Elementor Pro: aktívan kihasznált kritikus sebezhetőség - frissítsen azonnal

Ha a weboldalán telepítve van az Elementor Pro, cselekedjen azonnal: a CVE-2026-32475 azonosítóval nyilvántartott, CVSS 9 besorolású elementor pro sebezhetőség lehetővé teszi, hogy a támadó bármiféle bejelentkezés nélkül tetszőleges fájlokat, köztük PHP szkripteket töltsön fel a szerverre, és távoli kódként futtassa őket. 2026. szeptember 7-e óta ezt a sebezhetőséget aktívan kihasználják, és a Wordfence csapata eddig az időpontig több mint 190 000 támadási kísérletet blokkolt. A javítás 2026. augusztus 19-e óta elérhető, az Elementor Pro 4.2.2 verzió formájában. Ha még nem ezen a verzión van, a weboldala ebben a pillanatban aktív támadás alatt áll.

Mi a CVE-2026-32475, és miért rendkívül veszélyes

A CVE-2026-32475 egy unauthenticated arbitrary file upload típusú kritikus sebezhetőség az Elementor Pro bővítmény 4.2.1-es és korábbi verzióiban. A támadó bármiféle bejelentkezés vagy különleges jogosultság nélkül PHP fájlt tölthet fel a szerverre, majd egy URL-címen keresztül távoli kódként futtathatja (Remote Code Execution, RCE). A CVSS 9 pontszám a maximális hatást tükrözi: a támadó teljes irányítást szerez a szerver felett, hozzáfér az adatbázishoz és az ügyfelek adataihoz, malware-t helyezhet el a weboldal összes oldalán, vagy botnetbe kapcsolhatja a szervert.

A Patchstack biztonsági csapata szerint a hiba gyökere a MIME-típusok elégtelen ellenőrzése az Elementor Pro űrlapjain és az Upload widgeten keresztüli fájlfeltöltéskor. A bővítmény csak a fájl kiterjesztését ellenőrizte a kliens oldalán, a tényleges tartalmat a szerver oldalán nem. A támadó a .php kiterjesztésű PHP szkriptet .png-re nevezi át, az Elementor Pro elfogadja a fájlt, elmenti a wp-content/uploads/ mappába, és egy második HTTP request a webszerver teljes jogosultságaival PHP kódként futtatja a fájlt.

Miért különösen súlyos ez? Mert egy új sebezhetőség CVE-adatbázisba kerülésétől az első automatizált támadásokig órák telnek el, nem napok. A szkennerek folyamatosan pásztázzák az internetet, és összevetik a telepített bővítmények verzióit a sebezhetőségi adatbázissal. Az Elementor Pro 4.2.1-es vagy korábbi verzióját futtató weboldal 2026. szeptember 7-e óta aktív célpont.

Kiket érint az elementor pro sebezhetőség

A sebezhetőség minden olyan weboldalt érint, amelyen az Elementor Pro 4.2.1-es vagy korábbi verziója fut. Az ingyenes Elementor bővítmény a Patchstack szerint több mint 5 millió weboldalon fut, az Elementor Pro pedig ezek egy részének szánt prémium, fizetős bővítmény. Ha a WordPress adminisztrációban a bővítmények listájában látja az Elementor Pro-t, és a verziója 4.2.2-nél alacsonyabb, a weboldala veszélyben van.

A kockázat különösen magas azoknál a weboldalaknál, amelyekre az alábbi pontok valamelyike igaz:

• Elementor Pro-ra épülő űrlapok és upload widgetek: A sebezhetőség éppen az űrlap widgeten vagy az Upload widgeten keresztül aktiválódik. A bejelentkezési űrlappal, kapcsolatfelvételi űrlappal vagy fájlfeltöltési résszel rendelkező weboldalak minden további feltétel nélkül közvetlenül ki vannak téve a támadásnak.
• Osztott tárhely: Egy osztott szerveren lévő kompromittált weboldal a közös mappákhoz vagy konfigurációs fájlokhoz való hozzáférésen keresztül veszélyeztetheti az ugyanazon a szerveren lévő többi weboldalt is.
• Kikapcsolt vagy késleltetett frissítések: Azok a weboldalak, amelyeknél a gazda halogatja a frissítéseket, vagy teljesen kikapcsolta őket, maradnak a legtovább sebezhetők, és ezek az automatizált szkennerek leggyakoribb célpontjai.
• Webes tűzfal hiánya: A hálózati rétegen aktív védelem (WAF) nélküli weboldalak még akkor sem tudják blokkolni a PHP fájlok feltöltési kísérleteit, ha a támadó helyesen állítja be az exploitot.

A szlovák piacon az Elementor Pro elsősorban a webügynökségek és a szabadúszók körében népszerű, akik haladó oldalszerkesztési és űrlapfunkciókra használják ügyfeleik számára. A WordPress weboldal biztonsága nem csak a nagy portálok és webáruházak problémája: a támadók számára egy kisebb céges weboldal is érdekes célpont, legalább botnet részeként, az ügyfelek e-mail-címeinek forrásaként vagy a látogatók felé irányuló malware-terjesztés platformjaként.

Hogyan javítsa az Elementor Pro sebezhetőségét lépésről lépésre

A javítás egyértelmű: frissítse az Elementor Pro-t a 4.2.2-es vagy újabb verzióra. A 4.2.2-es verzió 2026. augusztus 19-én jelent meg, és a Wordfence augusztusi jelentése szerint teljes javítást tartalmaz. Ha a prémium bővítményekhez be vannak kapcsolva az automatikus frissítések, akkor is ellenőrizze a Bővítmények > Telepített bővítmények menüpontban, hogy a verzió valóban 4.2.2 vagy újabb: az automatika licencelt prémium bővítményeknél meghiúsulhat, ha a licenc lejárt.

1. Mentés a frissítés előtt (kötelező): Minden frissítés előtt készítsen mentést az adatbázisról és a fájlokról is. Ha nem tudja, hogyan, kövesse a WordPress weboldal 3-2-1 módszer szerinti mentéséről szóló útmutatónkat.
2. Staging tesztelés éles weboldalaknál: Ha webáruházat vagy érzékeny adatokat kezelő weboldalt üzemeltet, először tesztkörnyezetben frissítsen. A részletes menetet a WordPress frissítések stagingen és rollbackkel című cikkben találja.
3. Frissítés az adminisztrációban: Jelentkezzen be a wp-admin felületre, lépjen a Bővítmények > Telepített bővítmények menüpontra, keresse meg az Elementor Pro sorát, és kattintson a frissítésre. Alternatív megoldásként a Vezérlőpult > Frissítések menüponton keresztül.
4. A verzió ellenőrzése: A frissítés után ellenőrizze, hogy az Elementor Pro mellett megjelenő verzió 4.2.2 vagy újabb.
5. Működési teszt: Nézze végig az űrlapokat és widgeteket tartalmazó fő oldalakat, és ellenőrizze, hogy minden megfelelően működik. Ha korábban nem volt mentés, és a frissítés problémákat okoz: a mentést mindig minden frissítés előtt készítse el.

Ha a frissítés után a weboldal elromlik, a leggyakoribb okokat és megoldásokat ebben az útmutatóban találja arra az esetre, ha a weboldal frissítés után nem működik. Az esetek többségében egy másik bővítménnyel vagy a PHP verzióval való ütközésről van szó, amely az ütköző bővítmény kikapcsolásával megoldható.

Hogyan ellenőrizze, hogy nem kompromittálták-e a weboldalát

Ha az Elementor Pro 4.2.1-es vagy korábbi verziója volt telepítve, és nem frissített azonnal a javítás augusztusi megjelenése után, a kompromittálás valós kockázata fennáll. A Wordfence szeptemberi jelentése szerint a támadások 2026. szeptember 7-e óta aktívak, és az intenzitásuk nő. Az ellenőrzés öt lépésből áll:

• PHP fájlok keresése a feltöltési mappákban: FTP-n vagy a tárhelyszolgáltató fájlkezelőjén keresztül ellenőrizze a wp-content/uploads/ mappát és annak összes almappáját. Ott egyetlen .php kiterjesztésű fájl sem lehet: a jelenlétük a kompromittálás egyértelmű bizonyítéka, és a weboldalt azonnal le kell kapcsolni.
• A weboldal teljes vizsgálata biztonsági bővítménnyel: Ha telepítve van a Wordfence, futtasson teljes vizsgálatot (Wordfence > Scan > Start New Scan). A bővítmény minden fájlt összevet az eredeti értékekkel, és megjeleníti a módosított vagy ismeretlen fájlokat.
• A szervernaplók elemzése: Kérje el a tárhelyszolgáltatótól a hozzáférési naplókat (access log). Keressen a wp-content/uploads/ mappára irányuló POST requesteket vagy az ebben a mappában lévő ismeretlen .php fájlokra irányuló GET requesteket.
• A bejelentkezési adatok megváltoztatása: Azonnal változtassa meg az összes WordPress adminisztrátor jelszavát, és cserélje le a WordPress Security Keys kulcsokat a wp-config.php fájlban (új kulcsokat az api.wordpress.org/secret-key/1.1/salt/ címen generálhat).
• Új adminisztrátori fiókok ellenőrzése: A Felhasználók > Összes felhasználó menüpontban ellenőrizze, nem jelentek-e meg ismeretlen fiókok Adminisztrátor szerepkörrel.

Ha PHP fájlokat talál a feltöltési mappákban, vagy a kompromittálás más jeleit észleli, azt javasoljuk, forduljon biztonsági szakemberhez. A kompromittált weboldal a látható kártékony fájlok eltávolítása után is tovább terjesztheti a malware-t: a támadók általában több tartalék backdoort és rejtett adminisztrátori fiókot telepítenek.

Megelőző biztonsági intézkedések WordPress weboldalakhoz

Az Elementor Pro frissítése azonnali megoldás, de a rendszerszintű biztonság többet igényel egy egyszeri javításnál. A népszerű bővítményekben évente többször jelennek meg kritikus sebezhetőségek, és mindegyik lehetséges belépési pont. A WordPress weboldal biztonsága 2026-ban című átfogó áttekintésben megtalálja a javasolt intézkedések teljes készletét. Itt a legnagyobb hatású ötöt soroljuk fel:

A PHP futtatásának tiltása a wp-content/uploads/ mappában egy .htaccess szabállyal minden karbantartott weboldal szokásos beállításai közé tartozik. Ez az egyetlen konfigurációs módosítás a CVE-2026-32475 esetében akkor is megakadályozta volna az RCE támadást, ha a támadónak sikerült volna feltöltenie a PHP fájlt: a szerver elmentette volna, de a futtatását webszerverszinten blokkolta volna.

A hosszú távú és rendszerszintű biztonságkezeléshez javasoljuk a WordPress weboldal karbantartásáról szóló 2026-os teljes útmutatónkat is, amelyben a teljes biztonsági ciklust bemutatjuk, a frissítések és a monitorozás havi rutinjával együtt.

Összegzés

Az Elementor Pro CVE-2026-32475 sebezhetősége 2026 legsúlyosabb WordPress biztonsági incidensei közé tartozik. A kritikus CVSS 9 besorolás, a 2026. szeptember 7-e óta megerősített aktív kihasználás és a Wordfence hálózatában blokkolt több mint 190 000 támadás önmagáért beszél. Ha még nincs Elementor Pro 4.2.2 verziója, frissítsen most, ellenőrizze a kompromittálás nyomait, és állítsa be a biztonsági javítások automatikus frissítését. A biztonság nem egyszeri akció, hanem rendszeres folyamat.

Ha nem szeretné saját maga intézni a frissítéseket, a biztonsági monitorozást és a mentéseket, WordPress karbantartási szolgáltatásunk proaktív biztonsági felügyeletet is tartalmaz, az új sebezhetőségekre adott azonnali reakcióval együtt. A kötelezettség nélküli konzultáció mindig ingyenes.