Na kratko
WordPress je 28. oktobra 2026 izdal varnostno različico 7.1.4, ki odpravi več ranljivosti v jedru, med njimi napako v postopku posodabljanja, ki lahko vodi do izvajanja kode na strežniku. Isti dan so bile v javnih bazah CVE objavljene številne ranljivosti v WordPress vtičnikih. Najresnejše (Jupiter X Core, Pie Register Premium, Checkout Files Upload for WooCommerce, Contact Manager) napadalcu omogočijo prevzem strani brez prijave. Preverite, ali imate WordPress 7.1.4, in posodobite vse vtičnike.
WordPress 7.1.4: varnostna posodobitev jedra, ki jo namestite takoj
WordPress.org je 28. oktobra 2026 objavil WordPress 7.1.4, varnostno izdajo s popravki za več ranljivosti v samem jedru WordPressa. Uradno obvestilo jih navaja 13 sklopov, podjetje Patchstack pa je v teh sklopih naštelo 22 posameznih napak. WordPress priporoča, da strani posodobite takoj.
| Kaj je prizadeto | Jedro WordPressa (ne vtičnik ali tema) |
|---|---|
| Popravljena različica | 7.1.4; popravki so preneseni tudi v starejše veje (npr. 7.0.8 in 6.9.11, vse do veje 4.7) |
| Najresnejša napaka | Šibkost v postopku posodabljanja, ki lahko vodi do izvajanja kode na strežniku |
| Samodejne posodobitve | Strani s samodejnimi varnostnimi posodobitvami se posodobijo same, različico pa vseeno preverite |
Kaj odpravi WordPress 7.1.4
- Napaka v postopku posodabljanja: med kratkim časovnim oknom posodobitve bi lahko napadalec brez prijave dostopal do začasno razpakirane namestitve v mapi
wp-content/upgrade/in prek nje izvedel svojo kodo. Izkoriščanje je po oceni Patchstacka zahtevno, ker okno traja le nekaj sekund, a posledice so resne. WordPress zdaj začasnim mapam doda naključna imena in znova zaščiti mapo. - Več ranljivosti tipa shranjeni XSS (podtaknjena koda JavaScript): v oznakah blokov, v Interactivity API, v osveževanju Prilagojevalnika (Customizer), v blokih Kategorije, Seznam predvajanja, Slika in v blokih za ostranjevanje komentarjev, v zahtevah za izbris osebnih podatkov ter prek posebej oblikovanih uporabniških imen.
- Zavrnitev storitve (DoS) prek Interactivity API.
- Razkritje neobjavljenih sprememb v Prilagojevalniku obiskovalcem brez prijave.
- Opombe (Notes) so bile vidne uporabnikom, ki prispevka sami ne smejo urejati.
- Posodobljeni so vgrajeni korenski certifikati (preklic izdajatelja eMudhra).
Priporočilo
- V administraciji odprite Nadzorna plošča → Posodobitve in preverite, da piše WordPress 7.1.4 (ali ustrezna popravljena različica starejše veje). Če ne, kliknite Posodobi zdaj.
- Patchstack dodatno svetuje, da na spletnem strežniku onemogočite javni dostop do mape
wp-content/upgrade/. Za to se obrnite na skrbnika strežnika ali gostovanje. - Preglejte uporabnike z vlogo Sodelavec (Contributor) ali višjo, saj večino XSS napak lahko izkoristi le prijavljen uporabnik.
Kritične ranljivosti WordPress vtičnikov: prevzem strani brez prijave
28. oktobra 2026 je bilo v nacionalni bazi ranljivosti NVD objavljenih več kot sto novih zapisov, povezanih z WordPressom. Spodaj so najnevarnejši, pri katerih napadalec ne potrebuje uporabniškega računa. Do objave za nobenega ni bilo poročil o napadih v praksi, vendar se ti po objavi pogosto začnejo hitro.
Jupiter X Core – prijava kot skrbnik (CVSS 9,8)
- Prizadeto: vtičnik Jupiter X Core (spremljevalni vtičnik teme Jupiter X), različice do vključno 4.61.0.
- Oznaka: CVE-2026-106013, kritična.
- Kaj lahko stori napadalec: zaradi napake v prijavi prek omrežja X (Twitter) se lahko brez gesla prijavi kot uporabnik, ki je povezan z aplikacijo X, najpogosteje kot skrbnik strani.
- Popravek: v virih ob objavi popravljena različica še ni bila navedena. Posodobite vtičnik na najnovejšo različico, novejšo od 4.61.0, takoj ko je na voljo, do takrat pa izklopite prijavo prek X/Twitter.
Pie Register Premium – nalaganje zlonamernih datotek (CVSS 9,8)
- Prizadeto: vtičnik za registracijo uporabnikov Pie Register Premium, različice do vključno 3.8.4.0.
- Oznaka: CVE-2026-84999, kritična.
- Kaj lahko stori napadalec: brez prijave naloži datoteko PHP in jo zažene na strežniku, kar pomeni popoln prevzem strani.
- Popravek: posodobite na najnovejšo različico, novejšo od 3.8.4.0.
Checkout Files Upload for WooCommerce – nalaganje datotek PHP
- Prizadeto: vtičnik Checkout Files Upload for WooCommerce, različice pred 2.4.0.
- Oznaka: CVE-2026-103688 (vir: WPScan).
- Kaj lahko stori napadalec: če je polje z dovoljenimi vrstami datotek prazno (kar je dokumentiran način za »vse datoteke«), lahko kdorkoli naloži datoteko PHP in na nekaterih strežnikih izvede svojo kodo.
- Popravek: posodobite na 2.4.0 ali novejšo in v nastavitvah vtičnika vpišite le vrste datotek, ki jih res potrebujete (npr. pdf, jpg).
Contact Manager – nalaganje datotek (CVSS 9,8)
- Prizadeto: vtičnik Contact Manager (avtor kleor), različice do vključno 9.1.2.
- Oznaka: CVE-2026-109218, kritična.
- Kaj lahko stori napadalec: s trikom v imenu datoteke obide prepoved nevarnih končnic. Izvajanje kode je mogoče le pod določenimi pogoji strežnika (Apache z mod_php).
- Popravek: posodobite na najnovejšo različico, novejšo od 9.1.2.
Rank Math, MemberPress in drugi vtičniki: ranljivosti, ki zahtevajo prijavo ali klik
Pri teh ranljivostih napadalec potrebuje račun na strani ali pa mora prijavljenega uporabnika zvabiti na zlonamerno povezavo. Tveganje je manjše, a posledice so lahko enako resne.
Rank Math SEO – izvajanje kode za sodelavce (CVSS 8,8)
- Prizadeto: SEO vtičnik Rank Math, različice do vključno 1.0.276.
- Oznaka: CVE-2026-1928 (objavljena 28. 10. 2026).
- Kaj lahko stori napadalec: uporabnik z vlogo Sodelavec ali višjo lahko prek vmesnika REST API podtakne podatke, ki vodijo do namestitve zlonamerne datoteke in izvajanja kode na strežniku.
- Popravek: novejše različice (od 1.0.277 naprej) niso prizadete. Posodobite na najnovejšo različico.
MemberPress – prevzem računa prek ponarejene zahteve (CVSS 8,8)
- Prizadeto: vtičnik za članstva MemberPress, različice do vključno 1.14.1.
- Oznaka: CVE-2026-92797.
- Kaj lahko stori napadalec: če prijavljen uporabnik klikne pripravljeno povezavo, mu napadalec spremeni e-poštni naslov in nato prek ponastavitve gesla prevzame račun.
- Popravek: posodobite na najnovejšo različico, novejšo od 1.14.1.
VikRentCar in IvyForms
- VikRentCar (do vključno 1.4.8, CVE-2026-111120, CVSS 8,8): če skrbnik klikne zlonamerno povezavo, lahko napadalec zapiše kodo PHP v predloge in prevzame stran. Dodatno sta v različicah do 1.4.10 objavljeni še ranljivosti XSS in SQL injection za sodelavce (CVE-2026-116749, CVE-2026-116750).
- IvyForms (do vključno 1.5.1, CVE-2026-109384, CVSS 8,8): uporabnik s pravico urejanja obrazcev lahko dovoli nevarne končnice, nato pa lahko kdorkoli prek obrazca naloži datoteko PHP.
- Priporočilo: oba vtičnika posodobite na najnovejšo različico.
Ranljivosti v WooCommerce in Elementor dodatkih (srednja resnost)
Naslednje ranljivosti so manj nevarne, vendar zadevajo zelo razširjene vtičnike, zato jih ne odlašajte:
- Essential Addons for Elementor (pred 6.8.7): obiskovalec brez prijave lahko prebere vsebino nejavnih vrst objav in zasebna polja (CVE-2026-110509) ter obide odobritev skrbnika (CVE-2026-110508). Posodobite na 6.8.7 ali novejšo.
- Royal Elementor Addons (pred 1.7.1070): več napak, med drugim zloraba shranjenih podatkov za Mailchimp brez prijave, razkritje oddanih obrazcev in preusmeritev prejemnika obrazca (CVE-2026-107097, CVE-2026-107100, CVE-2026-106648 in druge). Posodobite na 1.7.1070 ali novejšo.
- PayPlug for WooCommerce (pred 3.1.1): brez prijave je mogoče brati, spreminjati ali preklicati naročila drugih kupcev (CVE-2026-113813, CVE-2026-110292). Posodobite na 3.1.1 ali novejšo.
- Page Builder by SiteOrigin (pred 2.38.0): shranjeni XSS in razkritje osnutkov za sodelavce (CVE-2026-110506, CVE-2026-110507). Posodobite na 2.38.0 ali novejšo.
- Ultimate Member (do vključno 2.14.0): shranjeni XSS prek polja Spletna stran v profilu, ki ga lahko izkoristi že naročnik (CVE-2026-107625). Posodobite na najnovejšo različico.
- AI Engine (do vključno 3.8.4): ob vklopljenem javnem API-ju lahko naročnik briše datoteke v medijski knjižnici (CVE-2026-107745). Posodobite na najnovejšo različico.
Kontrolni seznam za varnost WordPress strani
- Preverite različico WordPressa (Nadzorna plošča → Posodobitve): biti mora 7.1.4 ali popravljena različica vaše veje.
- Posodobite vse vtičnike in teme, še posebej zgoraj naštete. Pred tem naredite varnostno kopijo.
- Uporabljate Jupiter X? Do popravka izklopite prijavo prek X/Twitter.
- Preverite obrazce za nalaganje datotek: dovolite le nujne vrste datotek.
- Preglejte uporabniške račune: odstranite neznane skrbnike in nepotrebne račune z vlogo Sodelavec ali višjo.
- Odstranite vtičnike, ki jih ne uporabljate. Tudi izklopljen vtičnik je odvečno tveganje.
Več navodil za urejanje in vzdrževanje najdete v rubriki podpora za WordPress.
Potrebujete pomoč pri posodobitvah ali varnosti WordPressa? Posodobimo jedro in vtičnike, preverimo nastavitve strežnika in pregledamo stran za znake vdora. Pišite nam na podpora@qstom.si.
Viri
- SI-CERT: varnostna obvestila (od zadnjega pregleda ni novega obvestila o WordPressu)
- WordPress.org: WordPress 7.1.4
- Cyber Security News: WordPress 7.1.4 Fixes 22 Security Flaws
- NVD: zapisi CVE, povezani z WordPressom, objavljeni 28. 10. 2026
- CVE Brief, 28. 10. 2026
- OffSeq: Jupiter X Core CVE-2026-106013
- TheHackerWire: Rank Math CVE-2026-1928
- WPScan: Checkout Files Upload for WooCommerce
- Zapisi CVE: CVE-2026-106013, CVE-2026-84999, CVE-2026-103688, CVE-2026-109218, CVE-2026-1928, CVE-2026-92797, CVE-2026-111120, CVE-2026-109384, CVE-2026-110509, CVE-2026-113813