Odpre se v novem zavihku

WordPress 7.1.4: varnostna posodobitev in ranljivi vtičniki

Na kratko

WordPress je 28. oktobra 2026 izdal varnostno različico 7.1.4, ki odpravi več ranljivosti v jedru, med njimi napako v postopku posodabljanja, ki lahko vodi do izvajanja kode na strežniku. Isti dan so bile v javnih bazah CVE objavljene številne ranljivosti v WordPress vtičnikih. Najresnejše (Jupiter X Core, Pie Register Premium, Checkout Files Upload for WooCommerce, Contact Manager) napadalcu omogočijo prevzem strani brez prijave. Preverite, ali imate WordPress 7.1.4, in posodobite vse vtičnike.

WordPress 7.1.4: varnostna posodobitev jedra, ki jo namestite takoj

WordPress.org je 28. oktobra 2026 objavil WordPress 7.1.4, varnostno izdajo s popravki za več ranljivosti v samem jedru WordPressa. Uradno obvestilo jih navaja 13 sklopov, podjetje Patchstack pa je v teh sklopih naštelo 22 posameznih napak. WordPress priporoča, da strani posodobite takoj.

Kaj je prizadeto Jedro WordPressa (ne vtičnik ali tema)
Popravljena različica 7.1.4; popravki so preneseni tudi v starejše veje (npr. 7.0.8 in 6.9.11, vse do veje 4.7)
Najresnejša napaka Šibkost v postopku posodabljanja, ki lahko vodi do izvajanja kode na strežniku
Samodejne posodobitve Strani s samodejnimi varnostnimi posodobitvami se posodobijo same, različico pa vseeno preverite

Kaj odpravi WordPress 7.1.4

  • Napaka v postopku posodabljanja: med kratkim časovnim oknom posodobitve bi lahko napadalec brez prijave dostopal do začasno razpakirane namestitve v mapi wp-content/upgrade/ in prek nje izvedel svojo kodo. Izkoriščanje je po oceni Patchstacka zahtevno, ker okno traja le nekaj sekund, a posledice so resne. WordPress zdaj začasnim mapam doda naključna imena in znova zaščiti mapo.
  • Več ranljivosti tipa shranjeni XSS (podtaknjena koda JavaScript): v oznakah blokov, v Interactivity API, v osveževanju Prilagojevalnika (Customizer), v blokih Kategorije, Seznam predvajanja, Slika in v blokih za ostranjevanje komentarjev, v zahtevah za izbris osebnih podatkov ter prek posebej oblikovanih uporabniških imen.
  • Zavrnitev storitve (DoS) prek Interactivity API.
  • Razkritje neobjavljenih sprememb v Prilagojevalniku obiskovalcem brez prijave.
  • Opombe (Notes) so bile vidne uporabnikom, ki prispevka sami ne smejo urejati.
  • Posodobljeni so vgrajeni korenski certifikati (preklic izdajatelja eMudhra).

Priporočilo

  • V administraciji odprite Nadzorna plošča → Posodobitve in preverite, da piše WordPress 7.1.4 (ali ustrezna popravljena različica starejše veje). Če ne, kliknite Posodobi zdaj.
  • Patchstack dodatno svetuje, da na spletnem strežniku onemogočite javni dostop do mape wp-content/upgrade/. Za to se obrnite na skrbnika strežnika ali gostovanje.
  • Preglejte uporabnike z vlogo Sodelavec (Contributor) ali višjo, saj večino XSS napak lahko izkoristi le prijavljen uporabnik.

Kritične ranljivosti WordPress vtičnikov: prevzem strani brez prijave

28. oktobra 2026 je bilo v nacionalni bazi ranljivosti NVD objavljenih več kot sto novih zapisov, povezanih z WordPressom. Spodaj so najnevarnejši, pri katerih napadalec ne potrebuje uporabniškega računa. Do objave za nobenega ni bilo poročil o napadih v praksi, vendar se ti po objavi pogosto začnejo hitro.

Jupiter X Core – prijava kot skrbnik (CVSS 9,8)

  • Prizadeto: vtičnik Jupiter X Core (spremljevalni vtičnik teme Jupiter X), različice do vključno 4.61.0.
  • Oznaka: CVE-2026-106013, kritična.
  • Kaj lahko stori napadalec: zaradi napake v prijavi prek omrežja X (Twitter) se lahko brez gesla prijavi kot uporabnik, ki je povezan z aplikacijo X, najpogosteje kot skrbnik strani.
  • Popravek: v virih ob objavi popravljena različica še ni bila navedena. Posodobite vtičnik na najnovejšo različico, novejšo od 4.61.0, takoj ko je na voljo, do takrat pa izklopite prijavo prek X/Twitter.

Pie Register Premium – nalaganje zlonamernih datotek (CVSS 9,8)

  • Prizadeto: vtičnik za registracijo uporabnikov Pie Register Premium, različice do vključno 3.8.4.0.
  • Oznaka: CVE-2026-84999, kritična.
  • Kaj lahko stori napadalec: brez prijave naloži datoteko PHP in jo zažene na strežniku, kar pomeni popoln prevzem strani.
  • Popravek: posodobite na najnovejšo različico, novejšo od 3.8.4.0.

Checkout Files Upload for WooCommerce – nalaganje datotek PHP

  • Prizadeto: vtičnik Checkout Files Upload for WooCommerce, različice pred 2.4.0.
  • Oznaka: CVE-2026-103688 (vir: WPScan).
  • Kaj lahko stori napadalec: če je polje z dovoljenimi vrstami datotek prazno (kar je dokumentiran način za »vse datoteke«), lahko kdorkoli naloži datoteko PHP in na nekaterih strežnikih izvede svojo kodo.
  • Popravek: posodobite na 2.4.0 ali novejšo in v nastavitvah vtičnika vpišite le vrste datotek, ki jih res potrebujete (npr. pdf, jpg).

Contact Manager – nalaganje datotek (CVSS 9,8)

  • Prizadeto: vtičnik Contact Manager (avtor kleor), različice do vključno 9.1.2.
  • Oznaka: CVE-2026-109218, kritična.
  • Kaj lahko stori napadalec: s trikom v imenu datoteke obide prepoved nevarnih končnic. Izvajanje kode je mogoče le pod določenimi pogoji strežnika (Apache z mod_php).
  • Popravek: posodobite na najnovejšo različico, novejšo od 9.1.2.

Rank Math, MemberPress in drugi vtičniki: ranljivosti, ki zahtevajo prijavo ali klik

Pri teh ranljivostih napadalec potrebuje račun na strani ali pa mora prijavljenega uporabnika zvabiti na zlonamerno povezavo. Tveganje je manjše, a posledice so lahko enako resne.

Rank Math SEO – izvajanje kode za sodelavce (CVSS 8,8)

  • Prizadeto: SEO vtičnik Rank Math, različice do vključno 1.0.276.
  • Oznaka: CVE-2026-1928 (objavljena 28. 10. 2026).
  • Kaj lahko stori napadalec: uporabnik z vlogo Sodelavec ali višjo lahko prek vmesnika REST API podtakne podatke, ki vodijo do namestitve zlonamerne datoteke in izvajanja kode na strežniku.
  • Popravek: novejše različice (od 1.0.277 naprej) niso prizadete. Posodobite na najnovejšo različico.

MemberPress – prevzem računa prek ponarejene zahteve (CVSS 8,8)

  • Prizadeto: vtičnik za članstva MemberPress, različice do vključno 1.14.1.
  • Oznaka: CVE-2026-92797.
  • Kaj lahko stori napadalec: če prijavljen uporabnik klikne pripravljeno povezavo, mu napadalec spremeni e-poštni naslov in nato prek ponastavitve gesla prevzame račun.
  • Popravek: posodobite na najnovejšo različico, novejšo od 1.14.1.

VikRentCar in IvyForms

  • VikRentCar (do vključno 1.4.8, CVE-2026-111120, CVSS 8,8): če skrbnik klikne zlonamerno povezavo, lahko napadalec zapiše kodo PHP v predloge in prevzame stran. Dodatno sta v različicah do 1.4.10 objavljeni še ranljivosti XSS in SQL injection za sodelavce (CVE-2026-116749, CVE-2026-116750).
  • IvyForms (do vključno 1.5.1, CVE-2026-109384, CVSS 8,8): uporabnik s pravico urejanja obrazcev lahko dovoli nevarne končnice, nato pa lahko kdorkoli prek obrazca naloži datoteko PHP.
  • Priporočilo: oba vtičnika posodobite na najnovejšo različico.

Ranljivosti v WooCommerce in Elementor dodatkih (srednja resnost)

Naslednje ranljivosti so manj nevarne, vendar zadevajo zelo razširjene vtičnike, zato jih ne odlašajte:

  • Essential Addons for Elementor (pred 6.8.7): obiskovalec brez prijave lahko prebere vsebino nejavnih vrst objav in zasebna polja (CVE-2026-110509) ter obide odobritev skrbnika (CVE-2026-110508). Posodobite na 6.8.7 ali novejšo.
  • Royal Elementor Addons (pred 1.7.1070): več napak, med drugim zloraba shranjenih podatkov za Mailchimp brez prijave, razkritje oddanih obrazcev in preusmeritev prejemnika obrazca (CVE-2026-107097, CVE-2026-107100, CVE-2026-106648 in druge). Posodobite na 1.7.1070 ali novejšo.
  • PayPlug for WooCommerce (pred 3.1.1): brez prijave je mogoče brati, spreminjati ali preklicati naročila drugih kupcev (CVE-2026-113813, CVE-2026-110292). Posodobite na 3.1.1 ali novejšo.
  • Page Builder by SiteOrigin (pred 2.38.0): shranjeni XSS in razkritje osnutkov za sodelavce (CVE-2026-110506, CVE-2026-110507). Posodobite na 2.38.0 ali novejšo.
  • Ultimate Member (do vključno 2.14.0): shranjeni XSS prek polja Spletna stran v profilu, ki ga lahko izkoristi že naročnik (CVE-2026-107625). Posodobite na najnovejšo različico.
  • AI Engine (do vključno 3.8.4): ob vklopljenem javnem API-ju lahko naročnik briše datoteke v medijski knjižnici (CVE-2026-107745). Posodobite na najnovejšo različico.

Kontrolni seznam za varnost WordPress strani

  1. Preverite različico WordPressa (Nadzorna plošča → Posodobitve): biti mora 7.1.4 ali popravljena različica vaše veje.
  2. Posodobite vse vtičnike in teme, še posebej zgoraj naštete. Pred tem naredite varnostno kopijo.
  3. Uporabljate Jupiter X? Do popravka izklopite prijavo prek X/Twitter.
  4. Preverite obrazce za nalaganje datotek: dovolite le nujne vrste datotek.
  5. Preglejte uporabniške račune: odstranite neznane skrbnike in nepotrebne račune z vlogo Sodelavec ali višjo.
  6. Odstranite vtičnike, ki jih ne uporabljate. Tudi izklopljen vtičnik je odvečno tveganje.

Več navodil za urejanje in vzdrževanje najdete v rubriki podpora za WordPress.

Potrebujete pomoč pri posodobitvah ali varnosti WordPressa? Posodobimo jedro in vtičnike, preverimo nastavitve strežnika in pregledamo stran za znake vdora. Pišite nam na podpora@qstom.si.

Viri

Pogosta vprašanja

Na večini strani da, saj so samodejne varnostne posodobitve privzeto vklopljene. Vseeno preverite v Nadzorna plošča → Posodobitve, da je nameščena različica 7.1.4 ali popravljena različica vaše veje (npr. 7.0.8).

Ranljivost CVE-2026-1928 zadeva različice do vključno 1.0.276 in jo lahko izkoristi le prijavljen uporabnik z vlogo Sodelavec ali višjo. Posodobite Rank Math na najnovejšo različico in preglejte, kdo ima dostop do administracije.

Če popravek še ni na voljo (npr. Jupiter X Core), izklopite ranljivo funkcijo (prijavo prek X/Twitter) ali vtičnik začasno deaktivirajte. Ko izide nova različica, jo takoj namestite.

V administraciji odprite Vtičniki → Nameščeni vtičniki. Tam vidite ime in različico vsakega vtičnika ter opozorilo, če je na voljo posodobitev.

Da. Če potrebujete pomoč pri posodobitvah ali pregledu varnosti, pišite na podpora@qstom.si.

← Vsa navodila

Varnostna opozorila

Potrebujete pomoč?

Odgovora niste našli?

Pišite nam ali pokličite in z veseljem vam pomagamo.