Ing. Calogero Bono
WordPress 7.1.4 to wydanie zabezpieczające z 28 października, które zawiera poprawkę luki pozwalającej wykonać kod na serwerze podczas aktualizacji rdzenia. Amerykańska CISA potwierdziła, że luka CVE-2026-119977 jest wykorzystywana i trafiła do katalogu KEV. Ma to znaczenie, ponieważ atak nie wymaga konta na stronie. Jeśli zarządzasz stronami WordPress, aktualizacja nie może czekać.
Kilka pojęć, zanim przejdziemy do faktów. CVE to kod identyfikujący znaną podatność. TOCTOU (time-of-check time-of-use) to race condition, czyli wada, w której coś zmienia się między sprawdzeniem a użyciem zasobu. RCE oznacza zdalne wykonanie kodu. KEV to katalog CISA podatności, których wykorzystywanie zostało udowodnione. XSS stored to złośliwy skrypt zapisany na stronie i pokazywany odwiedzającym.
Czym jest luka CVE-2026-119977?
Według oficjalnego komunikatu WordPress, to słabość w procesie aktualizacji, która może prowadzić do zdalnego wykonania kodu w czasie aktualizacji. Zgłoszenie pochodzi od Umuta Bayrama, badacza z Picus Security.
Jak podaje BleepingComputer, problem wynika z użycia przewidywalnych ścieżek stagingu, dostępnych z sieci podczas pełnych aktualizacji rdzenia. Powaga jest wysoka, z wynikiem CVSS 8.1 według The Hacker News, a złożoność ataku jest wysoka.
Na ile jest naprawdę wykorzystywana?
CISA dodała lukę do katalogu KEV i nakazała cywilnym agencjom federalnym naprawić ją do 6 listopada 2026 roku. Agencja zachęciła też prywatne firmy do nadania poprawce priorytetu.
Liczby pochodzą od Wordfence, więc są deklaracjami firmy zajmującej się bezpieczeństwem. BleepingComputer podaje 13 095 zablokowanych ataków w ciągu 24 godzin. The Hacker News wspomina o ponad 18 500 żądaniach do ścieżek «setup-config.php» w ciągu pierwszych 21 godzin oraz o 12 632 zablokowanych atakach w innym 24-godzinnym oknie. Previdian odnotował trzy próby na swoim honeypocie 30 października.
Co jeszcze naprawia WordPress 7.1.4?
Wydanie nie dotyczy tylko aktualizacji. Oficjalna lista obejmuje kilka luk XSS stored w blokach i funkcjach rdzenia.
- blok Categories, bloki Playlist i obraz, bloki stronicowania komentarzy
- Interactivity API, z kilkoma XSS i przypadkiem denial of service
- Customizer, z jedną XSS i odkryciem niepublikowanych changesetów przez anonimowych użytkowników
- żądania usunięcia danych osobowych i spreparowane nazwy użytkowników
Naprawiono też odczyt notatek przez użytkowników uprzywilejowanych bez uprawnień do edycji oraz certyfikaty główne, zaktualizowane w związku z unieważnieniem certyfikatów firmy eMudhra.
Dlaczego 2026 jest trudnym rokiem dla rdzenia WordPressa?
Według BleepingComputer w lipcu zespół bezpieczeństwa załatał łańcuch wp2shell, złożony z pomyłki w trasach batch w REST API (CVE-2026-63030) i SQL injection (CVE-2026-60137). Publiczne exploity pojawiły się dzień po łatach.
We wrześniu aktor posługujący się językiem chińskim użył łańcucha do wykradzenia danych z ponad 18 500 rekordów baz danych małych firm i organizacji publicznych. Ten precedens pokazuje, jak krótki jest czas między łatą a atakiem. Aby zgłębić temat, nasz przewodnik po bezpieczeństwie WordPressa opisuje podstawowe zabezpieczenia.
Ograniczenia, które warto znać
Nie wiemy, kto stoi za atakami ani ile stron zostało przejętych. CISA nie podała szczegółów dotyczących wykorzystania, a dane o zablokowanych atakach pochodzą od Wordfence, z różnymi przedziałami czasowymi w zależnych źródłach. Poprawki dla starszych gałęzi, do 4.7, są jeszcze w drodze i pojawią się, gdy będą gotowe.
Co się zmienia dla osób pracujących w cyfrowym świecie
Zaktualizuj od razu do 7.1.4, z menu Aktualizacje w Pulpicie, jeśli automatyczne aktualizacje jeszcze nie ruszyły. Jeśli nie masz procedury, nasza strategia aktualizacji bez psucia strony jest dobrym punktem wyjścia. Kto prowadzi wiele stron dla klientów, powinien sprawdzić także te, o których się zapomniało. Zapora, jak te porównane w przewodniku po wtyczkach bezpieczeństwa, pomaga, ale nie zastępuje poprawki.
Nasze zdanie
Najbardziej niewygodne jest to, że luka dotyczy właśnie mechanizmu, dzięki któremu powinno się chronić stronę. Aktualizacja jest obroną, ale podczas niej otwiera się okno ryzyka. Dobra wiadomość to szybka reakcja zespołu bezpieczeństwa. Zła to tempo 2026 roku, z łańcuchem exploitów w lipcu i kolejną wykorzystywaną luką w październiku. Kto traktuje aktualizacje jako coś do zrobienia, gdy znajdzie się czas, gra przeciwko liczbom.
Najczęstsze pytania
Co naprawia WordPress 7.1.4?
Naprawia lukę wykonania kodu w procesie aktualizacji i kilka luk XSS stored. Zawiera też poprawkę przypadku denial of service oraz aktualizację certyfikatów głównych.
Czy luka CVE-2026-119977 wymaga konta?
Nie. Według Wordfence, cytowanego przez źródła, nie trzeba mieć konta. Atakujący musi jednak wykorzystać krótkie okno podczas pełnej aktualizacji rdzenia.
Kiedy wyjdzie WordPress 7.2?
Planowana jest na 8 grudnia. Beta 3 jest już dostępna i zawiera poprawki, które można zastosować.
Czy starsze wersje też dostaną łatkę?
Częściowo. Poprawki są przenoszone wstecz na wszystkie kwalifikujące się gałęzie do 4.7 i pojawią się, gdy będą gotowe. WordPress przypomina, że aktywnie wspierana jest tylko najnowsza wersja.
Czy zasada CISA dotyczy także firm włoskich?
Nie, termin 6 listopada dotyczy tylko federalnych agencji USA. CISA zachęca jednak także sektor prywatny, by nadać poprawce priorytet.
Na co zwracać uwagę w najbliższych tygodniach w WordPressie
Poprawka jest dostępna, ale uwaga przenosi się teraz na starsze gałęzie i betę 7.2. Najbardziej ryzykowny jest okres, w którym exploit krąży, a strony nie są zaktualizowane.
- Sprawdzaj, czy pojawiły się poprawki wsteczne dla starszych wersji, których nadal używasz, i zaplanuj migrację.
- Przeglądaj logi serwera w poszukiwaniu żądań do ścieżek instalacyjnych, takich jak setup-config.php.
- Śledź notatki Bety 3 i 7.2, planowanej na 8 grudnia, zanim zaktualizujesz produkcję.
