Jak bezpečně aktualizovat WordPress, když útok míří přímo na aktualizaci

Bezpečně aktualizovat WordPress na 7.1.4 znamená nejdřív zablokovat přístup na adresu /wp-content/upgrade/ a teprve potom kliknout na aktualizaci. Chyba CVE-2026-119977 se totiž zneužívá přímo během aktualizace jádra a útočníci na tu chvíli čekají. Pokud složku sami zablokovat nezvládnete, aktualizujte hned i tak, okno pro útok trvá podle testů Wordfence jen pár sekund.

WordPress 7.1.4 vyšel 28. října a podle dokumentace vydání opravuje 22 zranitelností. Nejvážnější z nich dovolí spustit na serveru cizí kód bez přihlášení. Americká agentura CISA ji 3. listopadu zařadila mezi chyby, které se prokazatelně zneužívají. Podle W3Techs běží k 8. listopadu 2026 na WordPressu 55,0 % webů na doméně .cz, u kterých jde redakční systém poznat.

Oznámení WordPressu 7.1.4 z 28. října 2026. Zdroj: WordPress.org

Útok míří na pár sekund během aktualizace

Při aktualizaci jádra WordPress rozbalí novou verzi do složky wp-content/upgrade a na pár sekund v ní leží i instalátor, který jde spustit z prohlížeče bez přihlášení. Chybu objevil Umut Bayram a popsal, jak útočník, který se do té chvíle trefí, napojí dočasnou kopii webu na vlastní databázi a spustí na serveru kód. Podle něj je chyba v aktualizátoru už od verze 2.7 z roku 2008. Našel ji s modelem GPT-5.6 Sol zhruba za čtyři hodiny.

Verze 7.1.4 dává složce náhodné jméno. První aktualizaci na 7.1.4 ale ještě rozbaluje starý kód, takže při ní má složka pořád předvídatelné jméno. Kdo aktualizuje ručně až teď, prochází právě tímhle oknem.

Jeden požadavek se do okna dlouhého pár sekund trefí málokdy, proto to útočníci zkoušejí dokola.

Česká verze WordPressu se ručně aktualizuje celým balíčkem

Česká verze WordPressu se při ruční aktualizaci stahuje jako celý balíček a ten instalátor obsahuje. Bayram píše, že útok potřebuje balíček s instalátorem. Malé částečné balíčky, které nesou jen změněné soubory, ho mít nemusí. Podle nabídky aktualizací WordPress.org a kódu aktualizátoru to pro české weby k 8. listopadu 2026 vypadá takto:

Kdo nechal zapnuté automatické aktualizace a soubory jádra neměnil, dostal částečný balíček a útok v něm podle Bayramova popisu nemá co spustit. Kdo automatické aktualizace vypnul a aktualizuje až teď tlačítkem v administraci, stahuje celý balíček a instalátor se rozbalí do složky s předvídatelným jménem.

Jak bezpečně aktualizovat WordPress krok za krokem

Nejbezpečnější je zakázat přístup do složky wp-content/upgrade z webu, ověřit to a teprve potom aktualizovat. Podle Bayrama tím aktualizaci nerozbijete, WordPress složku čte a zapisuje přímo na disku a přes web ji nepotřebuje.

1. V administraci otevřete Nástěnka → Aktualizace a zkontrolujte verzi. Opravené jsou 7.1.4 a ve starších řadách 7.0.8, 6.9.11, 6.8.12 a další až po 4.7.39. Verze 4.6 a starší opravu nedostaly.

2. Na Apache přidejte do souboru .htaccess v kořeni webu nad blok WordPressu řádek RedirectMatch 403 ^/wp-content/upgrade/. Na Nginx patří do konfigurace location ^~ /wp-content/upgrade/ { deny all; }. Do samotné složky upgrade soubor .htaccess nedávejte, starý aktualizátor ji před rozbalením vyprázdní.

3. Otevřete adresu svého webu s /wp-content/upgrade/ na konci. Musí vrátit chybu 403. Teprve potom aktualizujte.

4. Po aktualizaci hledejte v logu požadavky na PHP soubory ve wp-content/upgrade. V administraci zkontrolujte, jestli nepřibyli neznámí administrátoři, pluginy nebo PHP soubory, které jste tam nedali.

Složka zůstane na disku, jen se k ní nikdo nedostane přes web. AI ilustrace

Plugin Wordfence útok blokuje jen v placených verzích, bezplatná dostane pravidlo až 27. listopadu. Navíc musí mít zapnutou rozšířenou ochranu (Extended Protection), protože útok míří přímo na PHP soubor a WordPress se při něm vůbec nenačte. Ani firewall podle Wordfence aktualizaci nenahradí.

Běžným majitelům webů Wordfence blokování složky před aktualizací neradil. V diskusi pod svým článkem vysvětluje, že by kvůli tomu mohli aktualizaci odkládat, a ta přitom opravuje všech 22 chyb.

Pokud web spravujete s AI agentem, zadejte mu kontrolu takhle. Prompt odkazuje na původní zdroje, ať si je agent přečte sám.

Pomoz mi bezpečně aktualizovat WordPress kvůli chybě CVE-2026-119977.

1. Přečti si popis chyby a doporučený postup:
   https://www.picussecurity.com/resource/blog/cve-2026-119977-when-updating-wordpress-becomes-the-vulnerability
   https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/
   https://wordpress.org/documentation/wordpress-version/version-7-1-4/
2. Zjisti verzi a jazyk WordPressu (wp-includes/version.php nebo wp core version) a porovnej ji s opravenými verzemi na wordpress.org.
3. Zjisti, jestli web běží na Apache, nebo Nginx, a navrhni pravidlo, které zakáže přístup z webu do /wp-content/upgrade/. Na Apache patří do .htaccess v kořeni webu nad blok WordPressu, nikdy ne do samotné složky upgrade.
4. Po mém potvrzení pravidlo přidej a ověř, že https://MOJE-DOMENA/wp-content/upgrade/ vrací 403. Až potom navrhni aktualizaci.
5. Projdi přístupové logy od 28. října 2026: požadavky na PHP soubory ve wp-content/upgrade, hlavně setup-config.php. Vypiš všechny administrátorské účty a pluginy. Najdi PHP soubory změněné od 28. října.

Nic neměň, neaktualizuj ani nemaž bez mého potvrzení. Na konci shrň verzi, stav pravidla, nálezy v logu a doporučený další krok.

Když web nespravujete sami

Napište tomu, kdo vám web spravuje, tři otázky: na jaké verzi WordPress běží, kdy se aktualizoval a jestli při tom byla složka wp-content/upgrade zablokovaná. WordPress běží na PHP, takže se zeptejte i na opravu kritické chyby PHP2Shell, o které jsem psal v říjnu.

Obě chyby pomohla najít AI. Bayram k tomu píše, že když začínající výzkumník najde téměř dvacet let starou chybu za jedno odpoledne, zvládne to i útočník. Google ostatně Gemini 4 Carbon, svůj nový model zaměřený i na hledání bezpečnostních chyb, zatím pustil jen bezpečnostním týmům.

Weby, které stavíme, běží na Next.js a WordPress ani PHP nepoužívají. Cizí weby na WordPressu nepřebíráme ani neopravujeme. Když se o ten váš nikdo nestará, můžeme postavit nový web s vlastní administrací a převést do něj domluvený obsah.