Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] WordPress Core opravuje kritickú chybu wp2shell

WordPress verziami 6.9.5 a 7.0.2 opravuje dve zraniteľnosti súhrnne označené ako wp2shell [1]. Podľa rôznych zdrojov už dochádza k ich aktívnemu zneužívaniu [2][3][4][5][6]. Zreťazenie týchto zraniteľností umožňuje neautentizovanému vzdialenému útočníkovi spúšťať ľubovoľný kód prostredníctvom endpointu WordPress REST API Batch, čo môže viesť až ku kompromitácii servera [1]. Kvôli vysokej závažnosti WordPress vynucuje aktualizácie na systémoch, kde nie sú inštalované automaticky [7]. Pri niektorých konfiguráciách sa to však prejaviť nemusí, preto sa dôrazne odporúča verziu overiť. Ak nie je možná okamžitá aktualizácia na opravenú verziu, je možné riziko dočasne mitigovať podľa postupu opísaného na [1]. Na rovnakom odkaze je možné tiež skontrolovať, či je vaša inštancia zraniteľná. PoC k zraniteľnosti je k dispozícii na [8].

WordPress Core - SQL injection (CVE-2026-60137)
CVSS 5.9 (Medium)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené vykonať útok typu SQL injection [9].

Zraniteľnosť sa nachádza v produkte:

  • WordPress; >=6.8.0, <6.8.6; >=6.9.0, <6.9.5; >=7.0.0, <7.0.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

  • CVE-2026-60137 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 7. 2026.

WordPress Core - zámena smerovania (CVE-2026-63030)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je zaslaním špeciálne upravenej HTTP požiadavky na REST API Batch endpoint umožnené spôsobiť chybu v smerovaní (route confusion) a obísť tak niektoré bezpečnostné mechanizmy [10].

Zraniteľnosť sa nachádza v produkte:

  • WordPress; >=6.9.0, <6.9.5; >=7.0.0, <7.0.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 17. 7. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 21. 7. 2026.

CESNET, z.s.p.o. Logo