu zařadila do katalogu KEV.
- CVSS skóre je 8,1 z 10, ale útok je těžké provést (exploitability jen 2,2 z 10).
- Verzi WordPressu ověříte za pět minut přes readme.html nebo příkaz wp core version.
- Jiná ochrana než aktualizace na 7.1.4 podle WordPress.org neexistuje.
Služba W3Techs k 5. listopadu 2026 napočítala, že WordPress pohání 39,5 % všech webů na světě a 58,2 % webů, u nichž vůbec známe redakční systém. Dotčených instalací tak může být enormní množství.
Co se v aktualizačním procesu rozbilo
Chyba je typu time-of-check, time-of-use (CWE-367): při plné aktualizaci jádra WordPress dočasně uloží nové soubory na předvídatelnou cestu, kterou vidí kdokoli na internetu. Kdo tuto cestu uhodne ve správný okamžik, může na ni nahrát a spustit vlastní kód, aniž by se kdy přihlásil. Útočník na to má jen krátké okno, dokud aktualizace běží. NVD proto říká, že útok je těžké provést, zapisuje to v CVSS vektoru jako AC:H a dává mu exploitability score jen 2,2 z 10. Impact score mu ale dává 5,9 z 10: kdo se trefí, dostane se k datům na serveru, přečte je, změní je i shodí web (C:H/I:H/A:H).
Stejná záplata v 7.1.4 mění dva soubory v jádru: třídu aktualizátoru a stránku, kde WordPress kontroluje aktualizace. Chyba tedy sedí v mechanismu, kterým se WordPress sám aktualizuje, ne v nějakém pluginu nebo šabloně.
Koho se zranitelnost týká
Týká se vás to, pokud web běží na WordPressu ve verzi 7.1.3 nebo starší, včetně všech starších větví: 4.7, 4.8, 4.9, 5.0 až 5.9, 6.0 až 6.9 a 7.0. NVD u žádné z těchto větví neuvádí samostatnou opravenou verzi. Jediná bezpečná cesta je přejít na 7.1.4.
Zeptejte se správce, pokud web provozuje agentura nebo hosting a vy sami verzi WordPressu neznáte, nebo pokud nevíte, jsou-li zapnuté automatické aktualizace jádra.
Netýká se vás to, pokud web neběží na WordPressu vůbec (jiný systém, statická stránka, vlastní aplikace), nebo pokud je verze WordPressu už 7.1.4 nebo novější.
Jak si verzi ověřit za pět minut
Ve správě webu (wp-admin) najdete číslo verze na stránce Nástroje nebo Aktualizace. Rychlejší cesta: nemusíte se ani přihlásit, v prohlížeči otevřete adresu vasewebovastranka.cz/readme.html a WordPress tam verzi ukáže veřejně. Dostanete-li se na server přes příkazovou řádku a máte WP-CLI, verzi vám řekne příkaz wp core version.
Tu samou stránku readme.html si umí přečíst i útočník a zranitelné instalace najde stejně snadno, jako vy ověřujete tu svoji. S CVE-2026-119977 to přímo nesouvisí; ten soubor tam leží ve výchozí instalaci WordPressu bez ohledu na verzi a dávno před touto chybou.
- 28. října 2026Oprava vydánaWordPress vydal verzi 7.1.4 s opravou chyby.
- 3. listopadu 2026Zařazeno do KEVCISA potvrdila aktivní zneužívání a zařadila chybu do katalogu KEV.
- 6. listopadu 2026Federální lhůtaAmerické federální úřady musí mít opravu nasazenou.
Zneužívá se to už?
CISA 3. listopadu 2026 napsala, že chybu útočníci už aktivně zneužívají, ale žádnou konkrétní ransomwarovou kampaň k ní zatím nepřiřadila: pole „known ransomware campaign use" má hodnotu Unknown. Kdo útoky vede a kolik webů už zasáhly, CISA k 5. listopadu 2026 nezveřejnila.
U amerických federálních úřadů CISA k této chybě nastavuje i pole „forensicTriage" na Yes a odkazuje je na svůj samostatný postup pro forenzní prošetření, ne jen na záplatu. Pro cloudové služby je navíc odkazuje na směrnici BOD 26-04 (Prioritizing Security Updates Based on Risk); pokud žádná záplata neexistuje, musí úřad produkt přestat používat.
Co dělat, když nemůžete aktualizovat hned
Verze 7.1.4 zároveň opravuje nejméně osm dalších chyb: několik uložených XSS zranitelností a díru, kterou šlo bez oprávnění číst nezveřejněné verze vzhledu stránek v Customizeru; navíc obnovuje sadu kořenových certifikátů, protože WordPress zneplatnil certifikát eMudhra. Čím déle počkáte, tím déle zůstanou otevřené i tyto další chyby, ne jen ta jedna.
Pokud nemůžete hned aktualizovat sami, řekněte to hostingovému správci nebo agentuře jako další krok; nečekejte na pravidelný termín. WordPress v oznámení o verzi 7.1.4 jiný způsob, jak se bránit, aniž byste aktualizovali, neuvádí.
Časté otázky
Stačí mi, že mám zapnuté automatické aktualizace jádra?
Ve většině případů ano, pokud web běží na verzi, pro kterou WordPress automatické aktualizace povoluje. Po aktualizaci si ale verzi stejně ověřte na stránce readme.html nebo v administraci: ne každá instalace má automatické aktualizace jádra zapnuté.
Provozuji starou verzi WordPressu, třeba z větve 5.x. Stačí aktualizace na poslední verzi té větve?
Ne. NVD u větví 4.7 až 7.0 neuvádí žádnou samostatně opravenou verzi. Jedinou opravenou verzí zůstává 7.1.4. Když přejdete ze staré větve, možná budete muset nejdřív ověřit, že šablona a doplňky s novou verzí fungují.
Jak dlouho trvá to zranitelné okno, kdy se jádro aktualizuje?
NVD přesnou délku v sekundách neuvádí. Jen říká, že útok je těžké provést, a v CVSS vektoru to zapisuje jako AC:H: útočník musí trefit krátký časový úsek a předvídatelnou cestu najednou.
Týká se to i webů na českém hostingu, nebo jde o americký problém?
Chyba je v jádru WordPressu samotném, ne v konkrétním hostingu. Týká se každé instalace bez ohledu na zemi. Lhůta 6. listopadu 2026 platí jen pro americké federální úřady; pro ostatní je to jen datum, od kterého CISA chybu počítá za aktivně zneužívanou, ne tvrdý termín, který by vás k něčemu zavazoval.
Co když web provozuje externí agentura?
Zeptejte se jí přímo, na jaké verzi WordPressu web běží a kdy naposledy aktualizovala jádro. Nemusíte čekat na odpověď: veřejně dostupná stránka readme.html vám verzi řekne hned.
- NVD, CVE-2026-119977: nvd.nist.gov/vuln/detail/CVE-2026-119977
- CISA, Known Exploited Vulnerabilities Catalog: cisa.gov/known-exploited-vulnerabilities-catalog
- WordPress.org, „WordPress 7.1.4": wordpress.org/news/2026/10/wordpress-7-1-4
Zranitelnost PHP2Shell: týká se vašeho webu a co udělat
PCI DSS: co to je, koho se týká a kdy firma potřebuje penetrační test
Ransomware: jak se bránit a co dělat, když udeří
