WordPress 7.1.2: kritická zraniteľnosť jadra, ktorú útočníci už zneužívajú

WordPress 7.1.2 zraniteľnosť CVE-2026-87902 je kritická chyba v jadre WordPressu, ktorú WordPress opravil 22. septembra 2026 vo verzii 7.1.2. Útočník sa pri nej nemusí prihlásiť. Podvrhnutou požiadavkou vie prinútiť výber šablóny stránky, aby načítal iný PHP súbor na serveri, a keď server a téma spĺňajú podmienky, spustí vlastný kód. Zasiahnuté sú verzie 4.7.0 až 7.1.1 a oprava vyšla pre všetky vetvy až po 4.7. Patchstack už zaznamenal aktívne zneužívanie vrátane zápisu súborov na disk. Aktualizujte ešte dnes.

Tento článok je akčný postup pre majiteľov a správcov webov: čo chyba robí, ako zistíte svoju verziu, ako aktualizovať bez rozbitia webu, ako hľadať stopy útoku a čo robiť, ak aktualizácia hneď nejde. Všeobecné zásady ochrany nájdete v našom 10-bodovom checkliste bezpečnosti WordPress webu, tu riešime iba túto konkrétnu chybu.

Čo je WordPress 7.1.2 zraniteľnosť CVE-2026-87902

Ide o path traversal pri výbere šablóny stránky, ktorý vedie k vloženiu lokálneho PHP súboru (local file inclusion) a za určitých podmienok k vzdialenému spusteniu kódu (RCE).

Keď WordPress zobrazuje stránku, funkcia get_page_template() skladá zoznam kandidátov na súbor šablóny. Podľa technickej analýzy Patchstack sa jeden z kandidátov skladal z parametra pagename, ktorý prichádza priamo z požiadavky, a na rozdiel od susednej vetvy kódu neprechádzal kontrolou validate_file(). Zakódovaná sekvencia na presun o priečinok vyššie tak prešla až do cesty k súboru a WordPress mohol vložiť PHP súbor mimo priečinkov aktívnej témy.

Oficiálny bezpečnostný advisory GHSA-7hp8-65ch-5whp hodnotí chybu ako kritickú so skóre CVSS 4.0 9.2 a zaraďuje ju pod CWE-98. Aby útočník dosiahol spustenie vlastného kódu, musia platiť dve podmienky:

• Téma má priečinok začínajúci na page-: aktívna rodičovská alebo podradená (child) téma obsahuje v koreni priečinok, ktorého názov začína na page-, napríklad page-templates. Advisory menovite uvádza staršie predvolené témy Twenty Twelve a Twenty Fourteen a populárne témy tretích strán Neve, Hestia a Sydney.
• Na serveri je vhodný PHP súbor: útočníci siahajú po známom súbore pearcmd.php z balíka PEAR, ktorý sa dá zneužiť, keď má PHP zapnuté nastavenie register_argc_argv. Podľa advisory to platí pre oficiálny Docker obraz php a pre predvolenú konfiguráciu cPanel s PHP starším ako 8.5.

Ak téma prvú podmienku spĺňa, vloženie súboru bez prihlásenia funguje. Či útočník spustí aj vlastný kód, závisí od servera. Patchstack preto odporúča brať chybu ako kritickú, kým si vlastné prostredie neoveríte. Oprava vo verzii 7.1.2 má dve časti: doplnila chýbajúcu kontrolu validate_file() a pridala novú kontrolu, podľa ktorej musí každá výsledná cesta k šablóne ležať v povolenom priečinku témy. Bezpečnostný tím tak podľa Patchstack neriešil jednu chybu, ale celú triedu problémov.

Koho sa WordPress 7.1.2 zraniteľnosť týka a ktoré verzie sú opravené

Zasiahnutý je každý web s WordPressom 4.7.0 až 7.1.1, ktorý ešte nedostal opravenú verziu svojej vetvy. WordPress vydal opravu pre všetky vetvy, ktoré ešte dostávajú bezpečnostné záplaty, teda až po 4.7. Starší web tak dostane opravu bez skoku na novú hlavnú verziu. Podľa oficiálneho oznámenia k vydaniu 7.1.2 je však aktívne podporovaná iba najnovšia verzia.

Vetva	Zraniteľné verzie	Opravená verzia
7.1	7.1.0 až 7.1.1	7.1.2
7.0	7.0.0 až 7.0.5	7.0.6
6.9	6.9.0 až 6.9.8	6.9.9
6.8	6.8.0 až 6.8.9	6.8.10
6.7	6.7.0 až 6.7.8	6.7.9
6.6	6.6.0 až 6.6.8	6.6.9
6.5	6.5.0 až 6.5.11	6.5.12
4.7	4.7.0 až 4.7.36	4.7.37

Svoju verziu zistíte za minútu:

• V administrácii: Nástenka > Aktualizácie. Stránka ukáže aktuálnu verziu a ponúkne aktualizáciu, ak je dostupná.
• Cez WP-CLI: príkaz wp core version vypíše verziu jadra.
• Pri viacerých weboch: skontrolujte všetky, aj staré microsite, weby na subdoménach a testovacie kópie na hostingu. Automatizovaný skener ich prehľadá rovnako ako hlavný web.

Ak má web zapnuté automatické aktualizácie na pozadí, podľa oznámenia WordPressu sa aktualizácia spustí sama. Neberte to ako hotovú vec a verziu si overte. Automatické aktualizácie mohol v minulosti niekto vypnúť a na to sa zvyčajne príde až pri podobnom incidente.

Ako aktualizovať ešte dnes bez rozbitia webu

Aktualizácia jadra na opravenú verziu je jediná skutočná oprava, všetko ostatné iba dočasne znižuje riziko. Verzia 7.1.2 je podľa Patchstack čisto bezpečnostné vydanie s jedinou opravou, takže riziko, že rozbije web, je menšie ako pri veľkej aktualizácii. Aj tak postupujte v tomto poradí:

1. Záloha: pred aktualizáciou zálohujte databázu aj súbory. Ak nemáte overený postup, použite náš návod na zálohovanie WordPress webu podľa pravidla 3-2-1.
2. Aktualizácia: v administrácii Nástenka > Aktualizácie > Aktualizovať teraz, alebo cez WP-CLI príkazom wp core update. Na staršej vetve môžete opravenú verziu tej istej vetvy nainštalovať cielene, napríklad wp core update --version=6.8.10, a prechod na najnovšiu verziu si naplánovať zvlášť.
3. Overenie verzie: po aktualizácii sa znova pozrite, či web naozaj beží na 7.1.2 alebo na opravenej verzii svojej vetvy.
4. Funkčný test: prejdite kľúčové miesta webu: kontaktný formulár, prihlásenie, košík a pokladňu, ak ide o e-shop.

Pri e-shope alebo webe s množstvom pluginov je bezpečnejší postup cez testovaciu kópiu, ktorý popisujeme v článku aktualizácie WordPress cez staging a rollback. Pri chybe, ktorú útočníci už aktívne skúšajú, však produkčnú aktualizáciu neodkladajte o dni. Ak sa po aktualizácii niečo pokazí, pomôže vám návod čo robiť, keď web po aktualizácii WordPress nefunguje.

Ako zistiť, či útočníci váš web už skúšali

Útoky začali v deň vydania opravy, preto nestačí aktualizovať, treba sa pozrieť aj do logov a na server. Podľa priebežného sledovania Patchstack zachytil ich firewall prvé pokusy 22. septembra 2026, teda v deň vydania 7.1.2, a ešte v ten deň aj prvý pokus zapísať cez pearcmd.php súbor na disk. Útočníci podľa Patchstack stavali útoky z rozdielu v kóde opravy. Od 23. septembra kolujú verejné skenovacie nástroje vrátane pomenovanej šablóny pre skener Nuclei, takže chybu dnes skúša ktokoľvek, nie len úzka skupina útočníkov.

Útok podľa Patchstack prebieha v troch fázach: overenie, či vloženie súboru funguje (cez neškodné súbory jadra), overenie, či je dostupný pearcmd.php, a zápis PHP súboru na disk. V prístupových logoch (access log) hľadajte tieto signály:

• parameter pagename, ktorý obsahuje %2e%2e alebo %252e%252e, v adrese aj v tele POST požiadavky,
• hodnotu pagename, ktorá začína templates%2f alebo názvom iného priečinka page-,
• parametre pagename a page_id spolu v jednej požiadavke na koreň webu alebo na /index.php,
• akýkoľvek výskyt reťazcov pearcmd, +config-show alebo +config-create.

Na serveri skontrolujte priečinky /tmp a /var/tmp. Nečakané súbory .php tam podľa Patchstack znamenajú, že zápis uspel, a server treba brať ako kompromitovaný, nie iba skenovaný. Druhý signál je v logoch: odpoveď 200 s obsahom OPML alebo RSS na bežnej adrese stránky znamená, že vloženie súboru na vašom serveri prebehlo. Na zdieľanom hostingu do týchto priečinkov často nevidíte, vtedy požiadajte o kontrolu poskytovateľa hostingu.

Ak takéto stopy nájdete, samotná aktualizácia nestačí. Zmeňte heslá administrátorov aj prístupy k hostingu, obnovte bezpečnostné kľúče vo wp-config.php, skontrolujte zoznam používateľov s rolou administrátor a zvážte obnovu zo zálohy spred útoku.

Čo robiť, ak nemôžete aktualizovať hneď

Dočasne sa dá riziko znížiť, ale nič z toho nenahrádza aktualizáciu. Tieto kroky slúžia iba ako premostenie, kým aktualizáciu nepripravíte:

• Pozrite sa do priečinka témy: otvorte wp-content/themes a v aktívnej téme aj v jej rodičovskej téme hľadajte v koreni priečinok, ktorého názov začína na page-. Ak tam je, prvá podmienka zneužitia je splnená.
• Overte register_argc_argv: hodnotu nájdete vo výpise phpinfo() pre webové PHP, alebo sa opýtajte hostingu. Podľa Patchstack vypnutie neopraví vloženie súboru, ale preruší reťazec cez pearcmd, ktorý z úniku informácií robí spustenie kódu.
• Pravidlo vo firewalle (WAF): odmietnite požiadavky, v ktorých parameter pagename obsahuje sekvenciu na presun o priečinok vyššie. Skutočný slug stránky ju nikdy neobsahuje, takže bežnú prevádzku to podľa Patchstack neobmedzí.
• Nespoliehajte sa na blokovanie IP adries: Patchstack eviduje útoky z niekoľkých stoviek adries a väčšina požiadaviek sa vydáva za bežný prehliadač.

V praxi: čo táto chyba ukazuje o správe webu

Chyba v jadre sa týka aj webov, ktoré majú pluginy v poriadku, preto správa nemôže stáť iba na kontrole pluginov. Pri slovenských firemných weboch v praxi vidíme, že najviac sa zabúda na weby „bez zmien“: microsite ku kampani, starý web na subdoméne, testovaciu kópiu na hostingu. Práve tie bežia roky na starej vetve a nikto ich nesleduje. Pri tejto chybe navyše rozhoduje aj štruktúra témy, ktorú bežný prehľad zraniteľných pluginov neukáže.

Druhá lekcia je rýchlosť. Keď útočníci skúšajú chybu v deň vydania opravy, mesačný cyklus aktualizácií na bezpečnostné vydania nestačí. Kontrolovaný postup cez staging má zmysel pri veľkých verziách, bezpečnostné vydanie jadra však patrí na web v ten istý deň. Ako do toho zapadá celý rok údržby, popisujeme v kompletnom sprievodcovi správou WordPress webu.

Ako to riešime v Denve: pri prevzatí webu do správy a podpory sa najprv pozrieme na verzie, pluginy, zálohy, hosting aj stav zabezpečenia. Pri bežnej správe priebežne sledujeme známe zraniteľnosti a po každej aktualizácii overíme, že web naozaj funguje, napríklad že sa odošle formulár a naskočí pokladňa. Staráme sa aj o weby, ktoré postavil niekto iný.

Kedy to zvládnete sami a kedy s nami

Zvládnete sami, ak:

• máte jeden web na aktuálnej vetve a zapnuté automatické aktualizácie jadra,
• viete si overiť verziu a urobiť zálohu, z ktorej ste už niekedy obnovovali,
• hosting vám na požiadanie pošle prístupové logy a skontroluje priečinky /tmp.

Oplatí sa prizvať nás, ak:

• v logoch vidíte pagename so zakódovanými sekvenciami alebo reťazec pearcmd,
• web beží na starej vetve alebo má upravenú tému s priečinkom page-,
• spravujete viac webov a nemáte prehľad, na akých verziách bežia,
• nemáte zálohu, z ktorej by ste vedeli web spoľahlivo obnoviť.

Záver

Ak váš WordPress nebeží na 7.1.2 ani na opravenej verzii svojej vetvy, aktualizujte ešte dnes a potom sa pozrite do logov a do priečinkov /tmp. Chyba má hodnotenie CVSS 4.0 9.2, oprava existuje pre všetky vetvy od 4.7 a útoky podľa Patchstack bežia od dňa vydania. Téma s priečinkom page- a zapnuté register_argc_argv robia z vloženia súboru spustenie kódu, preto si obe podmienky overte aj po aktualizácii. Ak si nie ste istí, čo ste v logoch našli, napíšte nám a pozrieme sa na to s vami.

FAQ

Časté otázky.

Je môj web v bezpečí, ak mám zapnuté automatické aktualizácie?

Pravdepodobne áno, ale overte to. Podľa oznámenia WordPressu sa na weboch s automatickými aktualizáciami na pozadí aktualizácia spustí sama. V administrácii na stránke Aktualizácie skontrolujte, či web beží na 7.1.2 alebo na opravenej verzii svojej vetvy.

Musím prejsť na WordPress 7.1, ak mám staršiu verziu?

Kvôli tejto chybe nie. WordPress vydal opravu pre všetky vetvy až po 4.7, napríklad 6.8.10 alebo 4.7.37. Aktívne podporovaná je však iba najnovšia verzia, preto si prechod naplánujte.

Ako zistím, či moja téma spĺňa podmienku zneužitia?

Pozrite sa do priečinka aktívnej témy aj jej rodičovskej témy vo wp-content/themes. Ak je v jeho koreni priečinok, ktorého názov začína na page-, napríklad page-templates, podmienka je splnená. Aktualizáciu to však nenahrádza.

Čo ak v logoch nájdem požiadavky s reťazcom pearcmd?

Znamená to, že útočník skúšal reťazec vedúci k spusteniu kódu. Skontrolujte priečinky /tmp a /var/tmp na nečakané súbory .php. Ak tam sú, berte server ako kompromitovaný, zmeňte prístupy a zvážte obnovu zo zálohy.

Stačí firewall alebo bezpečnostný plugin namiesto aktualizácie?

Nie. Pravidlo, ktoré odmieta sekvencie na presun o priečinok vyššie v parametri pagename, je podľa Patchstack účinná dočasná ochrana. Skutočnou opravou je iba aktualizácia jadra na opravenú verziu.