Elementor Pro: kritická zranitelnost CVE-2026-32475 - aktualizujte ihned

Pokud máte na webu nainstalovaný Elementor Pro, jednejte okamžitě: elementor pro zranitelnost evidovaná jako CVE-2026-32475 s hodnocením CVSS 9 umožňuje útočníkovi bez jakéhokoli přihlášení nahrát na server libovolné soubory včetně PHP skriptů a spustit je jako vzdálený kód. Od 7. září 2026 je tato zranitelnost aktivně zneužívána a tým Wordfence do tohoto data zablokoval více než 190 000 pokusů o útok. Oprava je dostupná od 19. srpna 2026 ve formě verze Elementor Pro 4.2.2. Pokud ještě nejste na této verzi, váš web je v tuto chvíli pod aktivním útokem.

Co je CVE-2026-32475 a proč je mimořádně nebezpečná

CVE-2026-32475 je kritická zranitelnost typu unauthenticated arbitrary file upload v doplňku Elementor Pro 4.2.1 a starších verzích. Útočník bez jakéhokoli přihlášení nebo zvláštních oprávnění může nahrát na server PHP soubor a následně ho přes URL adresu spustit jako vzdálený kód (Remote Code Execution, RCE). CVSS skóre 9 odráží maximální dopad: útočník získává plnou kontrolu nad serverem, přístup k databázi a zákaznickým datům, může rozmístit malware na všech stránkách webu nebo zapojit server do botnetu.

Podle bezpečnostního týmu Patchstack spočívá kořen chyby v nedostatečném ověřování MIME typů při nahrávání souborů přes Elementor Pro formuláře a widget Upload. Doplněk ověřoval pouze příponu souboru na straně klienta, nikoli skutečný obsah na straně servera. Útočník přejmenuje PHP skript s příponou .php na .png - Elementor Pro soubor akceptuje, uloží ho do wp-content/uploads/ a druhý HTTP request soubor spustí jako PHP kód s plnými oprávněními webového servera.

Proč je to obzvláště závažné? Protože od zaregistrování nové zranitelnosti v databázi CVE k prvním automatizovaným útokům uplynou hodiny, nikoli dny. Skenery prohledávají internet nepřetržitě a porovnávají verze nainstalovaných pluginů s databází zranitelností. Web s Elementor Pro ve verzi 4.2.1 nebo starší je aktivním terčem od 7. září 2026.

Koho se elementor pro zranitelnost týká

Zranitelnost postihuje každý web s Elementor Pro ve verzi 4.2.1 nebo starší. Bezplatný doplněk Elementor free je na více než 5 milionech webů podle Patchstack, přičemž Elementor Pro je prémiový placený doplněk určený pro jejich podmnožinu. Pokud v administraci WordPress vidíte Elementor Pro v seznamu pluginů a jeho verze je nižší než 4.2.2, váš web je ohrožen.

Riziko je obzvláště vysoké pro weby, které splňují některý z následujících bodů:

• Formuláře a upload widgety postavené na Elementor Pro: Zranitelnost se spouští právě přes formulářový widget nebo widget Upload. Weby s přihlašovacími formuláři, kontaktními formuláři nebo sekcemi pro nahrávání souborů jsou přímo vystaveny útoku bez jakékoli další podmínky.
• Sdílený hosting: Jeden kompromitovaný web na sdíleném serveru může ohrozit ostatní weby na tomtéž serveru přes přístup ke společným složkám nebo konfiguračním souborům.
• Vypnuté nebo opoždené aktualizace: Weby, kde správce odkládá aktualizace nebo je má zcela vypnuté, zůstávají zranitelné nejdéle a jsou nejčastějším terčem automatizovaných skenerů.
• Absence webového firewallu: Weby bez aktivní ochrany na úrovni síťové vrstvy (WAF) nejsou schopny blokovat pokusy o upload PHP souborů ani v případě, že útočník exploit správně nastaví.

Na českém a slovenském trhu je Elementor Pro oblíbený především mezi webovými agenturami a freelancery, kteří ho využívají pro pokročilé rozvržení a formulářové funkcionality pro klienty. Bezpečnost WordPress webu není jen problém velkých portálů a e-shopů - i menší firemní web je pro útočníky zajímavý cíl alespoň jako součást botnetu, zdroj zákaznických e-mailových adres nebo platforma pro šíření malwaru návštěvníkům.

Jak opravit zranitelnost Elementor Pro krok za krokem

Oprava je jednoznačná: aktualizujte Elementor Pro na verzi 4.2.2 nebo vyšší. Verze 4.2.2 byla vydána 19. srpna 2026 a obsahuje kompletní záplatu podle srpnové zprávy Wordfence. Pokud máte zapnuté automatické aktualizace pro prémiové pluginy, i tak zkontrolujte v Pluginy > Nainstalované pluginy, že verze je skutečně 4.2.2 nebo vyšší - automatika může selhat u licencovaných prémiových pluginů, pokud platnost licence vypršela.

1. Záloha před aktualizací (povinně): Před každou aktualizací si udělejte zálohu databáze i souborů. Pokud nevíte jak, postupujte podle našeho návodu na zálohování WordPress webu metodikou 3-2-1.
2. Testování na stagingu pro produkční weby: Pokud provozujete e-shop nebo web s citlivými daty, aktualizujte nejprve na testovacím prostředí. Podrobný postup najdete v článku Aktualizace WordPress přes staging a rollback.
3. Aktualizace v administraci: Přihlaste se do wp-admin > Pluginy > Nainstalované pluginy, najděte řádek Elementor Pro a klikněte Aktualizovat. Případně přes Řídicí panel > Aktualizace.
4. Ověření verze: Po aktualizaci zkontrolujte, že verze zobrazená u Elementor Pro je 4.2.2 nebo vyšší.
5. Funkční test: Projděte klíčové stránky s formuláři a widgety a ověřte, že vše funguje správně.

Pokud se po aktualizaci web rozbije, nejčastější příčiny a řešení najdete v tomto návodu pro případ, kdy web po aktualizaci nefunguje. Ve většině případů jde o konflikt s jiným pluginem nebo PHP verzí a řeší se deaktivací konfliktního pluginu.

Jak zkontrolovat, zda váš web nebyl kompromitován

Pokud jste měli nainstalovaný Elementor Pro ve verzi 4.2.1 nebo starší a neaktualizovali jste okamžitě po vydání záplaty v srpnu, existuje reálné riziko kompromitace. Podle zářijové zprávy Wordfence jsou útoky aktivní od 7. září 2026 a jejich intenzita narůstá. Postup kontroly zahrnuje pět kroků:

• Hledání PHP souborů v upload složkách: Zkontrolujte přes FTP nebo správce souborů hostitele složku wp-content/uploads/ a všechny její podsložky. Žádné soubory s příponou .php by se tam neměly nacházet - jejich přítomnost je jednoznačný důkaz kompromitace a web je třeba okamžitě odpojit.
• Kompletní sken webu bezpečnostním pluginem: Pokud máte nainstalovaný Wordfence, spusťte kompletní sken (Wordfence > Scan > Start New Scan). Plugin porovná všechny soubory s originálními hodnotami a zobrazí změněné nebo neznámé soubory.
• Analýza serverových logů: Požádejte hostingového poskytovatele o přístupové logy (access log). Hledejte POST requesty směřující na wp-content/uploads/ nebo GET requesty na neznámé .php soubory v této složce.
• Změna přihlašovacích údajů: Ihned změňte hesla všech WordPress administrátorů a obnovte WordPress Security Keys v souboru wp-config.php.
• Kontrola nových administrátorských účtů: Zkontrolujte v sekci Uživatelé > Všichni uživatelé, zda nepřibyly neznámé účty s rolí Administrátor.

Pokud najdete PHP soubory v upload složkách nebo jiné příznaky kompromitace, doporučujeme kontaktovat bezpečnostního specialistu. Kompromitovaný web může pokračovat v šíření malwaru i po odstranění viditelných škodlivých souborů - útočníci zpravidla instalují více zálohovacích backdoorů a skrytých administrátorských účtů.

Preventivní bezpečnostní opatření pro WordPress weby

Aktualizace Elementor Pro je okamžité řešení, ale systémová bezpečnost vyžaduje více než jednorázovou opravu. Kritické zranitelnosti v populárních pluginech se objevují několikrát ročně a každá z nich je potenciální vstupní branou. V komplexním přehledu bezpečnosti WordPress webu v 2026 najdete celou sadu doporučených opatření. Zde uvádíme pět s nejvyšším dopadem:

Opatření	Priorita	Čas implementace
Automatické aktualizace pluginů (alespoň bezpečnostní záplaty)	Vysoká	5 minut
Zákaz spuštění PHP ve složce wp-content/uploads/ přes .htaccess	Vysoká	10 minut
Web Application Firewall (Wordfence nebo Cloudflare WAF)	Vysoká	30 minut
Pravidelné zálohy na externí úložiště podle pravidla 3-2-1	Střední	15 minut
Monitoring integrity souborů a dostupnosti webu	Střední	20 minut

Zákaz spuštění PHP ve složce wp-content/uploads/ přes pravidlo v .htaccess patří ke standardním nastavením při každém spravovaném webu. Tato jedna konfigurační změna by v případě CVE-2026-32475 zabránila RCE útoku i tehdy, kdyby se útočníkovi podařilo PHP soubor nahrát - server by ho uložil, ale jeho spuštění by zablokoval na úrovni webserveru.

Pro dlouhodobou a systematickou správu bezpečnosti doporučujeme přečíst i kompletního průvodce správou WordPress webu v 2026, kde popisujeme celý bezpečnostní cyklus včetně měsíční rutiny aktualizací a monitoringu.

Závěr

Elementor Pro zranitelnost CVE-2026-32475 patří mezi nejzávažnější WordPress bezpečnostní incidenty roku 2026. Kritické hodnocení CVSS 9, potvrzené aktivní zneužívání od 7. září 2026 a více než 190 000 zablokovaných útoků v síti Wordfence mluví za sebe. Pokud ještě nemáte Elementor Pro 4.2.2, aktualizujte nyní, zkontrolujte stopy po kompromitaci a nastavte automatické aktualizace pro bezpečnostní záplaty. Bezpečnost není jednorázová akce - je to pravidelný proces.

Pokud nechcete řešit aktualizace, bezpečnostní monitoring a zálohy sami, naše správa WordPress webu zahrnuje proaktivní bezpečnostní dohled včetně okamžité reakce na nové zranitelnosti. Nezávazná konzultace je vždy zdarma.

FAQ

Časté otázky.

Co mám udělat, pokud mám Elementor Pro ve verzi starší než 4.2.2?

Okamžitě aktualizujte na verzi 4.2.2 nebo novější přes wp-admin, sekce Pluginy. Před aktualizací si udělejte zálohu webu a po ní ověřte funkčnost formulářů a klíčových stránek.

Jak zjistím, zda byl můj web napaden přes CVE-2026-32475?

Zkontrolujte složku wp-content/uploads/ a její podsložky na přítomnost .php souborů - žádné by tam neměly být. Spusťte kompletní sken přes Wordfence a prozkoumejte serverové logy na neobvyklé POST requesty na upload složky.

Týká se CVE-2026-32475 také bezplatného pluginu Elementor?

Ne. CVE-2026-32475 postihuje výlučně Elementor Pro, tedy placený prémiový doplněk. Bezplatný plugin Elementor tato konkrétní zranitelnost nezasáhla. I přesto doporučujeme udržovat všechny pluginy aktualizované.

Je bezpečné zapnout automatické aktualizace Elementor Pro?

Ano, pro bezpečnostní záplaty je automatická aktualizace správná volba. Pro produkční weby s komplexním designem doporučujeme kompromis: automatická aktualizace na stagingem prostředí a ruční aktualizace na produkci po ověření funkčnosti.

Co dělat, pokud web po aktualizaci Elementor Pro přestal fungovat?

Nejprve zkuste deaktivovat ostatní pluginy jeden po druhém - konflikty jsou nejčastější příčinou. Pokud to nepomůže, obnovte zálohu a aktualizaci zopakujte na stagingem prostředí. Podrobný postup najdete v návodu na řešení problémů po aktualizaci WordPress.